HTTPS এবং TLS আসলে কীভাবে কাজ করে: একটি ব্যবহারিক গাইড

আপনি একটি URL টাইপ করেন, Enter চাপেন, এবং পেজটি লোড হয়। প্যাডলক আইকনটি বলে যে সংযোগটি সুরক্ষিত, কিন্তু আপনার ব্রাউজার এবং সার্ভারের মধ্যে আসলে কী ঘটে? আপনি যদি একজন ডেভেলপার হন, তাহলে HTTPS এবং TLS বোঝা কেবল তাত্ত্বিক নয়—এটি প্রভাবিত করে কীভাবে আপনি সার্ভার কনফিগার করেন, সংযোগ ত্রুটি ডিবাগ করেন এবং ব্যবহারকারীর ডেটা সুরক্ষিত রাখেন।

এই গাইডটি TLS হ্যান্ডশেক, এনক্রিপশন লেয়ার এবং সার্টিফিকেট ভ্যালিডেশনকে সহজ ভাষায় ব্যাখ্যা করে। আপনি দেখবেন কীভাবে HTTPS আসলে কাজ করে এবং আপনার নিজের প্রকল্পের জন্য ব্যবহারিক টিপস পাবেন।

HTTPS এবং TLS আসলে কী

HTTPS হলো TLS-এর উপর HTTP। TLS (Transport Layer Security) হলো ক্রিপ্টোগ্রাফিক প্রোটোকল যা ট্রানজিটে ডেটা এনক্রিপ্ট করে। আপনি যখন একটি HTTPS URL ভিজিট করেন, আপনার ব্রাউজার এবং সার্ভার কোনো HTTP ডেটা বিনিময়ের আগে এনক্রিপশন কী-তে সম্মত হওয়ার জন্য একটি TLS হ্যান্ডশেক সম্পাদন করে।

TLS বছর আগে SSL (Secure Sockets Layer) প্রতিস্থাপন করেছে, তবে শব্দগুলো প্রায়ই বিনিময়যোগ্যভাবে ব্যবহৃত হয়। আধুনিক ব্রাউজার TLS 1.2 এবং TLS 1.3 সমর্থন করে; পুরানো সংস্করণগুলি পরিচিত দুর্বলতার কারণে বাতিল করা হয়েছে।

TLS হ্যান্ডশেক: ধাপে ধাপে

হ্যান্ডশেক একটি সুরক্ষিত চ্যানেল স্থাপন করে। একটি সাধারণ TLS 1.2 হ্যান্ডশেকে যা ঘটে (TLS 1.3 এটি আরও সরল করে):

1. ক্লায়েন্ট হ্যালো: ব্রাউজার সমর্থিত সাইফার স্যুট, TLS সংস্করণ এবং একটি র‍্যান্ডম মান (ক্লায়েন্ট র‍্যান্ডম) এর একটি তালিকা পাঠায়।
2. সার্ভার হ্যালো: সার্ভার একটি সাইফার স্যুট বেছে নেয়, নিজের র‍্যান্ডম মান (সার্ভার র‍্যান্ডম) পাঠায় এবং তার SSL/TLS সার্টিফিকেট উপস্থাপন করে।
3. সার্টিফিকেট ভেরিফিকেশন: ব্রাউজার বিশ্বস্ত রুট CA-এর বিরুদ্ধে সার্টিফিকেট পরীক্ষা করে, ডোমেইন নাম যাচাই করে এবং মেয়াদ শেষের তারিখ পরীক্ষা করে।
4. কী এক্সচেঞ্জ: সার্টিফিকেটের পাবলিক কী ব্যবহার করে, ক্লায়েন্ট একটি প্রি-মাস্টার সিক্রেট এনক্রিপ্ট করে সার্ভারে পাঠায়। উভয় পক্ষ একই সেশন কী তৈরি করে।
5. সমাপ্ত: উভয় পক্ষ নতুন সেশন কী দিয়ে এনক্রিপ্ট করা একটি Finished বার্তা পাঠায়, হ্যান্ডশেক সফল হয়েছে তা নিশ্চিত করে।

TLS 1.3-এ, হ্যান্ডশেক এক রাউন্ড ট্রিপ (1-RTT) এ হ্রাস করা হয় এবং পুনরাবৃত্তি সংযোগের জন্য 0-RTT পুনরায় শুরু সমর্থন করে, লেটেন্সি উন্নত করে।

এনক্রিপশন: সিমেট্রিক এবং অ্যাসিমেট্রিক

TLS উভয় ধরনের এনক্রিপশন ব্যবহার করে:

• অ্যাসিমেট্রিক এনক্রিপশন (যেমন, RSA, ECDHE) হ্যান্ডশেকের সময় কী নিরাপদে বিনিময় করতে ব্যবহৃত হয়। এটি ধীর কিন্তু কী বিতরণ সমস্যার সমাধান করে।
• সিমেট্রিক এনক্রিপশন (যেমন, AES-GCM, ChaCha20-Poly1305) হ্যান্ডশেকের পরে বাল্ক ডেটা স্থানান্তরের জন্য ব্যবহৃত হয়। এটি দ্রুত এবং দক্ষ।

হ্যান্ডশেকের সময় প্রাপ্ত সেশন কীগুলি সিমেট্রিক কী। তারা নিশ্চিত করে যে কেউ এনক্রিপ্টেড ট্র্যাফিক ক্যাপচার করলেও কী ছাড়া ডিক্রিপ্ট করতে পারবে না।

সার্টিফিকেট ভ্যালিডেশন: বিশ্বাস কিন্তু যাচাই

সার্টিফিকেট সার্টিফিকেট অথরিটি (CA) দ্বারা জারি করা হয়। ব্রাউজার এবং অপারেটিং সিস্টেম বিশ্বস্ত রুট CA-এর একটি তালিকা সহ আসে। যখন একটি সার্ভার একটি সার্টিফিকেট উপস্থাপন করে, ব্রাউজার যাচাই করে:

• সার্টিফিকেটটি একটি বিশ্বস্ত CA দ্বারা স্বাক্ষরিত (সরাসরি বা একটি ইন্টারমিডিয়েট CA-এর মাধ্যমে)।
• সার্টিফিকেটের ডোমেইন নাম অনুরোধকৃত হোস্টের সাথে মেলে।
• সার্টিফিকেটটি তার বৈধতার সময়কালের মধ্যে আছে।
• সার্টিফিকেটটি প্রত্যাহার করা হয়নি (CRL বা OCSP-এর মাধ্যমে)।

যদি কোনো চেক ব্যর্থ হয়, ব্রাউজার একটি সতর্কতা দেখায়। একজন ডেভেলপার হিসেবে, আপনি সার্টিফিকেট পরিদর্শন এবং চেইন সমস্যা ডিবাগ করতে openssl s_client এর মতো টুল ব্যবহার করতে পারেন।

সাধারণ TLS ভুল কনফিগারেশন এবং কীভাবে ঠিক করবেন

নিয়মিত আপনার কনফিগারেশন নিরীক্ষা করতে অনলাইন SSL চেকার বা কমান্ড-লাইন টুল ব্যবহার করুন।

ডেভেলপারদের জন্য ব্যবহারিক টিপস

• HSTS সক্রিয় করুন: ভবিষ্যতের ভিজিটের জন্য ব্রাউজারগুলিকে HTTPS ব্যবহার করতে বাধ্য করতে Strict-Transport-Security হেডার যোগ করুন।
• TLS 1.3 ব্যবহার করুন: এটি দ্রুত এবং আরও সুরক্ষিত। অধিকাংশ আধুনিক সার্ভার এটি সমর্থন করে; এটি পছন্দ করতে আপনার সার্ভার কনফিগার করুন।
• সার্টিফিকেট ব্যবস্থাপনা স্বয়ংক্রিয় করুন: Certbot-এর মতো টুল স্বয়ংক্রিয়ভাবে সার্টিফিকেট প্রাপ্ত এবং নবায়ন করতে পারে।
• openssl দিয়ে পরীক্ষা করুন: হ্যান্ডশেক এবং সার্টিফিকেট চেইন পরিদর্শন করতে openssl s_client -connect example.com:443 -servername example.com চালান।

আধুনিক TLS সেটিংস সক্রিয় করার জন্য এখানে একটি দ্রুত Nginx কনফিগারেশন স্নিপেট:

server {
    listen 443 ssl http2;
    server_name example.com;

    ssl_certificate /etc/letsencrypt/live/example.com/fullchain.pem;
    ssl_certificate_key /etc/letsencrypt/live/example.com/privkey.pem;

    ssl_protocols TLSv1.2 TLSv1.3;
    ssl_ciphers 'ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256';
    ssl_prefer_server_ciphers off;

    add_header Strict-Transport-Security "max-age=63072000" always;
}

এই কনফিগারেশন TLS 1.2 এবং 1.3 সক্রিয় করে, শক্তিশালী সাইফার ব্যবহার করে এবং HSTS সেট করে।

সচরাচর জিজ্ঞাসা

HTTPS এবং TLS-এর মধ্যে পার্থক্য কী?

HTTPS হলো TLS-এর উপরে স্তরিত HTTP। TLS হলো সেই প্রোটোকল যা এনক্রিপশন এবং প্রমাণীকরণ প্রদান করে। তাই HTTPS হলো HTTP-এর সুরক্ষিত সংস্করণ, যা TLS দ্বারা চালিত।

TLS হ্যান্ডশেক কীভাবে একটি শেয়ার্ড কী স্থাপন করে?

ক্লায়েন্ট এবং সার্ভার সরাসরি এটি প্রেরণ না করে একটি শেয়ার্ড সিক্রেটে সম্মত হতে অ্যাসিমেট্রিক ক্রিপ্টোগ্রাফি (যেমন ECDHE) ব্যবহার করে। তারপর তারা সেই সিক্রেট থেকে ডেটা এনক্রিপ্ট করার জন্য সিমেট্রিক সেশন কী তৈরি করে।

সার্টিফিকেটের মেয়াদ কেন শেষ হয়?

মেয়াদ শেষ হওয়া একটি প্রাইভেট কী compromised হলে ক্ষতি সীমিত করে এবং নবায়নের স্বয়ংক্রিয়তাকে উৎসাহিত করে। স্বল্পমেয়াদী সার্টিফিকেট একটি সিকিউরিটি সেরা অনুশীলন।

আপনার নিজের TLS সেটআপ পরিদর্শন করতে প্রস্তুত? আপনার সার্ভার লগে TLS ত্রুটি এবং হ্যান্ডশেক ব্যর্থতা সনাক্ত করতে TryQuickToolBox-এর Nginx Log Analyzer ব্যবহার করুন।