A02: ক্রিপ্টোগ্রাফিক ফেইলিওর

১ · "Sensitive Data Exposure" থেকে "Cryptographic Failures"

২০১৭ সালের OWASP তালিকায় এই ক্যাটাগরির নাম ছিল "Sensitive Data Exposure" — কিন্তু এই নাম শুধু লক্ষণ (symptom) বর্ণনা করত: ডেটা ফাঁস হয়েছে। ২০২১ সংস্করণে নাম বদলে Cryptographic FailuresCryptographic Failuresক্রিপ্টোগ্রাফির ভুল ব্যবহার বা অনুপস্থিতির কারণে সংবেদনশীল ডেটা এক্সপোজড হওয়া — root cause-ভিত্তিক নামকরণ। করা হয়েছে — কারণ ডেটা এক্সপোজ হওয়ার আসল কারণ (root cause) প্রায় সবসময় ক্রিপ্টোগ্রাফির ভুল ব্যবহার বা সম্পূর্ণ অনুপস্থিতি। L01-এর CIA Triad মনে করুন — এই পুরো ক্যাটাগরি সরাসরি Confidentiality রক্ষার ব্যর্থতা নিয়ে।

২ · সাধারণ ক্রিপ্টোগ্রাফিক ব্যর্থতাগুলো

৩ · পাসওয়ার্ড হ্যাশিং — কেন "দ্রুত" খারাপ, "ধীর" ভালো

একটি সাধারণ ভুল ধারণা: "হ্যাশ করলেই তো নিরাপদ।" কিন্তু hashlib.sha256-এর মতো ফাংশন ইচ্ছাকৃতভাবে অত্যন্ত দ্রুত — এটি ফাইল-ইন্টিগ্রিটি চেকের জন্য (L01) উপযুক্ত, কিন্তু পাসওয়ার্ডের জন্য বিপজ্জনক। কেন? কারণ একজন আক্রমণকারী যদি হ্যাশড পাসওয়ার্ডের একটি ডাটাবেস চুরি করে, একটি দ্রুত হ্যাশ ফাংশন দিয়ে সে প্রতি সেকেন্ডে লক্ষ লক্ষ সম্ভাব্য পাসওয়ার্ড ট্রাই করতে পারে (L30-এ brute force নিয়ে বিস্তারিত)।

এর সমাধান হলো PBKDF2PBKDF2Password-Based Key Derivation Function 2 — একটি ইচ্ছাকৃতভাবে ধীর হ্যাশ ফাংশন যা একটি "work factor" (iteration count) নিয়ে কাজ করে, brute-force আক্রমণকে হাজার-গুণ ব্যয়বহুল করে তোলে। Python stdlib-এ hashlib.pbkdf2_hmac হিসেবে পাওয়া যায়।-এর মতো একটি ইচ্ছাকৃতভাবে ধীর (deliberately slow) হ্যাশ ফাংশন ব্যবহার করা — এটি একটি "work factor" (iteration count) নেয়, যা যত বেশি হবে প্রতিটি একক পাসওয়ার্ড-চেষ্টার খরচ তত বাড়বে, brute-force আক্রমণকে ব্যবহারিকভাবে অসম্ভব করে তুলবে।

import hashlib

password = "MyBankPassword!2024"
salt = b"a-unique-random-salt-per-user"

# ভুল প্যাটার্ন: একটি সাধারণ, দ্রুত হ্যাশ — পাসওয়ার্ডের জন্য অনুপযুক্ত
naive_hash = hashlib.sha256(password.encode()).hexdigest()

# সঠিক প্যাটার্ন: PBKDF2 — ইচ্ছাকৃতভাবে ধীর, একটি work-factor (iterations) সহ
correct_hash = hashlib.pbkdf2_hmac(
    "sha256",            # অন্তর্নিহিত হ্যাশ অ্যালগরিদম
    password.encode(),   # আসল পাসওয়ার্ড
    salt,                # প্রতি-ইউজার ইউনিক সল্ট (rainbow table প্রতিরোধ করে, L39-এ বিস্তারিত)
    200_000,             # work factor — যত বেশি iteration, brute-force তত ব্যয়বহুল
).hex()

print("প্লেইন SHA-256 (ভুল প্যাটার্ন):")
print(" ", naive_hash)
print()
print("PBKDF2, 200,000 iterations (সঠিক প্যাটার্ন):")
print(" ", correct_hash)
print()
print("SHA-256 প্রতি সেকেন্ডে লক্ষ লক্ষ বার চালানো যায় -> brute-force সহজ।")
print("PBKDF2 প্রতিটি চেষ্টায় ইচ্ছাকৃতভাবে ২,০০,০০০ গুণ বেশি কাজ করে -> brute-force ব্যবহারিকভাবে অসম্ভব।")