Public key cryptography — RSA, elliptic curve আর key exchange

১ · চাবি পৌঁছাবে কীভাবে — key distribution সমস্যা

পর্ব ০৮-এ দেখা AES খুব দ্রুত আর শক্তিশালী। কিন্তু তার একটি শর্ত আছে। পাঠানো আর পড়া, দুই কাজেই একই key লাগে। এবার একটি সাধারণ দৃশ্য ভাবুন। রিমা রাজশাহী থেকে প্রথমবার একটি কাল্পনিক অনলাইন বাজারের site খুলেছেন। তাঁদের আগে কখনো যোগাযোগ হয়নি। মাঝের network-এ কে কী দেখছে, রিমা জানেন না। এই খোলা পথে AES-এর key পাঠালে যে শুনছে, সে-ও key পেয়ে যাবে। আবার key পাঠাতে হলে তো আগে একটি গোপন পথ লাগে। এই গোলকধাঁধার নাম key distribution সমস্যা।

সমস্যাটি সংখ্যায়ও বড়। যদি n জন মানুষের প্রত্যেক জোড়ার জন্য আলাদা গোপন key লাগে, তাহলে মোট key দরকার n(n−1)/2টি।

Public key cryptography আসলে তিনটি আলাদা কাজের একটি পরিবার। এগুলো গুলিয়ে ফেলা থেকেই বহু ভুল নকশা জন্মায়।

২ · Trapdoor function — এক দিকে সহজ, উল্টো দিকে কঠিন

চায়ে চিনি মেশাতে এক সেকেন্ড লাগে। সেই চা থেকে চিনি আলাদা করা প্রায় অসম্ভব। যে কাজ এক দিকে সহজ আর উল্টো দিকে কঠিন, তাকে বলে one-way function. আর trapdoor function হলো এমন one-way function, যার উল্টো দিকটি একটি গোপন তথ্য জানলে আবার সহজ হয়ে যায়। ডাকবাক্সে চিঠি ফেলা সহজ, ফিরিয়ে আনা কঠিন, কিন্তু চাবি থাকলে সহজ।

দুটি পরিবারের কঠিন সমস্যা আজকের বেশিরভাগ ব্যবস্থার ভিত্তি।

এগুলো বুঝতে modular arithmetic লাগে। ঘড়ি দিয়ে এটি আপনি আগে থেকেই জানেন। ১০টার পাঁচ ঘণ্টা পরে ৩টা বাজে, ১৫টা নয়। অর্থাৎ (10 + 5) mod 12 = 3. ভাগশেষটুকুই ফল। সাধারণ সংখ্যায় ঘাত বাড়লে ফল বড় হতে থাকে, তাই উল্টো হিসাব সহজ। কিন্তু mod নিলে ফল চক্রের ভেতরে এলোমেলোভাবে লাফায়। Python-এর pow(a, b, m) দিয়ে সেটি দেখুন।

# Modular arithmetic with Python's built-in pow(a, b, m).
# Toy numbers first, for the idea only.
print("powers of 2 mod 29:", [pow(2, k, 29) for k in range(1, 12)])

# The two calculations that a small Diffie-Hellman uses
print("2^5 mod 29 =", pow(2, 5, 29))
print("18^5 mod 29 =", pow(18, 5, 29))

# Modular inverse: find d so that 17 * d leaves remainder 1 mod 2668
d = pow(17, -1, 2668)
print("inverse of 17 mod 2668 =", d, "| check:", 17 * d % 2668)

# Forward direction stays cheap, even at 2048 bits
m = 2**2048 - 1942289
e = 2**2047 + 12345
r = pow(3, e, m)
steps = e.bit_length() - 1 + bin(e).count("1") - 1
print("modulus bits:", m.bit_length())
print("result bits:", r.bit_length())
print("exponent digits:", len(str(e)))
print("multiplications needed:", steps)

৩ · Diffie-Hellman — খোলা রাস্তায় একই গোপন মান

এবার রঙের জায়গায় সংখ্যা বসাই। Diffie-Hellman-এ প্রকাশ্য মান দুটি হলো prime p আর base g. গোপন মান দুটি হলো a আর b. নিচের সংখ্যাগুলো এত ছোট যে হাতে মেলানো যায়। বাস্তবে এই আকার কোনো নিরাপত্তা দেয় না।

1public: p = 29, g = 22Rima secret: a = 53Sajib secret: b = 114A = g^a mod p5B = g^b mod p6send A and B in the open7Rima:  s = B^a mod p8Sajib: s = A^b mod p

কেন মেলে? (g^b)^a = g^(ab) = (g^a)^b. গুণের ক্রম বদলালেও ফল একই থাকে। এই একটি লাইনই পুরো পদ্ধতির ভিত্তি। পথের দর্শকের হাতে g^a আর g^b আছে, কিন্তু সেখান থেকে g^ab বানাতে হলে কার্যত একটি discrete logarithm সমাধান করতে হয়।

নিচের কোডে প্রথমে একই ছোট উদাহরণ, তারপর একটু বড় prime-এ তিনটি আলাদা session চলছে। প্রতিটি session-এ নতুন গোপন মান। এই অভ্যাসটি পরে forward secrecy-তে কাজে লাগবে।

// Toy Diffie-Hellman with BigInt. Only for the idea, never for real use.
function modpow(base, exp, mod) {
  let result = 1n;
  base %= mod;
  while (exp > 0n) {
    if (exp & 1n) result = result * base % mod;
    base = base * base % mod;
    exp >>= 1n;
  }
  return result;
}
// Seeded PRNG keeps the output fixed. Real keys need a CSPRNG.
function mulberry32(a) {
  return function () {
    a = (a + 0x6D2B79F5) | 0;
    let t = Math.imul(a ^ (a >>> 15), 1 | a);
    t = (t + Math.imul(t ^ (t >>> 7), 61 | t)) ^ t;
    return ((t ^ (t >>> 14)) >>> 0) / 4294967296;
  };
}
console.log("real নয়, শুধু ধারণার জন্য");
const A = modpow(2n, 5n, 29n), B = modpow(2n, 11n, 29n);
console.log(`small: A = ${A}, B = ${B}, s = ${modpow(B, 5n, 29n)} and ${modpow(A, 11n, 29n)}`);

const rand = mulberry32(2026);
const p = 2n ** 61n - 1n, g = 3n;
const secret = () => BigInt(Math.floor(rand() * 2 ** 40)) + 2n;
for (let session = 1; session <= 3; session++) {
  const a = secret(), b = secret();
  const pubA = modpow(g, a, p), pubB = modpow(g, b, p);
  const s1 = modpow(pubB, a, p), s2 = modpow(pubA, b, p);
  console.log(`session ${session}: shared ${s1}, same: ${s1 === s2}`);
}

বাস্তবের নিয়ম কয়েকটি। Group যথেষ্ট বড় হতে হয়। Library যেন অন্য পক্ষের পাঠানো মান যাচাই করে। আর গোপন মান আসতে হয় ভালো random উৎস থেকে। আজকের নতুন নকশায় সাধারণত classic DH-এর বদলে elliptic curve-ভিত্তিক X25519 ব্যবহার হয়, যা অংশ ৬-এ দেখবেন। Network course-এর Cryptography-র ভিত্তি পর্বে আরেকটি সংখ্যা-উদাহরণ পাবেন।

৪ · RSA — ছোট সংখ্যায় পুরো পথ

Diffie-Hellman দুই পক্ষকে একই মানে পৌঁছে দেয়, কিন্তু এতে trapdoor নেই। RSA একটি সত্যিকারের trapdoor পদ্ধতি। গোপন prime দুটি জানলে উল্টো হিসাবের সূত্র পাওয়া যায়, না জানলে পাওয়া যায় না। নিচের উদাহরণের p = 47, q = 59, e = 17, d = 157 মূল ১৯৭৮ সালের RSA প্রবন্ধের ছোট উদাহরণ থেকেই নেওয়া। এটি খেলনা উদাহরণ, real নয়, শুধু ধারণার জন্য।

1p = 47, q = 592n = p * q3phi = (p-1) * (q-1)4e = 175d = inverse of e mod phi6public: (n, e)  private: d7c = m^e mod n8m = c^d mod n9sig = m^d mod n10check: sig^e mod n == m

এবার পুরো পথটি চালিয়ে দেখুন। শেষ অংশটি পরের অংশের প্রস্তুতি, সেখানে একই বার্তা দুইবার encrypt করা হচ্ছে।

// Toy RSA round trip with the small numbers from the 1978 paper.
function modpow(base, exp, mod) {
  let result = 1n;
  base %= mod;
  while (exp > 0n) {
    if (exp & 1n) result = result * base % mod;
    base = base * base % mod;
    exp >>= 1n;
  }
  return result;
}
console.log("real নয়, শুধু ধারণার জন্য");
const n = 2773n, e = 17n, d = 157n;
const m = 920n;

const c = modpow(m, e, n);
console.log(`encrypt 920 -> ${c}, decrypt -> ${modpow(c, d, n)}`);

const sig = modpow(m, d, n);
console.log(`sign 920 -> ${sig}, verify -> ${modpow(sig, e, n)}`);
console.log("signature fits 920:", modpow(sig, e, n) === 920n);
console.log("signature fits 921:", modpow(sig, e, n) === 921n);

// Textbook RSA has no randomness: same input, same output.
console.log(`same message twice: ${modpow(12n, e, n)} ${modpow(12n, e, n)}`);

// Toy padding: add two random-looking digits before encrypting.
// This only shows the idea. Real OAEP is a very different design.
for (const r of [37n, 81n]) {
  const padded = 12n * 100n + r;
  const ct = modpow(padded, e, n);
  const back = modpow(ct, d, n) / 100n;
  console.log(`r = ${r}: cipher -> ${ct}, message back -> ${back}`);
}

৫ · Textbook RSA কেন অনিরাপদ — OAEP আর PSS

বইয়ের সূত্রটি সরাসরি বার্তায় বসানোকে বলে textbook RSA. এটি শেখার জন্য ভালো, ব্যবহারের জন্য নয়। কারণগুলো ধারণার স্তরে জেনে রাখুন।

সমাধান দুটি নাম মনে রাখলেই যথেষ্ট। OAEP (Bellare আর Rogaway, ১৯৯৪) encryption-এর আগে বার্তার সাথে random মান মিশিয়ে একটি গঠন তৈরি করে। ফলে একই বার্তা প্রতিবার আলাদা ciphertext দেয়, আর বদলানো ciphertext decrypt করলে গঠন ভেঙে যায়। PSS (একই লেখকদের, ১৯৯৬) signature-এ একই ধরনের random গঠন আনে। দুটিই RFC 8017 (PKCS #1 v2.2, ২০১৬)-এ আছে।

পুরোনো PKCS #1 v1.5 encryption padding এখনো অনেক পুরোনো ব্যবস্থায় টিকে আছে। ১৯৯৮ সালে Daniel Bleichenbacher দেখান, server padding-এর ভুল আলাদাভাবে জানালে সেই ছোট্ট তথ্যই ciphertext ভাঙায় কাজে লাগে। শিক্ষাটি রক্ষকের জন্য বড়। Error message-ও একটি তথ্য-প্রবাহ। পর্ব ০৭-এর Kerckhoffs-এর নীতি মনে করুন, algorithm গোপন নয়, তাই নিরাপত্তা নির্ভর করে key আর সঠিক ব্যবহারের ওপর।

Library ব্যবহারে কেমন দেখায়, তার একটি ছোট ছবি নিচে। এখানে padding স্পষ্টভাবে বলে দেওয়া হচ্ছে।

# Example only. Uses the third-party "cryptography" package.
from cryptography.hazmat.primitives.asymmetric import rsa, padding
from cryptography.hazmat.primitives import hashes

key = rsa.generate_private_key(public_exponent=65537, key_size=3072)
oaep = padding.OAEP(
    mgf=padding.MGF1(hashes.SHA256()),
    algorithm=hashes.SHA256(),
    label=None,
)
wrapped = key.public_key().encrypt(b"example-session-key", oaep)
print(key.decrypt(wrapped, oaep))

৬ · Elliptic curve আর key size — ছোট key, একই নিরাপত্তা

Elliptic curve হলো y² = x³ + ax + b ধরনের সমীকরণের বিন্দুগুলোর একটি সেট, যেগুলো একটি সসীম ক্ষেত্রের ওপর ধরা হয়। এই বিন্দুগুলোর জন্য একটি “যোগ” নিয়ম আছে। একটি বিন্দু P-কে k বার নিজের সাথে যোগ করলে আরেকটি বিন্দু পাওয়া যায়, যাকে লেখা হয় k·P.

এই সমস্যার বিরুদ্ধে জানা সেরা সাধারণ পদ্ধতি factorization-এর পদ্ধতির চেয়ে অনেক দুর্বল। তাই অনেক ছোট key-তেই একই নিরাপত্তা মেলে। ১৯৮৫ সালে Neal Koblitz আর Victor Miller স্বাধীনভাবে cryptography-তে elliptic curve ব্যবহারের প্রস্তাব দেন। আজকের পরিচিত দুটি উদাহরণ এই।

Key size আর সমতুল্য নিরাপত্তা

“২০৪৮ bit” আর “১২৮ bit” সরাসরি তুলনা করা যায় না, কারণ দুটির ওপর সেরা জানা পদ্ধতি আলাদা। তাই বলা হয় security strength. ১২৮ bit strength মানে মোটামুটি 2¹²⁸ ধাপের কাজ। নিচের সারণি NIST SP 800-57 Part 1 Rev. 5 (২০২০)-এর সমতুল্য তালিকার সহজ রূপ। এগুলো সেরা জানা পদ্ধতির ওপর ভিত্তি করে করা অনুমান, গাণিতিক সমতা নয়। অন্য সংস্থার হিসাবে সংখ্যা কিছুটা আলাদা হতে পারে, আর সময়ের সাথে নির্দেশনা বদলায়।

রক্ষকের আসল কাজ হলো নিজের key-গুলোর তালিকা রাখা আর নীতির সাথে মেলানো। নিচের ছোট যন্ত্রে একটি কাল্পনিক প্রতিষ্ঠানের তালিকা দেওয়া আছে, আর ধরে নেওয়া নীতি হলো নতুন key-তে কমপক্ষে ১২৮ bit.

// Key inventory check on fictional in-memory data.
// Rows follow NIST SP 800-57 Part 1 Rev. 5, simplified.
const RSA_ROWS = [[15360, 256], [7680, 192], [3072, 128], [2048, 112], [1024, 80]];
const ECC_ROWS = [[512, 256], [384, 192], [256, 128], [224, 112], [160, 80]];
const NAMED = { ed25519: 128, x25519: 128 };   // about 128 per RFC 7748 and 8032
const POLICY = 128;                            // assumed policy for this example

function strength(alg, bits) {
  if (alg in NAMED) return NAMED[alg];
  const rows = alg === "rsa" ? RSA_ROWS : ECC_ROWS;
  for (const [size, s] of rows) if (bits >= size) return s;
  return 0;
}
const inventory = [
  ["old-vpn-gateway", "rsa", 1024],
  ["mail-signing", "rsa", 2048],
  ["web-tls", "rsa", 3072],
  ["api-tls", "ecdsa", 256],
  ["admin-ssh", "ed25519", 255],
  ["backup-signing", "rsa", 4096],
];
let flagged = 0;
for (const [name, alg, bits] of inventory) {
  const s = strength(alg, bits);
  const ok = s >= POLICY;
  if (!ok) flagged++;
  const verdict = ok ? "ok" : (s < 112 ? "REPLACE NOW" : "plan rotation");
  console.log(`${name.padEnd(17)} ${(alg + "-" + bits).padEnd(13)} ~${String(s).padEnd(3)} bit  ${verdict}`);
}
console.log("flagged:", flagged, "of", inventory.length);

৭ · Hybrid encryption আর forward secrecy

Public key হিসাব symmetric হিসাবের চেয়ে অনেক ধীর, আর RSA একবারে key-এর আকারের চেয়ে বড় বার্তা নিতে পারে না। তাই বাস্তবে কেউ বড় ফাইল সরাসরি RSA দিয়ে encrypt করে না। এর বদলে ব্যবহার হয় hybrid encryption. একটি নতুন session key দিয়ে ডেটা encrypt হয়, আর public key শুধু সেই ছোট key-কে রক্ষা করে।

1file = 1048576 bytes2k = new random 256-bit key3nonce = new random 96 bits4box = AES-256-GCM(k, nonce, file)5wrapped = RSA-OAEP(pub, k)6send wrapped + nonce + box7k = RSA-OAEP-open(priv, wrapped)8file = AES-256-GCM-open(k, nonce, box)

Forward secrecy — আজকের চুরি যেন পুরোনো কথা না খোলে

কল্পনা করুন, কেউ এক বছর ধরে আপনার encrypted traffic রেকর্ড করে রাখছে। পরে কোনো ঘটনায় server-এর দীর্ঘমেয়াদি private key ফাঁস হলো। উপরের নকশায় RSA দিয়ে k মোড়ানো থাকলে সেই একটি key দিয়ে সব রেকর্ডের সব k খুলে যাবে। Forward secrecy-র লক্ষ্য হলো এই ক্ষতি আটকানো। দীর্ঘমেয়াদি key ফাঁস হলেও পুরোনো session যেন না খোলে।

কৌশলটি হলো ephemeral key. প্রতিটি session-এ নতুন DH বা X25519 key-জোড়া বানানো হয়, কাজ শেষে মুছে ফেলা হয়। দীর্ঘমেয়াদি key তখন শুধু সই করে পরিচয় প্রমাণ করে, session key রক্ষার কাজ করে না।

TLS 1.3 (প্রথম RFC 8446, ২০১৮; এখন RFC 9846) static RSA key exchange পুরোপুরি বাদ দিয়েছে। তার handshake-এর সাধারণ পথে ephemeral key exchange থাকে। বিস্তারিত দেখবেন পর্ব ১২-তে। Forward secrecy-র সীমাও আছে। Session চলাকালীন device দখল হলে এটি সাহায্য করে না। ডেটা যদি লগে সাধারণ লেখায় থাকে, তাও এটি রক্ষা করে না। আবার session ticket-এর key দীর্ঘদিন রাখলে সুবিধাটি কমে যেতে পারে।

৮ · Man-in-the-middle — key exchange-এর সবচেয়ে বড় ফাঁক

Diffie-Hellman গোপনীয়তা দেয় শুধু পথের নিষ্ক্রিয় দর্শকের বিরুদ্ধে। কিন্তু রিমা কীভাবে জানবেন, A আর B আসলে কার সাথে বদল হচ্ছে? যিনি পথের ওপর সক্রিয়ভাবে বসে আছেন, তিনি দুই দিকের সাথে আলাদা আলাদা key exchange করতে পারেন। একে বলে man-in-the-middle বা MITM. গণিত এখানে ভাঙে না, ভাঙে পরিচয়ের ধারণা।

রিমা কীভাবে জানবেন যে public key-টি সত্যিই সজীবের? সমস্যাটি ঘুরে আবার এক জায়গায় এসেছে। এবার গোপন key পৌঁছানোর সমস্যা নয়, বরং সঠিক public key চেনার সমস্যা। এর উত্তরই digital signature, certificate আর CA, যা পর্ব ১১-এর মূল বিষয়।

৯ · Key নিরাপদে বানানো আর রাখা — SSH দিয়ে হাতে-কলমে

সবচেয়ে শক্ত algorithm-ও দুর্বল হয়ে পড়ে দুটি জায়গায়। এক, key বানানোর সময় random মান খারাপ হলে। দুই, private key হাতছাড়া হলে। বাস্তবের বেশিরভাগ ব্যর্থতা গণিতে নয়, এই দুই জায়গায় ঘটে।

• Key আসে OS-এর CSPRNG থেকে, আর বানায় পরিচিত tool বা library. Math.random() বা সময়-ভিত্তিক seed নয়
• Key যেখানে ব্যবহার হবে সেখানেই বানানো হয়, আর private key কপি করে ঘোরানো হয় না
• ব্যক্তিগত key passphrase দিয়ে মোড়ানো, আর file permission শুধু মালিকের জন্য
• গুরুত্বপূর্ণ key HSM, TPM বা security key-র ভেতরে, যেখান থেকে বের করা কঠিন
• Key কোনো repository, chat, ticket বা AI prompt-এ যায় না। Server-এর key থাকে secret manager বা KMS-এ
• প্রতিটি key-এর মালিক, উদ্দেশ্য, মেয়াদ আর বদলের পরিকল্পনা তালিকায় লেখা আছে
• ফাঁস হলে কী করবেন তা আগেই ঠিক করা: বাতিল, নতুন key, পুরোনো ব্যবহার খোঁজা

নিজের কম্পিউটারে একটি SSH key

SSH key public key cryptography-র সবচেয়ে হাতের কাছের উদাহরণ। Server-এ থাকে আপনার public key. Login-এর সময় আপনার কম্পিউটার private key দিয়ে একটি চ্যালেঞ্জে সই করে, private key পথে যায় না। নিচের কমান্ডগুলো নিজের কম্পিউটারে, নিজের key-এর জন্য।

# On your own computer. It asks where to save and for a passphrase.
ssh-keygen -t ed25519 -a 100 -C "rima-laptop-2026"

# Show the fingerprint of the PUBLIC key
ssh-keygen -lf ~/.ssh/id_ed25519.pub

# Private key: owner only (Linux and macOS)
chmod 600 ~/.ssh/id_ed25519

আমরা OpenSSH 10.2 দিয়ে একটি ফেলে দেওয়ার মতো demo key বানিয়ে দ্বিতীয় কমান্ডটি চালিয়েছি। এটি তার আসল আউটপুট, তবে version-ভেদে আকার আলাদা হতে পারে। আপনার মান অবশ্যই আলাদা হবে।

256 SHA256:6mxJ2SD0Kn46p8qSgqSQjCaS0iYoGC0XzKRcFJuqeLk demo-key-example (ED25519)

এখানে 256 হলো key-এর আকার, মাঝের অংশ fingerprint আর শেষে key-এর ধরন। -a 100 passphrase থেকে key বানানোর ধাপ বাড়ায়, তাই private key ফাইল চুরি হলেও passphrase অনুমান করা ধীর হয়। ফাইল দুটির নাম মনে রাখুন। id_ed25519 private, id_ed25519.pub public. শুধু .pub ফাইলটিই অন্য কোথাও যায়।

নিজের server-এ key-login ঠিকমতো কাজ করছে দেখার পর password login বন্ধ করা যায়।

# /etc/ssh/sshd_config on a server you administer
PubkeyAuthentication yes
PasswordAuthentication no
PermitRootLogin no

# Check the file before reloading the service
# sudo sshd -t

SSH নিজেও এই পর্বের সব ধারণা একসাথে ব্যবহার করে। Key exchange দিয়ে session key, host key-এর সই দিয়ে server-এর পরিচয়, ব্যবহারকারীর সই দিয়ে আপনার পরিচয়, আর symmetric cipher দিয়ে ডেটা। OpenSSH 10.0 (২০২৫) থেকে default key agreement হিসেবে mlkem768x25519-sha256 আসে, যা X25519-এর সাথে post-quantum ML-KEM জুড়ে দেয়।

১০ · AI-এর যুগে public key-এর কাজ

AI খুব দ্রুত RSA বা SSH-এর কোড ও কমান্ড লিখে দেয়। কিন্তু cryptography-র কোড “চলছে” দেখে নিরাপদ বলা যায় না। ভুল padding-এর কোডও পুরোপুরি চলে। তাই AI-কে সহকারী হিসেবে রাখুন, আর সিদ্ধান্ত নিন নিজে।

AI-এর পরামর্শ হাতে পেলে — যাচাইয়ের চেকলিস্ট

• Algorithm, key size আর padding মূল standard-এ মিলিয়ে দেখেছি
• প্রতিটি RFC, CVE বা NIST নম্বর নিজে খুলে দেখেছি
• কোনো private key, token বা গ্রাহকের তথ্য prompt-এ দিইনি
• Certificate বা host key যাচাই বন্ধ করা হয়নি
• নিজের lab-এ ভুল ও ঠিক দুই পরিস্থিতিই পরীক্ষা করেছি, আর diff পর্যালোচনা করেছি
• মানুষের ওপর প্রভাব ফেলে এমন সিদ্ধান্ত একজন মানুষ নিচ্ছেন