Wireless নিরাপত্তা — WPA3, enterprise Wi-Fi আর ঝুঁকি কমানো

১ · বাতাস কেন threat model বদলে দেয়

একটি অফিসের তারের network-এ ঢুকতে হলে আগে দরজা পেরোতে হয়, তারপর একটি খালি port খুঁজতে হয়। দারোয়ান, তালা আর CCTV সেখানে নিজে থেকেই কিছুটা নিরাপত্তা দেয়। Wi-Fi-তে এই পুরো স্তরটি নেই। সংকেত দেয়াল পেরিয়ে সিঁড়ি, পাশের ফ্ল্যাট আর রাস্তায় চলে যায়।

এই একটি পার্থক্য থেকে চারটি নতুন ঝুঁকি তৈরি হয়। প্রথমে শব্দগুলো মিলিয়ে নিন। Access point বা AP হলো Wi-Fi-র সংযোগ দেওয়ার যন্ত্র। SSID হলো network-এর নাম, যা মানুষ বেছে নেয়। BSSID হলো একটি AP radio-র নিজস্ব ঠিকানা।

এখানে attack surface শুধু AP নয়। Client ফোন, laptop, printer, ক্যামেরা, সবাই এর অংশ। পর্ব ২১ · Network-এর ঝুঁকি-তে যে MITM ধারণা আছে, Wi-Fi-তে তা আরও সহজ হয়ে দাঁড়ায়, কারণ মাঝখানে বসতে তার কাটতে হয় না।

২ · WEP থেকে WPA2 — ভুল থেকে শেখার ইতিহাস

কারিগরি বিবরণ Wi-Fi পর্বে আছে। এখানে দেখব প্রতিটি ধাপ কেন বাতিল হলো, আর রক্ষকের জন্য তার অর্থ কী।

রক্ষকের জন্য শিক্ষা একটি লাইনে: standard ভাঙার দিন আর network থেকে সেটি সরানোর দিন এক নয়। WEP-এর দুর্বলতা ২০০১ সালে জানা গেলেও বহু দোকান আর গুদামে এটি এর পরও অনেক বছর চলেছে। কারণ পুরোনো scanner বা POS যন্ত্র বদলাতে টাকা লাগে। এমন legacy system থাকলে আলাদা network-এ রাখা আর বদলানোর তারিখ ঠিক করা, দুটোই দরকার।

৩ · WPA2-Personal আর offline অনুমান — লম্বা passphrase কেন

WPA2-Personal-এ সবাই একটি pre-shared key জানেন, যা আসে একটি passphrase থেকে। ব্যাপারটি একটি বাড়ির সবার হাতে একই চাবি থাকার মতো। Passphrase থেকে PBKDF2 দিয়ে তৈরি হয় PMK; ৪,০৯৬ বার ঘুরিয়ে কাজটি ধীর করা হয়, আর SSID এখানে salt-এর মতো কাজ করে। এর পর 4-way handshake-এ দুই পক্ষ passphrase বাতাসে না পাঠিয়েই প্রমাণ করে যে তারা একই চাবি জানে।

ধারণাগত সমস্যাটি হলো: handshake-এর বার্তাগুলো যাচাই করার মতো তথ্য বহন করে। কেউ সেটি পেলে নিজের কম্পিউটারে অনুমান মিলিয়ে দেখতে পারে, AP-কে আর লাগে না। একেই বলে offline অনুমান। সেখানে rate limit, lockout বা log, কিছুই কাজ করে না। পর্ব ১৩-র Password নিরাপদে রাখা-য় আপনি ঠিক একই হিসাব দেখেছেন। এই পর্বে শুধু প্রতিরক্ষার হিসাব থাকবে, রেকর্ড বা অনুমানের কোনো ধাপ নয়।

নিচের planner একটি passphrase বেছে নেওয়ার জন্য। অনুমানের হার দুটি আমরা ধরে নিয়েছি: ছোট সেটআপে সেকেন্ডে 1e5 আর বড় সেটআপে 1e8. আসল হার hardware-ভেদে অনেক বদলায়। তুলনার ধারাটিই এখানে মূল কথা।

// Passphrase planner for YOUR OWN network. Rates are assumed, nothing is attacked.
const RATES = { small: 1e5, large: 1e8 };   // assumed guesses per second
const YEAR = 365.25 * 24 * 3600;
const plans = [
  ["8 digits", 10, 8],
  ["8 lowercase", 26, 8],
  ["12 random mixed", 62, 12],
  ["16 random mixed", 62, 16],
  ["4 random words", 7776, 4],
  ["6 random words", 7776, 6],
];

function show(sec) {
  if (sec < 60) return sec.toFixed(1) + " sec";
  if (sec < 3600) return (sec / 60).toFixed(1) + " min";
  if (sec < 86400) return (sec / 3600).toFixed(1) + " hours";
  if (sec < YEAR) return (sec / 86400).toFixed(1) + " days";
  return (sec / YEAR).toExponential(1) + " years";
}

console.log("plan".padEnd(18) + "bits".padStart(6) + "  avg@1e5/s".padEnd(16) + "avg@1e8/s");
for (const [name, size, len] of plans) {
  const bits = len * Math.log2(size);
  // On average a search finds the answer after half the space.
  const half = 2 ** (bits - 1);
  console.log(
    name.padEnd(18) + bits.toFixed(1).padStart(6) + "  " +
    show(half / RATES.small).padEnd(14) + show(half / RATES.large)
  );
}
console.log("Valid only if the passphrase is truly random.");

বাস্তব পরামর্শ তাই সহজ। পাঁচ-ছয়টি অসম্পর্কিত শব্দ এলোমেলোভাবে বেছে নিন, অথবা password manager দিয়ে ২০ অক্ষর বানান। ফোন নম্বর, বাসার ঠিকানা বা দোকানের নাম নয়। ডিফল্ট SSID সরিয়ে একটি নিজস্ব নাম দিন, যাতে আগে থেকে বানানো হিসাব-তালিকা কাজে না লাগে। অতিথিকে মূল passphrase দেবেন না; তার জন্য অংশ ৮-এর guest network আছে।

৪ · WPA3-Personal — SAE, forward secrecy আর PMF

WPA3 Wi-Fi Alliance ২০১৮ সালে ঘোষণা করে। এটি একটি নতুন cipher যতটা, তার চেয়ে বেশি একটি certification: কোন কোন সুরক্ষা থাকতেই হবে তার তালিকা। বাড়ির জন্য সবচেয়ে বড় পরিবর্তন SAE (Simultaneous Authentication of Equals), যা Dragonfly নামের একটি key exchange-এর ওপর দাঁড়ানো। SAE passphrase ব্যবহার করে, কিন্তু handshake-এ এমন কিছু ছাড়ে না যা দিয়ে ঘরে বসে অনুমান মেলানো যায়।

নিচের stepper একই বাড়ির network-কে দুই পদ্ধতিতে পাশাপাশি দেখায়। এটি উচ্চ স্তরের তুলনা; গণিত নয়, আচরণ দেখুন।

Protected Management Frames

Wi-Fi-তে ডেটা ছাড়াও “সংযোগ ছাড়ুন”-এর মতো management frame চলে। আগে এগুলো সুরক্ষিত ছিল না, তাই জাল deauthentication frame দিয়ে কাউকে network থেকে ফেলে দেওয়া যেত। PMF (802.11w, ২০০৯) সংযুক্ত client-এর ক্ষেত্রে এমন গুরুত্বপূর্ণ frame-কে cryptographically সুরক্ষিত করে। WPA2-তে এটি ঐচ্ছিক ছিল, WPA3-তে বাধ্যতামূলক।

যা ঠেকায়: জাল disconnect frame. যা ঠেকায় না: radio jamming, আর সংযোগের আগের সব frame. কীভাবে বুঝবেন: Router-এর পাতায় PMF “Required” দেখাচ্ছে কি না, আর হঠাৎ অনেক client একসঙ্গে পড়ে যাওয়ার ঘটনা WIDS-এ আসছে কি না।

Transition mode আর সীমা

পুরোনো যন্ত্রের জন্য transition mode একই SSID-এ WPA2 আর WPA3 দুটিই চালায়। এটি পরিবর্তনের সময়ের সেতু, স্থায়ী ঘর নয়। কারণ এতে PMF ঐচ্ছিক থাকে, আর জাল AP client-কে WPA2-তে নামানোর চেষ্টা করতে পারে, যা downgrade attack-এর ধারণা। সব যন্ত্র WPA3 বুঝলে শুধু WPA3 রাখুন। পুরোনো যন্ত্র থাকলে তাকে আলাদা SSID-তে রাখা ভালো বিকল্প।

WPA3-ও নিখুঁত নয়। ২০১৯ সালে Vanhoef আর Ronen Dragonblood গবেষণায় শুরুর দিকের SAE বাস্তবায়নে side channel আর downgrade সমস্যা দেখান। সমাধান এসেছে software হালনাগাদ আর নতুন hash-to-element পদ্ধতিতে। তাই “WPA3 কেনা” যথেষ্ট নয়, firmware হালনাগাদও লাগে।

৫ · WPA3-Enterprise — প্রত্যেকের নিজের পরিচয়পত্র

অফিসে একটি passphrase সবার হাতে থাকলে তিনটি সমস্যা হয়: কে ঢুকলেন বোঝা যায় না, কেউ চাকরি ছাড়লে সবার পরিবর্তন লাগে, আর একজনের ভুলে সবাই ঝুঁকিতে পড়েন। Enterprise মোড এই সমস্যা মেটায়। এখানে চাবি নয়, পরিচয় যাচাই হয়।

802.1X হলো port-ভিত্তিক প্রবেশ নিয়ন্ত্রণ। EAP হলো যাচাইয়ের বার্তা বহনের কাঠামো, যার ওপর নানা পদ্ধতি চলে। EAP-TLS দুই দিকেই certificate ব্যবহার করে, তাই password চুরির ঝুঁকি থাকে না; এটি অনেকটা mTLS-এর মতো। PEAP আর EAP-TTLS আগে একটি TLS সুড়ঙ্গ বানায়, তারপর ভেতরে password দিয়ে যাচাই করে। সব ক্ষেত্রেই সুড়ঙ্গটি ততটাই ভালো, যতটা client সার্ভারের certificate যাচাই করে। Certificate-এর বিশ্বাসের শিকল দেখুন পর্ব ১১-এ।

একটি কাল্পনিক প্রতিষ্ঠানের কর্মী রিনা office laptop-এ BazarStaff-এ যুক্ত হচ্ছেন। পুরো পথটি দেখুন। শেষ ধাপটি খেয়াল করুন: জাল AP কেমন করে ধরা পড়ে।

WPA3-Enterprise যা যোগ করে: PMF বাধ্যতামূলক, আর সার্ভার যাচাইয়ের ওপর জোর। উচ্চ নিরাপত্তার জায়গার জন্য আছে ঐচ্ছিক ১৯২-bit মোড, যেখানে GCMP-256-এর মতো শক্ত suite নির্দিষ্ট করা আছে। সাধারণ অফিসে মূল লাভ আসে EAP-TLS আর সঠিক certificate যাচাই থেকে, ১৯২-bit লেবেল থেকে নয়।

৬ · Rogue AP, evil twin আর wireless intrusion detection

দুটি শব্দ প্রায়ই গুলিয়ে যায়, অথচ সমাধান আলাদা।

ধরার ভিত্তি হলো একটি অনুমোদিত তালিকা: কোন SSID, কোন BSSID, কোন চ্যানেল, কোন security. তালিকা ছাড়া “অচেনা” বলে কিছু নেই। WIDS (wireless intrusion detection system) ভবনের sensor দিয়ে বাতাস শুনে এই তালিকার সঙ্গে মেলায়। নিচের সিমুলেটর একটি নির্দিষ্ট খেলনা তালিকায় ঠিক সেই তুলনাটি করে; কোনো আসল radio ছোঁয় না।

// Toy rogue AP detector: compares a fixed scan list with an approved inventory.
// All names and addresses are fake (00:00:5e:00:53:xx is for documentation).
const P = "00:00:5e:00:53:";
const approved = [
  { ssid: "BazarStaff", bssid: P + "10", ch: 36, sec: "wpa3-ent" },
  { ssid: "BazarStaff", bssid: P + "11", ch: 149, sec: "wpa3-ent" },
  { ssid: "BazarGuest", bssid: P + "12", ch: 1, sec: "wpa3-sae" },
];
const scan = [
  { ssid: "BazarStaff", bssid: P + "10", ch: 36, sec: "wpa3-ent" },
  { ssid: "BazarGuest", bssid: P + "12", ch: 11, sec: "wpa3-sae" },
  { ssid: "BazarStaff", bssid: P + "66", ch: 6, sec: "wpa2-psk" },
  { ssid: "Bazar-Staff", bssid: P + "67", ch: 44, sec: "open" },
  { ssid: "TeaStall", bssid: P + "90", ch: 6, sec: "wpa2-psk" },
];

const norm = s => s.toLowerCase().replace(/[^a-z0-9]/g, "");
const names = new Set(approved.map(a => a.ssid));
const normNames = new Set(approved.map(a => norm(a.ssid)));

function judge(s) {
  const known = approved.find(a => a.bssid === s.bssid);
  if (known) {
    if (known.ssid !== s.ssid || known.sec !== s.sec) return "HIGH  known radio, wrong identity";
    return known.ch === s.ch ? "OK" : "CHECK known radio, new channel";
  }
  if (names.has(s.ssid)) return "HIGH  our name, unknown radio";
  if (normNames.has(norm(s.ssid))) return "HIGH  look-alike name";
  return "INFO  neighbour, not ours";
}

for (const s of scan) {
  console.log(s.ssid.padEnd(12) + s.bssid.slice(-2) + " ch" + String(s.ch).padEnd(4) + s.sec.padEnd(9) + judge(s));
}

একটি সীমা মনে রাখুন: BSSID নকল করা যায়। তাই তালিকায় মিল মানেই নিরাপদ নয়। ভালো WIDS একই radio দুই দূরের sensor-এ একসঙ্গে দেখলে, বা চেনা radio হঠাৎ দুর্বল security দেখালে সতর্ক করে। Rogue AP ধরতে তারের দিকও দেখুন: switch-এর port-এ 802.1X (NAC), অচেনা MAC ঠিকানা, নতুন DHCP সার্ভার। IDS-এর সাধারণ ধারণা দেখুন পর্ব ২৩-এ।

Detection-এর হিসাব: precision আর recall

ভিড়ের শহরে “অচেনা radio” মানেই শত শত প্রতিবেশী। একটি কাল্পনিক অফিসে এক মাসে ৭টি আসল rogue ঘটনা ঘটেছে ধরুন।

নিয়ম ক কিছুই বাদ দেয় না, কিন্তু ৩৯৩টি false positive বিশ্লেষককে ক্লান্ত করে দেয়। নিয়ম খ একটি ঘটনা হারায়, কিন্তু কাজে লাগে। তাই বাস্তবে নিয়ম খ-কে alert করা হয়, আর নিয়ম ক-কে শুধু মাসিক পর্যালোচনার তালিকায় রাখা হয়। নিচে নিয়ম খ-এর নামের অংশটি Sigma-ধাঁচে লেখা। wids log source-টি কাল্পনিক; আপনার পণ্যের field-এর সঙ্গে মিলিয়ে নিতে হবে।

title: Unknown radio using an approved SSID
status: experimental
logsource:
  product: wids
  category: wireless_scan
detection:
  approved_name:
    ssid:
      - BazarStaff
      - BazarGuest
  known_radio:
    bssid|startswith: '00:00:5e:00:53:1'
  condition: approved_name and not known_radio
falsepositives:
  - New AP installed before the inventory was updated
level: high

ধরা পড়লে কী করবেন

1. যাচাই: আসলেই আপনার তালিকার বাইরে কি না, inventory আর পরিবর্তনের রেকর্ড দেখুন।
2. খুঁজে বের করা: Sensor-এর সংকেত শক্তি থেকে আনুমানিক জায়গা, তারপর হাতে গিয়ে দেখা।
3. সীমিত করা: তারের দিকে থাকলে নিজের switch port বন্ধ করুন।
4. সাড়া: কেউ সন্দেহজনক AP-তে যুক্ত হয়ে থাকলে তাঁর password বদলান, session বাতিল করুন, আর ঘটনাটি নথিভুক্ত করুন।

“আকাশ থেকে” অন্যের AP বন্ধ করার চেষ্টা করবেন না। অন্যের সংযোগে জোর করে বাধা দেওয়া আইনি ঝুঁকি তৈরি করে, এমনকি নিজের ভবনের ভেতরেও। প্রশ্ন ০৫-এ এর উদাহরণ পাবেন।

Evil twin-এর বিরুদ্ধে client-এর প্রতিরক্ষা: Enterprise-এ certificate যাচাই, WPA3 আর PMF, ফোন থেকে পুরোনো খোলা network মুছে ফেলা, আর “অদ্ভুত login পাতা দেখলে IT-কে জানান” সংস্কৃতি।

৭ · KRACK-এর শিক্ষা আর বাড়ির router hardening

KRACK ২০১৭ — প্রতিবেদনের স্তরে

২০১৭ সালে Mathy Vanhoef আর Frank Piessens প্রকাশ করেন KRACK (Key Reinstallation Attacks), ACM CCS সম্মেলনে। প্রকাশিত প্রতিবেদন অনুযায়ী এটি কোনো একটি কোম্পানির বাগ ছিল না; WPA2 standard-এর handshake-এর আচরণেই ত্রুটি ছিল। নির্দিষ্ট পরিস্থিতিতে client একটি চাবি আবার বসাত, আর এতে nonce আগের অবস্থায় ফিরে যেতে পারত। Nonce আবার ব্যবহার হলে symmetric encryption-এর নিশ্চয়তা নষ্ট হয়, যেমনটি পর্ব ০৮-এ দেখেছেন।

এর শিক্ষাগুলো হামলার ধাপের চেয়ে অনেক বেশি কাজের:

• Passphrase বদলে লাভ নেই। KRACK passphrase ফাঁস করত না। সমাধান ছিল patch.
• Client-ও patch করতে হয়। সবাই router নিয়ে ভাবেন, অথচ মূল সংশোধন লেগেছিল ফোন আর laptop-এ। পুরোনো ফোন আর IoT যন্ত্র বছরের পর বছর patch ছাড়া থেকে গেছে।
• সমাধান পুরোনো যন্ত্রের সঙ্গে মানিয়ে চলেছিল। পুরো Wi-Fi বদলাতে হয়নি। Patch করা যন্ত্র পুরোনো যন্ত্রের সঙ্গে কথা বলতে পেরেছে।
• স্তর বাঁচিয়েছে। যেসব traffic-এ ওপরের স্তরে TLS ছিল, সেগুলোর বিষয়বস্তু আলাদাভাবে সুরক্ষিত ছিল। এটিই defense in depth.

২০২১ সালে একই গবেষক FragAttacks নামে আরও কিছু Wi-Fi নকশাগত ও বাস্তবায়ন ত্রুটি প্রকাশ করেন। অর্থাৎ এটি একবারের ঘটনা নয়; হালনাগাদ চলমান কাজ।

বাড়ির router hardening

Router আপনার বাড়ির সদর দরজা। অথচ অনেকেই এটি একবার বসিয়ে আর কখনো খোলেন না। নিচের auditor একটি খেলনা router-এর সেটিং নম্বর দেয়। ওজনগুলো আমাদের শেখার জন্য ঠিক করা, কোনো standard নয়।

// Toy Wi-Fi configuration auditor. Settings are in-memory objects, no router is contacted.
const rules = [
  ["security mode",   25, c => c.sec === "wpa3" ? 1 : c.sec === "wpa2-aes" ? 0.6 : 0],
  ["passphrase 16+",  20, c => c.len >= 16 ? 1 : 0],
  ["admin pw changed", 15, c => c.adminChanged ? 1 : 0],
  ["WPS off",         10, c => c.wps ? 0 : 1],
  ["remote admin off", 10, c => c.remote ? 0 : 1],
  ["firmware <= 90 d", 10, c => c.fwDays <= 90 ? 1 : 0],
  ["guest network",   10, c => c.guest ? 1 : 0],
];

function grade(s) {
  return s >= 90 ? "A" : s >= 75 ? "B" : s >= 60 ? "C" : s >= 40 ? "D" : "F";
}

function audit(name, c) {
  let score = 0;
  const gaps = [];
  for (const [label, weight, test] of rules) {
    const got = weight * test(c);
    score += got;
    if (got < weight) gaps.push(label + " (-" + (weight - got) + ")");
  }
  // A broken or missing cipher cannot be saved by other good settings.
  const capped = c.sec === "wep" || c.sec === "open" || c.sec === "wpa2-tkip";
  const g = capped ? "F" : grade(score);
  console.log(name + ": score " + score + ", grade " + g + (capped ? " (capped)" : ""));
  console.log("  gaps: " + (gaps.join(", ") || "none"));
}

audit("flat-3A", { sec: "wpa2-aes", len: 10, adminChanged: false, wps: true, remote: false, fwDays: 200, guest: false });
audit("flat-3A fixed", { sec: "wpa3", len: 20, adminChanged: true, wps: false, remote: false, fwDays: 30, guest: true });
audit("old-shop", { sec: "wep", len: 20, adminChanged: true, wps: false, remote: false, fwDays: 30, guest: true });

এবার একটি খেলনা router-কে একই নিয়মে ধাপে ধাপে শক্ত করি। শুরুতে সে: WPA2-TKIP, ৮ অক্ষরের passphrase, ডিফল্ট admin password, WPS চালু, remote admin চালু, ৪০০ দিন পুরোনো firmware, আর কোনো guest network নেই। কাজটি নিজের router-এ করবেন, পারলে তারে যুক্ত হয়ে, যাতে Wi-Fi বদলের সময় সংযোগ না হারান।

নিজের যন্ত্রে এখন কী চলছে তা দেখতে পারেন। নিচের কমান্ডগুলো শুধু নিজের Windows laptop-এ আপনার সংযোগের তথ্য দেখায়; এগুলো অন্য কারও network ছোঁয় না।

# এখনকার সংযোগের authentication আর cipher দেখুন
netsh wlan show interfaces

# এই laptop-এ সংরক্ষিত Wi-Fi নামের তালিকা
netsh wlan show profiles

# পুরোনো খোলা network মুছে ফেলুন (নামটি উদাহরণ)
netsh wlan delete profile name="CafeFreeWiFi"

নমুনা আউটপুট — version-ভেদে আলাদা হতে পারে
    Authentication         : WPA2-Personal
    Cipher                 : CCMP

৮ · Guest isolation আর ছোট অফিসের নকশা

অতিথিকে Wi-Fi দেওয়া ভদ্রতা। তবে অতিথির ফোনে কী আছে তা আপনি জানেন না। Guest network মানে অতিথিকে ইন্টারনেট দেওয়া, কিন্তু আপনার laptop, printer বা server দেখতে না দেওয়া। সঙ্গে client isolation থাকলে এক অতিথিও আরেক অতিথিকে দেখতে পান না। এটি বৈঠকখানা আর শোবার ঘরের পার্থক্যের মতো: মেহমান বসার ঘরে বসেন, আলমারির চাবি পান না।

এই ধারণাই বড় আকারে segmentation, যা পর্ব ২২ · Firewall আর segmentation-এ বিস্তারিত আছে। অফিসে সাধারণত প্রতিটি দলের জন্য আলাদা VLAN রাখা হয়, আর firewall তাদের মাঝের পথ ঠিক করে। ক্যামেরা বা স্মার্ট বাতির মতো যন্ত্র আপডেট কম পায়, তাই তাদের কর্মীদের যন্ত্র থেকে আলাদা রাখা উচিত।

RADIUS চালানোর সামর্থ্য না থাকলে কী করবেন? দশজনের ছোট অফিসের জন্য কিছু বিকল্প আছে: পণ্যের সঙ্গে আসা বা cloud-ভিত্তিক RADIUS, অথবা কিছু পণ্যে প্রতি ব্যবহারকারীর আলাদা passphrase. কোনোটিই না হলে WPA3-Personal, লম্বা passphrase, আর কেউ চলে গেলেই passphrase বদলের একটি লিখিত নিয়ম রাখুন। নিখুঁত না হলেও সৎ ও চালানো যায় এমন নকশা কাগজে থাকা ভালো নকশার চেয়ে নিরাপদ।

নকশা লিখলেই কাজ শেষ নয়। প্রতিবার নিয়ম বদলালে যাচাই করতে হয়, যে দরজাগুলো বন্ধ থাকার কথা সেগুলো সত্যিই বন্ধ কি না। নিচের পরীক্ষাটি প্রথম-মেলা-নিয়ম আর default deny ধরে চলে। একটি “সবার printing দরকার” ধরনের সহজ নিয়ম কী করে দেখুন।

// Toy guest-isolation check: first matching rule wins, default is deny. In memory only.
const buggy = [
  { from: "any", to: "printer", act: "allow" },   // "everyone needs printing"
  { from: "staff", to: "server", act: "allow" },
  { from: "staff", to: "internet", act: "allow" },
  { from: "guest", to: "internet", act: "allow" },
  { from: "iot", to: "cloud-vendor", act: "allow" },
];
const fixed = [{ from: "staff", to: "printer", act: "allow" }, ...buggy.slice(1)];
const tests = [
  ["guest", "internet", "allow"], ["guest", "guest", "deny"],   // client isolation
  ["guest", "server", "deny"], ["guest", "printer", "deny"],
  ["iot", "server", "deny"], ["iot", "internet", "deny"],
  ["staff", "printer", "allow"],
];

function decide(rules, from, to) {
  for (const r of rules) {
    if ((r.from === "any" || r.from === from) && r.to === to) return r.act;
  }
  return "deny";   // default deny
}

function check(label, rules) {
  const bad = tests.filter(([f, t, want]) => decide(rules, f, t) !== want);
  console.log(label + ": " + (tests.length - bad.length) + "/" + tests.length + " passed");
  for (const [f, t, want] of bad) {
    console.log("  FAIL " + f + " -> " + t + ": got " + decide(rules, f, t) + ", want " + want);
  }
}

check("buggy", buggy);
check("fixed", fixed);

৯ · Public Wi-Fi, Bluetooth আর NFC — সৎ পরামর্শ

“Public Wi-Fi কখনো ব্যবহার করবেন না” পরামর্শটি পুরোনো, আর অনেকেই মানেন না। আজ বেশিরভাগ ওয়েবসাইট HTTPS ব্যবহার করে, তাই অবস্থা আগের চেয়ে অনেক ভালো। তবে “কিছুই দেখা যায় না” বলাও ভুল। সত্যটি মাঝখানে।

সবচেয়ে বাস্তব ঝুঁকি তাই encryption ভাঙা নয়, captive portal-এর ছদ্মবেশে জাল পাতা। ফ্রি Wi-Fi-এর নামে কোনো পাতা Google বা ব্যাংকের password চাইলে থামুন। Wi-Fi পেতে এসব লাগার কথা নয়।

• Certificate সতর্কবার্তা এলে “তবুও এগিয়ে যান” চাপি না; সংযোগ ছেড়ে দিই
• Portal-এ কখনো আসল password বা OTP দিই না
• Auto-join বন্ধ রাখি, কাজ শেষে “Forget” করি
• File sharing বন্ধ, Windows-এ network “Public” হিসেবে রাখি, firewall চালু রাখি
• ব্যাংক বা মোবাইল ব্যাংকিংয়ের কাজ পারলে নিজের মোবাইল ডেটায় করি, আর OS ও app হালনাগাদ রাখি

VPN নিয়ে সৎ কথা: VPN আশেপাশের মানুষ আর hotspot মালিকের কাছ থেকে আপনার গন্তব্য লুকায়। কিন্তু বিশ্বাসটি VPN প্রতিষ্ঠানের কাছে চলে যায়, আর phishing, malware বা জাল পাতা এতে ঠেকে না। এটি একটি সরঞ্জাম, জাদু নয়। বিস্তারিত দেখুন পর্ব ২৫ · VPN আর ZTNA-য়।

Bluetooth আর NFC — ছোট নোট

Bluetooth: সমস্যা সাধারণত বাস্তবায়নে আর pairing-এ। ২০১৭ সালের BlueBorne আর ২০১৯ সালের KNOB-এর মতো প্রকাশিত গবেষণা দেখিয়েছে, হালনাগাদ এখানেও মূল প্রতিরক্ষা। ব্যবহার না করলে বন্ধ রাখুন বা অন্তত “discoverable” বন্ধ রাখুন, অচেনা pairing অনুরোধ নাকচ করুন, পুরোনো জোড়া মুছে ফেলুন।

NFC: সীমা কয়েক সেন্টিমিটার, তাই ঝুঁকিও কম, তবে শূন্য নয়। ফোনের contactless পেমেন্টে সাধারণত অতিরিক্ত যাচাই আর tokenization থাকে। কার্ডে লেনদেনের সীমা ঠিক করুন, আর হারালে সঙ্গে সঙ্গে বন্ধ করুন। ফোনের NFC tag থেকে অচেনা লিংক খুলবেন না। আরও মোবাইল-বিষয় থাকবে পর্ব ৩৫-এ।

১০ · AI-এর যুগে Wi-Fi নিরাপত্তা

Router-এর সেটিং বা RADIUS config পড়তে AI ভালো সহকারী। তবে সে আপনার router দেখতে পায় না, আর অনেক সময় নিশ্চিত গলায় পুরোনো বা ভুল কথা বলে।

AI-এর Wi-Fi পরামর্শ হাতে পেলে

• প্রম্পটে কোনো আসল passphrase, shared secret, private key বা ব্যক্তিগত তথ্য দিইনি
• প্রতিটি CVE, RFC বা standard-এর দাবি মূল উৎসে মিলিয়েছি
• পরামর্শে কোনো সুরক্ষা বন্ধ করতে বলা হলে কারণ বুঝেছি, আর অন্য পথ খুঁজেছি
• সেটিং বদলের আগে backup নিয়েছি, আর নিজের network-এ এক যন্ত্রে পরীক্ষা করেছি
• মানুষকে প্রভাবিত করে এমন সিদ্ধান্ত, যেমন কারও access বন্ধ করা, মানুষ নিয়েছে