এনক্রিপশন ও ডেটা সুরক্ষা

১ · এনক্রিপশন ইন-ট্রানজিট — TLS/HTTPS

এনক্রিপশন ইন-ট্রানজিটEncryption in Transitডেটা নেটওয়ার্কের মধ্য দিয়ে যাওয়ার সময় (ক্লায়েন্ট থেকে সার্ভার) সুরক্ষিত রাখা — TLS/HTTPS এর মূল কাজ। নিশ্চিত করে ক্লায়েন্ট ও সার্ভারের মধ্যে চলাচল করা ডেটা কেউ মাঝপথে পড়তে বা বদলাতে না পারে (L06-এ HTTPS-এর সংক্ষিপ্ত পরিচিতি দেখুন)। এই সুরক্ষা দুই ধাপে কাজ করে —

২ · এনক্রিপশন এট-রেস্ট

এনক্রিপশন এট-রেস্টEncryption at Restডিস্কে/ডেটাবেসে/ব্যাকআপে সংরক্ষিত ডেটা সুরক্ষিত রাখা — কেউ সরাসরি স্টোরেজ চুরি করলেও কী ছাড়া ডেটা পড়তে পারবে না। সাধারণত AES দিয়ে করা হয়, এবং কী সংরক্ষণ করা হয় একটি আলাদা Key Management Service (KMS)-এ — যাতে "কে এনক্রিপ্টেড বাইট পড়তে পারে" (স্টোরেজ অ্যাক্সেস) ও "কে কী ধারণ করে" (KMS অ্যাক্সেস) দুটো আলাদা নিয়ন্ত্রণ-স্তর থাকে। কেউ শুধু ডিস্ক/ব্যাকআপ চুরি করলেও, KMS অ্যাক্সেস ছাড়া ডেটা পড়া অসম্ভব।

৩ · হ্যাশিং বনাম এনক্রিপশন — পাসওয়ার্ডের জন্য কোনটা

এনক্রিপশন রিভার্সিবল — সঠিক কী থাকলে যেকোনো এনক্রিপ্টেড ডেটা আবার আসল রূপে ফিরিয়ে আনা যায়। হ্যাশিংHashingএকমুখী (one-way) রূপান্তর — ইনপুট থেকে আউটপুট বের করা সহজ, কিন্তু আউটপুট থেকে আসল ইনপুট ফিরিয়ে আনা কম্পিউটেশনালি অসম্ভবের কাছাকাছি। সম্পূর্ণ একমুখী — কোনো কী দিয়েও হ্যাশ থেকে আসল ইনপুট ফিরিয়ে আনা যায় না। পাসওয়ার্ড কখনোই এনক্রিপ্ট নয়, সবসময় হ্যাশ করা উচিত — কারণ সার্ভারের নিজেরই কখনো পাসওয়ার্ডের মূল টেক্সট জানার দরকার নেই, শুধু যাচাই করার ক্ষমতা দরকার।

৪ · সল্টিং — একই পাসওয়ার্ড, ভিন্ন হ্যাশ

সল্টSaltহ্যাশ করার আগে পাসওয়ার্ডের সাথে যোগ করা একটি ইউনিক, র‍্যান্ডম মান — প্রতিটি পাসওয়ার্ডের জন্য আলাদা, ডেটাবেসে হ্যাশের পাশে প্লেইন টেক্সটে সংরক্ষিত থাকে। ছাড়া, দুইজন ইউজারের একই পাসওয়ার্ড থাকলে তাদের হ্যাশও হুবহু একই হতো — যা একটি প্রি-কম্পিউটেড rainbow-table আক্রমণকে সহজ করে দিত (লক্ষ লক্ষ সাধারণ পাসওয়ার্ডের হ্যাশ আগে থেকেই গণনা করে রাখা)। প্রতিটি পাসওয়ার্ডে একটি ইউনিক সল্ট যোগ করলে একই পাসওয়ার্ডও ভিন্ন হ্যাশে পরিণত হয় — প্রতিটি ইউজারের জন্য আক্রমণকারীকে আলাদাভাবে ব্রুট-ফোর্স করতে হয়, প্রি-কম্পিউটেড টেবিল আর কাজ করে না।

নিচের কোড সেলে stdlib hashlib ব্যবহার করে একই পাসওয়ার্ড দুটি ভিন্ন সল্ট দিয়ে হ্যাশ করা হলো — হ্যাশ দুটো ভিন্ন হবে। তারপর একটি ভেরিফিকেশন ফাংশন — সঠিক পাসওয়ার্ডে সফল, ভুল পাসওয়ার্ডে ব্যর্থ হবে।

import hashlib

def hash_password(password, salt):
    return hashlib.sha256((salt + password).encode()).hexdigest()

password = "MyS3cretPass!"

# বাস্তবে salt সাধারণত os.urandom(16).hex() দিয়ে জেনারেট করা হয়;
# এই ডেমোতে রিপ্রোডিউসিবল আউটপুটের জন্য দুটি আলাদা fixed salt ব্যবহার করা হলো।
salt1 = "9f86d081884c7d65"
salt2 = "3d4f2bfa1e5c8f21"

hash1 = hash_password(password, salt1)
hash2 = hash_password(password, salt2)

print("Salt 1:", salt1)
print("  Hash:", hash1)
print("Salt 2:", salt2)
print("  Hash:", hash2)
print("\nএকই পাসওয়ার্ড, ভিন্ন salt → হ্যাশ একই কিনা:", hash1 == hash2)

def verify_password(input_password, stored_salt, stored_hash):
    return hash_password(input_password, stored_salt) == stored_hash

print("\nসঠিক পাসওয়ার্ড দিয়ে verify:", verify_password("MyS3cretPass!", salt1, hash1))
print("ভুল পাসওয়ার্ড দিয়ে verify:  ", verify_password("WrongPass!", salt1, hash1))