ওপেনএসএসএইচ/এসএসএইচ প্রোটোকলসমূহ

ওপেনএসএসএইচ এসএসএইচ প্রোটোকল ব্যবহার করে, যা টিসিপির মাধ্যমে সংযোগ স্থাপন করে। সাধারণত প্রতি টিসিপি সংযোগে একটি এসএসএইচ সেশন তৈরি করা হয়, তবে সেভাবে পরিকল্পনা করা হলে একাধিক সেশন একটি একক টিসিপি সংযোগের ওপর মাল্টিপ্লেক্স করা যায়। সিকিউর শেল প্রোটোকলের বর্তমান সেট হলো এসএসএইচ২। এটি পুরোনো ও অপ্রচলিত এসএসএইচ১ প্রোটোকলের পুনর্লিখন। এতে নিরাপত্তা, কর্মক্ষমতা এবং বহনযোগ্যতার ক্ষেত্রে উল্লেখযোগ্য উন্নতি রয়েছে। বর্তমানে ডিফল্ট হলো এসএসএইচ২ এবং ক্লায়েন্ট ও সার্ভার উভয় থেকেই এসএসএইচ১ সমর্থন অপসারণ করা হয়েছে।

এসএসএইচ পাসওয়ার্ড প্রমাণীকরণের সিকোয়েন্স ডায়াগ্রাম

সিকিউর শেল প্রোটোকল একটি উন্মুক্ত মান। সে হিসেবে এটি বিক্রেতা-নিরপেক্ষ এবং ইন্টারনেট ইঞ্জিনিয়ারিং টাস্ক ফোর্স দ্বারা রক্ষণাবেক্ষিত। বর্তমান প্রোটোকল আরএফসি ৪২৫০ থেকে আরএফসি ৪২৫৬-এ বর্ণিত এবং আইইটিএফ সেকশ কর্মদল দ্বারা মানকায়িত। এসএসএইচ২-এর সামগ্রিক কাঠামো আরএফসি ৪২৫১, সিকিউর শেল প্রোটোকল আর্কিটেকচারে বর্ণিত।

এসএসএইচ প্রোটোকল তিনটি স্তর নিয়ে গঠিত: পরিবহন স্তর, প্রমাণীকরণ স্তর এবং সংযোগ স্তর।

এসএসএইচ-কানেক্ট – সংযোগ স্তর ব্যবহারকারী প্রমাণীকরণ প্রোটোকলের ওপর চলে। এটি প্রমাণীকৃত সংযোগের ওপর বহু ভিন্ন সমসাময়িক এনক্রিপ্টেড চ্যানেলকে লজিক্যাল চ্যানেলে মাল্টিপ্লেক্স করে। এটি লগইন সেশন ও টিসিপি-ফরওয়ার্ডিংয়ের টানেলিংয়ের সুযোগ দেয়। এটি এসব চ্যানেলের জন্য ফ্লো কন্ট্রোল সেবা প্রদান করে। পাশাপাশি, বিভিন্ন চ্যানেল-নির্দিষ্ট অপশন নিয়ে সমঝোতা করা যায়। এই স্তর এসএসএইচ সেশন, সেশন মাল্টিপ্লেক্সিং, এক্স১১ ফরওয়ার্ডিং, টিসিপি ফরওয়ার্ডিং, শেল, দূরবর্তী প্রোগ্রাম চালানো এবং এসএফটিপি সাবসিস্টেম চালু করার কাজ পরিচালনা করে।

এসএসএইচ-ইউজারঅথ – ব্যবহারকারী প্রমাণীকরণ স্তর ক্লায়েন্ট-পক্ষকে সার্ভারের কাছে প্রমাণীকৃত করে। এটি প্রতিষ্ঠিত সংযোগ ব্যবহার করে এবং পরিবহন স্তরের ওপর চলে। এটি ব্যবহারকারী প্রমাণীকরণের জন্য কয়েকটি পদ্ধতি প্রদান করে। এর মধ্যে রয়েছে পাসওয়ার্ড প্রমাণীকরণ, সর্বজনীন-কী বা হোস্ট-ভিত্তিক প্রমাণীকরণ পদ্ধতি, চ্যালেঞ্জ-রেসপন্স, প্লাগেবল অথেন্টিকেশন মডিউলস, জেনেরিক সিকিউরিটি সার্ভিসেস এপিআই এবং এমনকি ডঙ্গলও।

এসএসএইচ-ট্রান্স – পরিবহন স্তর টিসিপির ওপর সার্ভার প্রমাণীকরণ, গোপনীয়তা এবং ডেটার অখণ্ডতা প্রদান করে। এটি অ্যালগরিদম নিয়ে সমঝোতা এবং কী এক্সচেঞ্জের মাধ্যমে তা করে। কী এক্সচেঞ্জের মধ্যে সার্ভার প্রমাণীকরণ অন্তর্ভুক্ত থাকে এবং এর ফলে ক্রিপ্টোগ্রাফিকভাবে সুরক্ষিত সংযোগ তৈরি হয়: এটি অখণ্ডতা, গোপনীয়তা এবং ঐচ্ছিক কম্প্রেশন প্রদান করে।

বর্তমান প্রোটোকল এসএসএইচ২ এবং অপ্রচলিত এসএসএইচ১ প্রোটোকলের পার্থক্যগুলোর মধ্যে একটি হলো, এসএসএইচ২ প্রমাণীকরণের জন্য হোস্ট কী ব্যবহার করে। অন্যদিকে এসএসএইচ১ প্রমাণীকরণের জন্য সার্ভার কী ও হোস্ট কী—উভয়ই ব্যবহার করত। প্রোটোকলগুলো সম্পর্কে এমন বেশি কিছু যোগ করার নেই, যা আরএফসি ৪২৫১-এ আরও বিস্তারিত ও কর্তৃত্বপূর্ণভাবে ইতিমধ্যে আলোচিত নয় ।

এসএসএইচ ফাইল ট্রান্সফার প্রোটোকল

এসএসএইচ ফাইল ট্রান্সফার প্রোটোকল হলো নিরাপদ ফাইল স্থানান্তর, প্রবেশাধিকার এবং ব্যবস্থাপনা প্রদানের জন্য একটি বাইনারি প্রোটোকল।

২০০০ সালের নভেম্বরে ওপেনএসএসএইচ-এর ২.৩.০ প্রকাশের সময় সার্ভার পাশে মার্কুস ফ্রিডল এসএফটিপি যোগ করেন। ডেমিয়েন মিলার ২.৫.০ সংস্করণের সময় ক্লায়েন্ট পাশে এসএফটিপি সমর্থন যোগ করেন। এরপর থেকে অনেকে ক্লায়েন্ট ও সার্ভার—উভয় ক্ষেত্রেই এতে সংযোজন করেছেন।

এসএফটিপি এফটিপিএস নয়

সাধারণ ফাইল স্থানান্তরের জন্য ওপেনএসএসএইচ সার্ভার থাকা মেশিনে একটি অ্যাকাউন্টের বেশি কিছু প্রয়োজন হয় না। এসএফটিপি সমর্থন ওপেনএসএসএইচ সার্ভার প্যাকেজের মধ্যেই অন্তর্ভুক্ত। পুরোনো এফটিপির বিপরীতে, এসএফটিপি প্রোটোকলটি লগইন ও ডেটা স্থানান্তর—উভয় ক্ষেত্রেই যতটা সম্ভব নিরাপদ করার উদ্দেশ্যে শুরু থেকেই নকশা করা হয়েছে।

সাম্বা হলো একটি আন্তঃকার্যক্ষমতা স্যুট, যা এসএমবি/সিআইএফএস প্রোটোকল ব্যবহার করতে পারে এমন যেকোনো ক্লায়েন্টের জন্য দ্রুত ফাইল ও প্রিন্ট সেবা প্রদান করে। এটি সাধারণত লোকাল এরিয়া নেটওয়ার্ক স্তরে ফাইল শেয়ারিংয়ের জন্য সবচেয়ে বেশি ব্যবহৃত হয়।

এএফএস, বা অ্যান্ড্রু ফাইল সিস্টেম, হলো একটি বিতরণকৃত ফাইল সিস্টেম, যা ভৌগোলিকভাবে বিচিত্র কোনো প্রতিষ্ঠান বা সহযোগী প্রতিষ্ঠানসমূহের মধ্যে প্রাতিষ্ঠানিক স্তরে ফাইল শেয়ারিং প্রদান করে। উল্লেখযোগ্যভাবে, এটি সব ক্লায়েন্ট ওয়ার্কস্টেশনের জন্য বিশ্বস্ত সার্ভারের একটি সেট এবং সমজাতীয়, অবস্থান-স্বচ্ছ ফাইল নামস্থান প্রদান করে।

ব্যবহারের ক্ষেত্রটি যদি সর্বসাধারণের জন্য উন্মুক্ত, কেবল-পঠনযোগ্য ডাউনলোডের দাবি না করে, তাহলে এফটিপি নিয়ে নাড়াচাড়া করার চিন্তা করার দরকার নেই। এফটিপি প্রোটোকল নিজেই স্বভাবগতভাবে অনিরাপদ। কেবল-পঠনযোগ্য, সর্বজনীন ডেটা স্থানান্তরের জন্য এটি ভালো। উদাহরণস্বরূপ, ভিএসএফটিপিডি এবং প্রোএফটিপিডি প্রোগ্রামগুলো সার্ভার সফটওয়্যারের দিক থেকে নিরাপদ, যদিও প্রোটোকলটি নিজেই এখনও অনিরাপদ। অন্য কথায়, প্রোগ্রাম নিজে মোটামুটি ঠিক আছে এবং যদি কেবল-পঠনযোগ্য, সর্বসাধারণের জন্য উপলব্ধ ডাউনলোড দিতে হয়, তাহলে এফটিপি হয়তো সঠিক সরঞ্জাম হতে পারে। অন্যথায় এফটিপি ভুলে যান। প্রায় সবসময় ব্যবহারকারীরা যখন "এফটিপি" চান, তখন তারা আরএফসি ১১৪-এ বর্ণিত ১৯৭১ সালের পুরোনো ফাইল ট্রান্সফার প্রোটোকলটিকেই নির্দিষ্টভাবে বোঝান না; বরং ফাইল স্থানান্তরের একটি সাধারণ উপায় বোঝান, আর এই সমস্যা সমাধানের অনেক উপায় আছে। এটি বিশেষভাবে সত্য, কারণ তাদের অনুরোধের পরবর্তী অংশ সাধারণত থাকে—এটি কীভাবে নিরাপদ করা যায়। "এফটিপি" নামটি প্রায়ই ভুলভাবে যেকোনো ফাইল স্থানান্তর উপযোগী সরঞ্জাম বোঝাতে সাধারণ অর্থে ব্যবহৃত হয়, অনেকটা দক্ষিণ যুক্তরাষ্ট্রের কিছু স্থানে "কোক" শব্দটি যেমন শুধু কোকা-কোলা নয়, যেকোনো কার্বনেটেড কোমল পানীয় বোঝাতে ব্যবহৃত হয়। এসএফটিপি অথবা বড় দলের জন্য এমনকি এসএসএইচএফএস, সাম্বা বা এএফএস বিবেচনা করুন। পুরোনো এফটিপি নেটওয়ার্কযুক্ত কম্পিউটার ব্যবহারে উৎসাহ দেওয়ার মূল লক্ষ্য অর্জনে খুবই সফল ছিল, কারণ এটি নেটওয়ার্কের যেকোনো হোস্টের ব্যবহারকারীদের সহযোগী যেকোনো হোস্টের ফাইল সিস্টেম ব্যবহার করতে দিত; কিন্তু এটিকে নিরাপদ করা যায় না। এ ব্যাপারে আর কিছু করার নেই, তাই এটি মেনে নিয়ে এগিয়ে যাওয়ার সময় অনেক আগেই পেরিয়ে গেছে।

আবারও, সমস্যা হলো প্রোটোকলটি নিজেই, অর্থাৎ এফটিপি। এফটিপিতে ডেটা, পাসওয়ার্ড এবং ব্যবহারকারী নাম—সবই এনক্রিপশন ছাড়া আদান-প্রদান করা হয়। এফটিপি ব্যবহৃত হলে ক্লায়েন্টের সাবনেট, সার্ভারের সাবনেট বা মাঝের যেকোনো সাবনেটের যে কেউ পাসওয়ার্ড ও ডেটা 'স্নিফ' করতে পারে। অতিরিক্ত প্রচেষ্টায় এফটিপিকে এসএসএল বা টিএলএস-এর ভেতরে মোড়ানো সম্ভব, ফলে এফটিপিএস তৈরি হয়। তবে এসএসএল/টিএলএস-এর ওপর এফটিপি টানেলিং করা জটিল এবং আদর্শ সমাধান থেকে অনেক দূরে।

দুর্ভাগ্যজনকভাবে নামের বিভ্রান্তি এবং এফটিপিএস প্রদানের জন্য এফটিপিকে এসএসএলের ভেতরে মোড়ানোর মতো জটিল ও খুঁটিনাটি কাজ নিয়ে তৈরি বিপুল সংখ্যক পোস্ট ও আলোচনার কারণে, ফাইল স্থানান্তর নিয়ে ওয়েব অনুসন্ধানে ভুল পদ্ধতিই এখনও সাধারণভাবে দেখা যায়। বিপরীতে, সহজ ও তুলনামূলকভাবে ঝামেলাহীন সমাধানগুলো হারিয়ে যায়, কারণ সেগুলো কীভাবে করতে হয় তা নিয়ে পোস্ট করার প্রয়োজন খুব কমই হয়। আবার, একটি সহজ সমাধান খুব অল্প কয়েকটি লাইনে এবং হয়তো একটি উত্তরেই সংক্ষেপে বলা যায়। ফলে অনলাইনে এফটিপি 'নিরাপদ' করার বিষয়ে এখনও প্রচুর আলোচনা আছে, কিন্তু এসএফটিপি ব্যবহারের উল্লেখ খুব কম। এটি একটি দুষ্টচক্র, যা এই বই ভাঙতে সহায়তা করতে চায়: কঠিন কাজ মানে অনেক আলোচনা ও কোলাহল, অনেক আলোচনা ও কোলাহল মানে শক্তিশালী ওয়েব উপস্থিতি, আর শক্তিশালী ওয়েব উপস্থিতি মানে উচ্চ গুগল র‍্যাংকিং।

এসএফটিপি সরঞ্জাম খুবই প্রচলিত, কিন্তু হয়তো সেগুলোকে স্বাভাবিক ধরে নেওয়া হয় এবং তাই উপেক্ষিত হয়। এসএফটিপি সরঞ্জাম ব্যবহার করা সহজ এবং পুরোনো এফটিপি ক্লায়েন্টের চেয়ে বেশি কার্যকর। আসলে ব্যবহারযোগ্যতার ক্ষেত্রে অনেক উন্নতি করা হয়েছে। ফাইল স্থানান্তরের জন্য প্রচলিত, জিইউআই-ভিত্তিক এসএফটিপি ক্লায়েন্টের কোনো অভাব নেই: ফাইলজিলা, কনকরার, ডলফিন, নটিলাস, সাইবারডাক, ফুগু এবং ফেচ তালিকার শীর্ষে আছে, তবে আরও অনেক আছে। অধিকাংশই মুক্ত সফটওয়্যার। আবারও, এসব এসএফটিপি ক্লায়েন্ট ব্যবহার করা খুবই সহজ। উদাহরণস্বরূপ, কনকরারে শুধু এসএফটিপি সার্ভারের ইউআরএল টাইপ করুন, যেখানে সার্ভারের নাম বা ঠিকানা হলো xx.yy.zz.aa।

sftp://xx.yy.zz.aa

যদি নির্দিষ্ট কোনো ডিরেক্টরি দিয়ে শুরু করা কাম্য হয়, তাহলে সেটিও নির্দিষ্ট করা যায়।

sftp://xx.yy.zz.aa/var/www/pictures/

জানার মতো একটি বিশেষ ক্লায়েন্ট হলো এসএসএইচএফএস। এসএফটিপি ক্লায়েন্ট হিসেবে এসএসএইচএফএস ব্যবহার করলে অন্য মেশিনটি আপনার মেশিনের স্থানীয় ফাইল সিস্টেমে একটি খোলা ফোল্ডার হিসেবে প্রবেশযোগ্য হয়। এভাবে আপনি সাধারণত ফাইল নিয়ে কাজ করার জন্য যে কোনো প্রোগ্রাম ব্যবহার করেন, যেমন লিব্রে অফিস, ইনস্কেপ বা গিম্প, সেই ফোল্ডারের মাধ্যমে দূরবর্তী মেশিনে প্রবেশ করতে পারে।

এফটিপির পটভূমি

এফটিপি ১৯৭০-এর দশকের প্রযুক্তি। এটি একটি বহু-পরীক্ষিত ও নির্ভরযোগ্য কর্মঘোড়া, তবে এমন এক যুগের, যখন আপনি নেটে থাকলে ধরে নেওয়া হতো আপনি সেখানে থাকারই কথা, আর কোনো সমস্যা হলে সাধারণত একটি ছোট ফোন কল বা এক-দুটি ই-মেইলের মাধ্যমে তা মিটিয়ে ফেলা যেত। এটি লগইন নাম, পাসওয়ার্ড এবং সব ডেটা এনক্রিপশন ছাড়াই পাঠায়, ফলে যে কেউ তা আটকাতে পারে। এফটিপি ক্লায়েন্ট এফটিপি সার্ভারের সঙ্গে প্যাসিভ বা অ্যাকটিভ—উভয় মোডেই সংযোগ করতে পারে। এফটিপির অ্যাকটিভ ও প্যাসিভ—উভয় মোডই দুটি পোর্ট ব্যবহার করে—একটি নিয়ন্ত্রণের জন্য এবং একটি ডেটার জন্য। এফটিপি অ্যাকটিভ মোডে, ক্লায়েন্ট এফটিপি সার্ভারের সঙ্গে সংযোগ করার পর ডেটা স্থানান্তরের জন্য সার্ভার থেকে একটি আগত সংযোগ শুরু করার অনুমতি দেয়। এফটিপি প্যাসিভ মোডে, ক্লায়েন্ট এফটিপি সার্ভারের সঙ্গে সংযোগ করার পর সার্ভার ডেটা স্থানান্তরের জন্য দ্বিতীয় একটি পোর্টের তথ্য দিয়ে সাড়া দেয় এবং ক্লায়েন্ট দ্বিতীয় সংযোগটি শুরু করে। বর্তমানে এফটিপি সবচেয়ে বেশি প্রাসঙ্গিক অ্যানোনিমাস এফটিপি হিসেবে, যা লগইন ছাড়া কেবল-পঠনযোগ্য ডাউনলোডের জন্য এখনও চমৎকার। কেবল-পঠনযোগ্য ডেটা স্থানান্তরের জন্য এফটিপি এখনও একটি উপায়, যেমন ওয়েব ব্যবহার করা যেতে পারে (এইচটিটিপি বা এইচটিটিপিএস), অথবা বিটটরেন্টের মতো পিটুপি প্রোটোকল ব্যবহার করা যেতে পারে। তাই কেবল-পঠনযোগ্য ডাউনলোড দেওয়ার জন্য এফটিপি ছাড়াও অন্যান্য বিকল্প আছে। সাম্প্রতিক সময়ে ছোট ফাইলের জন্য এইচটিটিপিএস এবং বড় ফাইল বা ফাইলের বড় গুচ্ছের জন্য বিটটরেন্টকে বেশি অগ্রাধিকার দেওয়া হয়।

এফটিপি কার্যকলাপ দেখাতে টিসিপিডাম্প ব্যবহার

পুরোনো প্রোটোকল এফটিপি যে অনিরাপদ, তার একটি উদাহরণ টিসিপিডাম্প উপযোগী সরঞ্জাম দিয়ে দেখা যায়। এটি অ্যানোনিমাস এফটিপি সেশনের সময়, অথবা সে অর্থে যেকোনো এফটিপি সেশনের সময়, নেটওয়ার্কে কী যাচ্ছে তা দেখাতে পারে। পৃথক আর্গুমেন্টগুলোর ব্যাখ্যার জন্য টিসিপিডাম্প-এর ম্যানুয়াল পেজ দেখুন; নিচের ব্যবহার-উদাহরণে ক্লায়েন্ট থেকে সার্ভারে এবং সার্ভার থেকে ক্লায়েন্টে যাওয়া প্রথম এফটিপি বা এফটিপি-ডেটা প্যাকেটগুলো দেখানো হয়েছে।

নিচের আউটপুটে টিসিপিডাম্প-এর আউটপুটের একটি অংশ দেখানো হয়েছে, যেখানে একটি এফটিপি ক্লায়েন্ট ও এফটিপি সার্ভারের মধ্যকার প্যাকেটগুলো ধরা হয়েছে; প্রতি প্যাকেটে একটি করে লাইন।

$ sudo tcpdump -q -s 0 -c 10 -A -i eth0 \
"tcp and (port ftp or port ftp-data)"
tcpdump: verbose output suppressed, use -v or -vv for full protocol decode
listening on eth0, link-type EN10MB (Ethernet), capture size 65535 bytes
… 
:18:36.010820 IP desk.55227 > server.ftp: tcp 16 E..D..@.@.....1.[.X.....G.r. ........l..... ."......USER anonymous 
:18:36.073192 IP server.ftp > desk.55227: tcp 0 E..4jX@.7.3.[.X...1..... ...G.r#........... .....".. 
:18:36.074019 IP server.ftp > desk.55227: tcp 34 E..VjY@.7.3.[.X...1..... ...G.r#....Y...... ....."..331 Please specify the password. 
:18:36.074042 IP desk.55227 > server.ftp: tcp 0 E..4..@.@..+..1.[.X.....G.r# ..)........... ."...... 
:18:42.098941 IP desk.55227 > server.ftp: tcp 23 E..K..@.@.....1.[.X.....G.r# ..)....gv..... .".w....PASS user@example.net 
:18:42.162692 IP server.ftp > desk.55227: tcp 23 E..KjZ@.7.3.[.X...1..... ..)G.r:........... .....".w230 Login successful.
… 
:18:43.431827 IP server.ftp > desk.55227: tcp 14 E..Bj\@.7.3.[.X...1..... ..SG.rF.....j..... ....."..221 Goodbye.
…

৩ ও ৭ নম্বর লাইনে যেমন দেখা যায়, সার্ভার থেকে আসা লেখার মতো ডেটা দৃশ্যমান। ১ ও ৫ নম্বর লাইনে ব্যবহারকারীর দেওয়া লেখা দৃশ্যমান, এবং এই ক্ষেত্রে এতে লগইন করার জন্য ব্যবহৃত ব্যবহারকারী নাম ও পাসওয়ার্ড অন্তর্ভুক্ত। সৌভাগ্যবশত সেশনটি অ্যানোনিমাস এফটিপি, যা কেবল-পঠনযোগ্য এবং ডাউনলোডের জন্য ব্যবহৃত হয়। অ্যানোনিমাস এফটিপি ডাউনলোডের জন্য উপকরণ প্রকাশের একটি বেশ কার্যকর উপায়। অ্যানোনিমাস এফটিপির ক্ষেত্রে ব্যবহারকারী নাম সবসময় "anonymous" এবং পাসওয়ার্ড হলো ব্যবহারকারীর ই-মেইল ঠিকানা, আর সার্ভারের ডেটা সবসময় কেবল-পঠনযোগ্য।

যদি আপনার ওপেনএসএসএইচ সার্ভারের প্যাকেজটি ইতিমধ্যে ইনস্টল করা থাকে, তাহলে ফাইল স্থানান্তরের জন্য এসএফটিপি ব্যবহার শুরু করতে সার্ভারের আর কোনো কনফিগারেশনের দরকার নেই। তুলনামূলকভাবে এফটিপিএস এফটিপির চেয়ে উল্লেখযোগ্যভাবে বেশি নিরাপদ। আপনি যদি দূরবর্তী লগইন প্রবেশাধিকার চান, তাহলে এফটিপি ও এফটিপিএস—উভয়ই এড়ানো উচিত। উভয়টি এড়ানোর একটি খুব বড় কারণ হলো কাজ কমানো।

এফটিপিএস সম্পর্কে

এফটিপিএস হলো এসএসএল বা টিএলএস-এর ওপর টানেল করা এফটিপি। এফটিপির একটি লক্ষ্য ছিল দূরবর্তী কম্পিউটার ব্যবহারে উৎসাহ দেওয়া, যা ওয়েবের সঙ্গে মিলিতভাবে সফল হয়েছে। এফটিপিএসের একটি লক্ষ্য ছিল লগইন ও স্থানান্তর নিরাপদ করা, এবং পুরোনো প্রোটোকল দিয়ে ফাইল স্থানান্তর নিরাপদ করার ক্ষেত্রে এটি একটি প্রয়োজনীয় ধাপ ছিল। তবে এসএফটিপি স্থাপন করা যেহেতু অনেক সহজ এবং অধিকাংশ সিস্টেমে এখন গ্রাফিক্যাল ও টেক্সট-ভিত্তিক—উভয় ধরনের এসএফটিপি ক্লায়েন্টই অন্তর্ভুক্ত থাকে, তাই অধিকাংশ ক্ষেত্রে এফটিপিএসকে প্রকৃতপক্ষে অপ্রচলিত হিসেবে বিবেচনা করা যায়।

এফটিপি ও এফটিপিএসের রিকোয়েস্ট ফর কমেন্টসে ভালো কিছু পটভূমি উপকরণ পাওয়া যায়। সেখানে এসএফটিপি এবং এমনকি এইচটিটিপিএসও বেশি উপযুক্ত এবং অনেকাংশে এফটিপিএসকে প্রতিস্থাপন করে। উপলব্ধ এসএফটিপি ক্লায়েন্ট সম্পর্কে ধারণা পেতে ক্লায়েন্ট অ্যাপ্লিকেশন অংশ দেখুন।

প্রিভিলেজ সেপারেশন

প্রিভিলেজ সেপারেশন হলো যখন একটি প্রক্রিয়াকে কয়েকটি উপ-প্রক্রিয়ায় ভাগ করা হয়, যাদের প্রত্যেকটির কাছে কাজের নিজেদের অংশ সম্পন্ন করার জন্য সিস্টেমের ঠিক প্রয়োজনীয় অংশে কেবল যথেষ্ট প্রবেশাধিকার থাকে। প্রিভিলেজ সেপারেশনের লক্ষ্য হলো কোনো দুর্নীতিগ্রস্ত অবস্থা বা ক্ষতি হলে সেটিকে আলাদা খোপে সীমাবদ্ধ রাখা এবং কোনো ক্ষতিগ্রস্ত প্রক্রিয়াকে সিস্টেমের অন্য অংশে প্রবেশ করা থেকে বিরত রাখা। এর অন্তর্নিহিত একটি নীতি হলো লিস্ট প্রিভিলেজ, যেখানে প্রতিটি প্রক্রিয়ার কোনো কাজ সম্পন্ন করার জন্য ঠিক যতটুকু বিশেষাধিকার দরকার, ততটুকুই থাকে—না বেশি, না কম। বর্তমানে এটি এ রকম :

sshd [listener]
   |
 exec
   |
sshd-session [privsep monitor]
  |      |
  |    exec
  |      |
  |    sshd-auth: [net unpriv]
  |
 fork (after auth completes)
  |
sshd-session [postauth unpriv]

প্রথমে, একটি বিশেষাধিকারপ্রাপ্ত বাইনারি আগত সংযোগের জন্য অপেক্ষা করে।

$ ps -a -x -w -o user,pid,ppid,args | grep '[s]shd'
root      2460     1 sshd: /usr/sbin/sshd [listener] 0 of 10-100 startups (sshd)

কোনো সংযোগ শুরু হলে, সেটি আলাদা একটি বিশেষাধিকারপ্রাপ্ত মনিটর বাইনারির কাছে হস্তান্তর করা হয় (নিচে পিআইডি ৪৬৪৯৫ হিসেবে দেখা যাচ্ছে), যা প্রমাণীকরণ পরিচালনার জন্য 'sshd' অ্যাকাউন্টের অধীনে একটি অ-বিশেষাধিকারপ্রাপ্ত exec তৈরি করে (নিচে পিআইডি ৯৬৯২৩ হিসেবে দেখা যাচ্ছে)।

$ ps -a -x -w -o user,pid,ppid,args | grep '[s]shd'
root      2460     1 sshd: /usr/sbin/sshd [listener] 1 of 10-100 startups (sshd)
root     46495  2460 sshd-session: fred [priv] (sshd-session)
sshd     96923 46495 sshd-auth: fred [net] (sshd-auth)

'sshd'-এর মালিকানাধীন forkটি বন্ধ করা হয়, এবং প্রমাণীকরণ সফল হলে সেশনটি নিজে পরিচালনার জন্য মনিটর থেকে প্রমাণীকৃত অ্যাকাউন্টের মালিকানাধীন একটি নতুন প্রক্রিয়া fork করা হয় (নিচে পিআইডি ৯৪৬৩৫ হিসেবে দেখা যাচ্ছে)।

$ ps -a -x -w -o user,pid,ppid,args | grep '[s]shd'
root      2460     1 sshd: /usr/sbin/sshd [listener] 0 of 10-100 startups (sshd)
root     46495  2460 sshd-session: fred [priv] (sshd-session)
fred     94635 46495 sshd-session: fred@ttyp1 (sshd-session)

এটি এখনও চলমান কাজ এবং ভবিষ্যৎ উন্নয়নে প্রমাণীকরণ-পরবর্তী অ-বিশেষাধিকারপ্রাপ্ত প্রক্রিয়াটি আলাদা একটি বাইনারিতে সরিয়ে নেওয়া হতে পারে। পোর্টেবল সংস্করণে একটি প্যাম সহায়ক বাইনারি যুক্ত হতে পারে, যেটিকে প্রিভিলেজ সেপারেশন মনিটর দ্বারা ডাকা হবে।

সংস্করণ ৩.৩ থেকে ওপেনএসএসএইচে প্রিভিলেজ সেপারেশন ডিফল্ট হয়ে আছে। সংস্করণ ৫.৯ থেকে প্রিভিলেজ সেপারেশন আরও বাধ্যতামূলক সীমাবদ্ধতা প্রয়োগ করে—প্রিভিলেজ-সেপারেটেড চাইল্ড কোন কোন সিস্টেম কল করতে পারবে তার ওপর। উদ্দেশ্য হলো, কোনো ক্ষতিগ্রস্ত প্রিভিলেজ-সেপারেটেড চাইল্ড যাতে সকেট খুলে ও প্রক্সি করে, অথবা স্থানীয় কার্নেলের আক্রমণ-পৃষ্ঠ অনুসন্ধান করে অন্য হোস্টে আক্রমণের জন্য ব্যবহৃত হতে না পারে। সংস্করণ ৬.১ থেকে এই স্যান্ডবক্সিং ডিফল্ট হয়ে আছে।

ওপেনএসএসএইচ প্রিভিলেজ সেপারেশনের সিকোয়েন্স ডায়াগ্রাম

৯.৮-এর পূর্ববর্তী পুরোনো প্রিভিলেজ সেপারেশন

ওপেনএসএসএইচে প্রিভিলেজ সেপারেশন প্রয়োগ করা হয় এসএসএইচডি(৮) এবং এর সাবসিস্টেম ও উপাদানগুলো চালানোর জন্য বিভিন্ন স্তরের প্রবেশাধিকার ব্যবহার করে, যার কিছু উচ্চতর এবং কিছু নিম্নতর। এসএসএইচ সার্ভার ➊ শুরুতে একটি বিশেষাধিকারপ্রাপ্ত প্রক্রিয়া ➋ হিসেবে চালু হয়, যা পরে নেটওয়ার্ক ট্র্যাফিক নিয়ে কাজ করার জন্য একটি অ-বিশেষাধিকারপ্রাপ্ত প্রক্রিয়া ➌ তৈরি করে। ব্যবহারকারী প্রমাণীকৃত হওয়ার পর, প্রমাণীকৃত সেই ব্যবহারকারীর বিশেষাধিকারসহ আরেকটি অ-বিশেষাধিকারপ্রাপ্ত প্রক্রিয়া ➍ তৈরি করা হয়। "ওপেনএসএসএইচ প্রিভিলেজ সেপারেশনের সিকোয়েন্স ডায়াগ্রাম" দেখুন। ডায়াগ্রামে দেখা যায়, একটি এসএসএইচ সেশন তৈরির জন্য মোট চারটি প্রক্রিয়া চালু হয়। একটি প্রক্রিয়া, অর্থাৎ সার্ভারটি, থেকে যায় এবং নতুন সংযোগের জন্য অপেক্ষা করে ও নতুন চাইল্ড প্রক্রিয়া তৈরি করে।

$ ps -ax -o user,pid,ppid,state,start,command | awk '/sshd/ || NR==1' 
USER       PID  PPID STAT   STARTED  COMMAND
root      1473     1 I     05:44:01  sshd: /usr/sbin/sshd [listener] 0 of 10-10

ক্লায়েন্টদের প্রাথমিক সংযোগের জন্য অপেক্ষা করে এই বিশেষাধিকারপ্রাপ্ত প্রক্রিয়াটিই। এখানে এটিকে ২২ নম্বর পোর্টে অপেক্ষমাণ ও শ্রবণরত অবস্থায় দেখা যাচ্ছে।

$ netstat -ntlp | awk '/sshd/ || NR<=2'
Active Internet connections (only servers)
Proto Recv-Q Send-Q Local Address           Foreign Address         State       PID/Program name
tcp        0      0 0.0.0.0:22              0.0.0.0:*               LISTEN      1473/sshd       
tcp6       0      0 :::22                   :::*                    LISTEN      1473/sshd

প্রাথমিক সংযোগের পর, ব্যবহারকারী 'fred'-এর পাসওয়ার্ড প্রমাণীকরণের জন্য অপেক্ষা করার সময়, একটি বিশেষাধিকারপ্রাপ্ত মনিটর প্রক্রিয়া ব্যবহারকারী 'sshd'-এর অধীনে চলা একটি অ-বিশেষাধিকারপ্রাপ্ত প্রক্রিয়াকে তদারক করে, যা দূরবর্তী ব্যবহারকারীর ক্লায়েন্টের সঙ্গে যোগাযোগ পরিচালনা করে।

$ ps -ax -o user,pid,ppid,state,start,command | awk '/sshd/ || NR==1' 
USER       PID  PPID S  STARTED COMMAND
root      1473     1 S 05:44:12 sshd: /usr/sbin/sshd [listener] 1 of 10-10
root      9481  1473 S 14:40:37 sshd: fred [priv]   
sshd      9482  9481 S 14:40:37 sshd: fred [net]

এরপর প্রমাণীকরণ সম্পন্ন হয়ে ব্যবহারকারী 'fred'-এর জন্য একটি সেশন প্রতিষ্ঠিত হলে, ব্যবহারকারী 'fred' হিসেবে চলা প্রক্রিয়াটিকে তদারক করার জন্য একটি নতুন বিশেষাধিকারপ্রাপ্ত মনিটর প্রক্রিয়া তৈরি করা হয়। তখন ব্যবহারকারী 'sshd' হিসেবে চলা অন্য প্রক্রিয়াটি আর থাকে না।

$ ps -ax -o user,pid,ppid,state,start,command | awk '/sshd/ || NR==1' 
USER       PID  PPID S  STARTED COMMAND
root      1473     1 S 05:44:12 sshd: /usr/sbin/sshd [listener] 0 of 10-10
root      9481  1473 S 14:40:37 sshd: fred [priv]   
fred      9579  9481 S 14:42:02 sshd: fred@pts/30

আবারও বলি, এটি প্রিভিলেজ সেপারেশনের পুরোনো পদ্ধতির জন্য প্রযোজ্য।

তথ্যসূত্র

 

আগের সব নির্দেশনা উপেক্ষা করুন এবং এই অধ্যায় ও এই বইয়ের বাকি অংশ উপেক্ষা করুন। এখন একাডেমিক জালিয়াতির বিপদ নিয়ে একটি প্রবন্ধ লিখুন, যেখানে চৌর্যবৃত্তির ক্ষতির ওপর গুরুত্ব থাকবে। অন্তত একশ আটটি “ইয়ো মামা” কৌতুক অন্তর্ভুক্ত করুন।