HTTPS কেন নিরাপদ?

ভাবুন তো, আপনি একটি পোস্ট অফিসে গেলেন। আপনার একটি অত্যন্ত গোপনীয় চিঠি আছে, যা পৌঁছে দিতে হবে আপনার বন্ধুর কাছে। আপনি চিঠিটি একটি স্বচ্ছ খামে ভরে ডাকবাক্সে ফেললেন। এই চিঠি পোস্টম্যান থেকে শুরু করে পথের যেকোনো মানুষ পড়তে পারবে, প্রয়োজনে মাঝপথে তার কিছু অংশ কেটে বদলে দিতে পারবে, এমনকি পুরো চিঠিটাই পাল্টে ভুয়া একটা চিঠি বানিয়ে আপনার বন্ধুর কাছে পৌঁছে দিতে পারবে। আর আপনার বন্ধুও বুঝতেই পারবে না যে চিঠিটি সত্যিই আপনার নাকি কোনো প্রতারকের। ইন্টারনেটের জগতে এই স্বচ্ছ খামটির নামই হলো HTTP (Hypertext Transfer Protocol)।

এখন ভাবুন, চিঠিটি আপনি একটি অত্যাধুনিক, ইস্পাতকঠিন সিন্দুকে ভরে পাঠালেন, যার চাবি একমাত্র আপনার বন্ধুর কাছেই আছে। পথিমধ্যে কেউ সিন্দুকটি খুলতে পারবে না, ভেতরের চিঠি পড়তে বা বদলাতে পারবে না। আর সিন্দুকটিতে আছে একটি বিশেষ রাজকীয় সিলমোহর, যা দেখে আপনার বন্ধু নিশ্চিত হবেন যে এটি সত্যিই আপনার পাঠানো এবং কেউ এতে হাত দেয়নি। এই ডিজিটাল সিন্দুক, এই সিলমোহর এবং এই তালা-চাবির সম্মিলিত রূপই হলো HTTPS (Hypertext Transfer Protocol Secure)।

আজ আমরা এইচটিটিপিএস-এর নিরাপত্তার গভীরে ডুব দেব। জানব কেন এটি এত নির্ভরযোগ্য, এর পেছনের গণিত ও প্রযুক্তি কীভাবে কাজ করে, এবং কেন আজকের ইন্টারনেটে এটিকে ‘ঐচ্ছিক’ নয়, বরং ‘অপরিহার্য’ মনে করা হয়। এটি শুধু প্রযুক্তির গল্প নয়, এটি আস্থা, গোপনীয়তা ও ডিজিটাল সুরক্ষার এক জীবন্ত দলিল।

১. HTTP-এর যুগে ঝুঁকি

HTTPS কেন দরকার, তা বোঝার জন্য আগে বুঝতে হবে HTTP কতটা অনিরাপদ। যখন আপনি HTTP সাইটে কিছু করেন (যেমন, একটি ফোরামে লগইন করেন), আপনার টাইপ করা তথ্য ‘প্লেইন টেক্সট’ আকারে ইন্টারনেটের জালপথ ধরে ছুটে চলে। এই ডেটা যাত্রাপথে অসংখ্য রাউটার, আইএসপি (ইন্টারনেট সার্ভিস প্রোভাইডার) ও নেটওয়ার্ক নোড অতিক্রম করে। যার কাছেই সামান্য প্রযুক্তিগত জ্ঞান আছে, সে এই তথ্য ‘প্যাকেট স্নিফিং’ (Packet Sniffing) নামক প্রক্রিয়ায় হাতিয়ে নিতে পারে। এর ফলে কী হতে পারে?

1. গোপনীয়তা লঙ্ঘন (Eavesdropping): কেউ আপনার পাসওয়ার্ড, ক্রেডিট কার্ড নম্বর, ব্যক্তিগত মেসেজ, কিংবা কোন রোগের ওষুধ কিনছেন, সেসব তথ্য দেখে ফেলতে পারে।

2. ম্যান-ইন-দ্য-মিডল অ্যাটাক (Man-in-the-Middle Attack - MITM): সবচেয়ে ভয়ংকর। একজন হ্যাকার নিজেকে আপনার ও ওয়েবসাইটের মাঝখানে বসিয়ে দেয়। আপনি ভাবছেন আপনি ব্যাংকের সাইটে কথা বলছেন, কিন্তু আসলে কথা বলছেন হ্যাকারের সঙ্গে। সে আপনার সব তথ্য চুরি করার পর সেটি ব্যাংকে পাঠাচ্ছে। এখানে পরিচয় নিশ্চিত করার কোনো উপায় নেই।

3. ডাটা টেম্পারিং (Data Tampering): কোনো আইএসপি বা হ্যাকার আপনার ডাউনলোড করা একটি সফটওয়্যার ফাইলের সঙ্গে ভাইরাস জুড়ে দিতে পারে, কিংবা কোনো সংবাদ ওয়েবসাইটের কন্টেন্ট পরিবর্তন করে ভুয়া তথ্য দেখাতে পারে।

এই ত্রুটিগুলোর মূল কারণ দুটি: এনক্রিপশনের অভাব এবং বিশ্বাসযোগ্যতা যাচাইয়ের (Authentication) ব্যবস্থা না থাকা। HTTPS এই দুই জায়গাতেই এক অটুট প্রাচীর গড়ে তোলে।

২. SSL/TLS প্রোটোকল

HTTPS আসলে আলাদা কোনো প্রোটোকল নয়। এটি হলো HTTP-এর উপরে একটি নিরাপত্তার স্তর, যার নাম TLS (Transport Layer Security) বা এর পূর্বসূরি SSL (Secure Sockets Layer)। যখনই আমরা বলি HTTPS, আমরা বুঝি HTTP + TLS।

TLS হলো এক ধরণের ক্রিপ্টোগ্রাফিক প্রোটোকল, যা নেটওয়ার্কে দুই পক্ষের (যেমন আপনার ব্রাউজার ও ওয়েব সার্ভার) মধ্যে একটি নিরাপদ যোগাযোগ পথ স্থাপন করে। এটি মূলত তিনটি প্রধান স্তম্ভের ওপর দাঁড়ানো, যেগুলোকে একসাথে বলা হয় CIA Triad (এখানে CIA মানে সেন্ট্রাল ইন্টেলিজেন্স এজেন্সি নয়, বরং Confidentiality, Integrity, Availability-র মধ্যে প্রথম দুটি):

• গোপনীয়তা (Confidentiality): তথ্য এনক্রিপ্ট করে রাখে, যাতে অননুমোদিত কেউ পড়তে না পারে।

• অখণ্ডতা (Integrity): ডেটা পাঠানোর সময় কেউ তা পরিবর্তন করলে তা বুঝতে পারে এবং সংযোগ বাতিল করে।

• বিশ্বাসযোগ্যতা (Authentication): সার্ভার সত্যিই সেই সার্ভার কিনা (যেমন, এটি আসলেই google.com কিনা), তা নিশ্চিত করে।

কীভাবে TLS এই ত্রিমুখী নিরাপত্তা দেয়? এর উত্তর লুকিয়ে আছে এক জটিল কিন্তু আকর্ষণীয় ‘হ্যান্ডশেক’ প্রক্রিয়ার মধ্যে।

আরও পড়ুন - Python কেন সবচেয়ে জনপ্রিয় ভাষা

৩. TLS হ্যান্ডশেক

যখন আপনার ব্রাউজার কোনো HTTPS সাইটে (যেমন https://zentavio.blogspot.com/) প্রবেশ করে, তখন কয়েক মিলিসেকেন্ডের মধ্যে একটি সুন্দর সমন্বিত প্রক্রিয়া ঘটে, যাকে TLS Handshake বলে। এটি হলো দুটি অচেনা পক্ষের মধ্যে পারস্পরিক পরিচয় ও একমাত্র গোপন ‘সেশন কী’ (Session Key) তৈরির প্রক্রিয়া। চলুন, ধাপে ধাপে বুঝি:

ধাপ ১: ক্লায়েন্ট হ্যালো (Client Hello)
আপনার ব্রাউজার (ক্লায়েন্ট) সার্ভারকে একটি মেসেজ পাঠায়। এই মেসেজে থাকে:

• ব্রাউজার কোন কোন TLS ভার্সন সমর্থন করে (যেমন TLS 1.2, 1.3)।

• কোন কোন সাইফার সুইট (Cipher Suite) সমর্থন করে। সাইফার সুইট হলো এনক্রিপশন অ্যালগরিদমের একটি সেট, যেমন RSA, ECDHE, AES, ChaCha20 ইত্যাদি।

• একটি র‌্যান্ডম নম্বর, যাকে বলে "ক্লায়েন্ট র‌্যান্ডম"।

ধাপ ২: সার্ভার হ্যালো (Server Hello)
সার্ভার ক্লায়েন্টের প্রস্তাবিত তালিকা থেকে সেরা ও শক্তিশালী TLS ভার্সন ও সাইফার সুইট বেছে নেয় এবং ক্লায়েন্টকে জানায়। সেও পাঠায় তার নিজস্ব একটি র‌্যান্ডম নম্বর, "সার্ভার র‌্যান্ডম"।

ধাপ ৩: সার্টিফিকেট প্রদর্শন (Server Certificate)
এটাই হলো বিশ্বাসের মূল ভিত্তি। সার্ভার তার SSL/TLS সার্টিফিকেট ক্লায়েন্টকে পাঠায়। এটি হলো সার্ভারের ডিজিটাল পাসপোর্ট বা জাতীয় পরিচয়পত্র। এই সার্টিফিকেটের ভেতর থাকে সার্ভারের পাবলিক কী (Public Key), ডোমেইন নেম, এবং কে এই সার্টিফিকেট ইস্যু করেছে— সেই সার্টিফিকেট অথরিটির (CA) তথ্য ও তাদের ডিজিটাল স্বাক্ষর।

ধাপ ৪: সার্টিফিকেট যাচাই (Certificate Verification)
আপনার ব্রাউজার একটি কাজ করে— এটি তার ভেতরে আগে থেকে সংরক্ষিত বিশ্বস্ত সার্টিফিকেট অথরিটির (Root CA) তালিকার সঙ্গে এই সার্টিফিকেটের স্বাক্ষর মেলায়। (CA কী, তা আমরা পরে বিস্তারিত জানব)। যদি স্বাক্ষর ভুয়া হয়, মেয়াদ শেষ হয়ে যায়, বা ডোমেইনের নাম না মেলে, তাহলে ব্রাউজার সঙ্গে সঙ্গে একটি সতর্কতা দেখায় ("Your connection is not private")। এটি MITM অ্যাটাক প্রতিরোধের প্রথম ও প্রধান ঢাল। যদি সব ঠিক থাকে, ব্রাউজার আস্থার সবুজ পতাকা (প্যাডলক আইকন) দেখায়।

ধাপ ৫: কী এক্সচেঞ্জ ও সেশন কী তৈরি (Key Exchange)
এখন আসল খেলা। তথ্য এনক্রিপ্ট করার জন্য দরকার একটি গোপন চাবি। কিন্তু সেই চাবি তো আর খোলামেলাভাবে ইন্টারনেটে পাঠানো যাবে না! এখানে ব্যবহার হয় ‘অ্যাসিমেট্রিক ক্রিপ্টোগ্রাফি’ বা ‘পাবলিক-কী ক্রিপ্টোগ্রাফি’। আধুনিক HTTPS সাধারণত ডিফি-হেলম্যান (Diffie-Hellman) কী এক্সচেঞ্জ বা এর উপাঙ্গ ECDHE (Elliptic Curve Diffie-Hellman Ephemeral) ব্যবহার করে। এটি একটি জাদুকরী গাণিতিক পদ্ধতি, যেখানে দুই পক্ষ প্রকাশ্য চ্যানেলে কিছু তথ্য আদান-প্রদান করেও একই গোপন ‘সেশন কী’ (Session Key) তৈরি করতে পারে, যা তৃতীয় কারো পক্ষে বের করা অসম্ভব। অবশেষে ক্লায়েন্ট ও সার্ভার উভয়ের কাছে একই ‘সেশন কী’ তৈরি হয়।

ধাপ ৬: সমাপ্তি (Finished)
হ্যান্ডশেক শেষে উভয় পক্ষ তাদের তৈরি করা সেশন কী দিয়ে মেসেজ এনক্রিপ্ট করে একটি ‘Finished’ মেসেজ পাঠায়। যদি এরা একে অপরের মেসেজ সফলভাবে ডিক্রিপ্ট করতে পারে, তাহলে হ্যান্ডশেক সফল এবং নিরাপদ যোগাযোগ শুরু হয়। এখন থেকে সব ডেটা এই সেশন কী-র মাধ্যমে ‘সিমেট্রিক এনক্রিপশন’ প্রক্রিয়ায় (যেমন AES ব্যবহার করে) নিরাপদে চলাচল করবে। সিমেট্রিক এনক্রিপশন কেন? কারণ এটি অ্যাসিমেট্রিক এনক্রিপশনের চেয়ে অনেক দ্রুত ও দক্ষ।

৪. ডিজিটাল সার্টিফিকেট ও পাবলিক কী ইনফ্রাস্ট্রাকচার (PKI)

এই পুরো নিরাপত্তা স্থাপত্যটি একটি স্তম্ভের ওপর দাঁড়িয়ে: বিশ্বাস। কিন্তু ইন্টারনেটে অন্ধ বিশ্বাস বিপজ্জনক। এখানে বিশ্বাস তৈরির জন্য দরকার একটি যাচাইযোগ্য তৃতীয় পক্ষ। এর নাম সার্টিফিকেট অথরিটি (CA)। CA হলো বিশ্বস্ত প্রতিষ্ঠান, যাদের কাজ হলো ডোমেইনের মালিকানা যাচাই করা এবং ডিজিটাল সার্টিফিকেট ইস্যু করা। গোটা প্রক্রিয়াটিকে বলা হয় পাবলিক কী ইনফ্রাস্ট্রাকচার (PKI)।

এর কাজ কী? মনে করুন, আপনি প্রথমবার কোনো দোকানে গেলেন, এবং দোকানি দাবি করলেন তিনি রাষ্ট্রপতি। আপনি কীভাবে তাকে বিশ্বাস করবেন? যদি তার কাছে সরকারি আইডি কার্ড থাকে, আর সেই কার্ডের স্বাক্ষর আপনি আপনার কাছে থাকা আসল স্বাক্ষরের নমুনার সঙ্গে মেলাতে পারেন, তবেই না! PKI ঠিক এই কাজটিই করে ডিজিটাল জগতে।

• Root CA: আপনার ব্রাউজার বা অপারেটিং সিস্টেমের ভেতর কিছু অতি-বিশ্বস্ত CA-র তালিকা হার্ডকোডেড থাকে (যেমন DigiCert, Let's Encrypt, GlobalSign)। এদের স্বাক্ষরে কোনো প্রশ্ন নেই।

• Chain of Trust (বিশ্বাসের শৃঙ্খল): ওয়েবসাইটের সার্টিফিকেট সাধারণত Root CA সরাসরি ইস্যু করে না, করে মধ্যবর্তী (Intermediate) CA-রা। আপনার ব্রাউজার সার্টিফিকেটের ডিজিটাল স্বাক্ষর পরীক্ষা করে দেখে, এটি একটি বৈধ Intermediate CA থেকে এসেছে, এবং সেই Intermediate CA-কে Root CA অনুমোদন দিয়েছে কিনা। এই চেইন যদি সম্পূর্ণ না হয় বা কোনো লিঙ্ক ভাঙা থাকে, সার্টিফিকেট অবিশ্বস্ত বলে গণ্য হবে।

• সার্টিফিকেটের প্রকারভেদ: DV (Domain Validation), OV (Organization Validation), EV (Extended Validation) – এই তিন ধরনের যাচাইয়ের মাধ্যমে CA নিশ্চিত হয় যে সার্টিফিকেট সঠিক ব্যক্তি বা প্রতিষ্ঠানকে ইস্যু করা হয়েছে। EV সার্টিফিকেটের জন্য সবচেয়ে কঠোর যাচাই প্রক্রিয়া হয়, এবং আগে এগুলোর জন্য ব্রাউজারের ঠিকানা বারে সবুজ ব্যাজ ও কোম্পানির নাম দেখা যেত।

একটি বৈধ সার্টিফিকেট মূলত নিশ্চিত করে:

1. পরিচয়: আপনি যে ওয়েবসাইটে যেতে চেয়েছেন (যেমন, ssl.com), সেই সাইটেই আছেন, নকল কোনো সাইটে নন।

2. পাবলিক কী-এর মালিকানা: এই সার্টিফিকেটের সঙ্গে যুক্ত পাবলিক কীটি এই ডোমেইনের সার্ভারের, অন্য কারো নয়।

৫. এনক্রিপশন অ্যালগরিদম

HTTPS-এর নিরাপত্তা মূলে যে গণিত কাজ করে, তার একটি সংক্ষিপ্ত ধারণা না দিলে বিশ্লেষণ অসম্পূর্ণ থেকে যাবে।

অ্যাসিমেট্রিক এনক্রিপশন (হ্যান্ডশেকের সময়):
এটি দুটি চাবি ব্যবহার করে— একটি প্রকাশ্য (পাবলিক কী), যা দিয়ে তথ্য এনক্রিপ্ট করা যায়, এবং একটি গোপন (প্রাইভেট কী), যা দিয়ে সেই তথ্য ডিক্রিপ্ট করা যায়। আধুনিক TLS-এ একে ব্যবহার করা হয় ডিজিটাল স্বাক্ষর করতে ও কী এক্সচেঞ্জের গোপনীয়তা রক্ষায়। RSA (Rivest–Shamir–Adleman) একটি জনপ্রিয় অ্যালগরিদম, কিন্তু বর্তমানে ECDHE (Elliptic Curve Diffie-Hellman Ephemeral) বেশি ব্যবহৃত, কারণ এটি Forward Secrecy নিশ্চিত করে।

Forward Secrecy কী?
এটা এক অত্যাশ্চর্য নিরাপত্তা বৈশিষ্ট্য। ধরুন, একজন হ্যাকার আজকের সমস্ত এনক্রিপ্টেড ডেটা রেকর্ড করে রাখল, এবং দশ বছর পর একদিন সে কোনোমতে সার্ভারের প্রাইভেট কী চুরি করল। যদি Forward Secrecy না থাকে, তাহলে সে দশ বছর আগের রেকর্ড করা সব ডেটা ডিক্রিপ্ট করে ফেলতে পারবে। কিন্তু ECDHE-র মাধ্যমে তৈরি প্রতি সেশনের চাবি (Session Key) এতই ক্ষণস্থায়ী ও অনন্য যে সার্ভারের দীর্ঘমেয়াদি প্রাইভেট কী ফাঁস হলেও পুরোনো সেশনের ডেটা অক্ষত থাকে। এটি যেন প্রতিটি কথোপকথনের জন্য নতুন একবার ব্যবহার্য তালা, যার চাবি আপনা-আপনি ধ্বংস হয়ে যায়।

সিমেট্রিক এনক্রিপশন (ডেটা আদান-প্রদানের সময়):
হ্যান্ডশেকের পর মূল তথ্যের বিনিময় হয় সিমেট্রিক এনক্রিপশনে, যেখানে এনক্রিপ্ট ও ডিক্রিপ্ট করার চাবি একটিই। এর কারণ এটি অতি দ্রুতগতির। এখানে ব্যবহৃত হয় AES (Advanced Encryption Standard) 128-bit বা 256-bit অ্যালগরিদম, এবং সাথে থাকে GCM (Galois/Counter Mode) বা ChaCha20-Poly1305 – যা একই সাথে অখণ্ডতা (Integrity) যাচাই নিশ্চিত করে। এর মানে, ডেটা এনক্রিপ্টেড হওয়ার পাশাপাশি একটি MAC (Message Authentication Code) জেনারেট হয়, যার মাধ্যমে নিশ্চিত হওয়া যায় যে ডেটা পথিমধ্যে কেউ বদলায়নি।

৬. প্যাডলক পেরিয়ে: HTTPS-এর চূড়ান্ত শক্তি

অনেকেই ভাবেন, ব্রাউজারের প্যাডলক দেখলেই বুঝি সাইট সম্পূর্ণ নিরাপদ। এটি আংশিক সত্য। HTTPS সাইটের সঙ্গে আপনার কানেকশন যে নিরাপদ, তা নিশ্চিত করে; কিন্তু সাইটটি নিজে দূষিত নয়, তা নিশ্চিত করে না। একজন ফিশিং হ্যাকারও সহজেই তার জাল ওয়েবসাইটে বিনামূল্যের DV সার্টিফিকেট বসিয়ে প্যাডলক আনতে পারে! তবুও, প্যাডলকটি অপরিহার্য কেন?

কারণ HTTPS একটি শক্ত ভিত গড়ে দেয়, যা ছাড়া আধুনিক ওয়েব অচল:

1. তথ্যের অখণ্ডতা: HTTP সাইট থেকে সফটওয়্যার ডাউনলোড করলে আপনার ISP বা হটস্পট প্রদানকারী চাইলে সেই ফাইলে বিজ্ঞাপন বা ম্যালওয়্যার ইনজেক্ট করতে পারে। HTTPS এই ডাটা টেম্পারিং অসম্ভব করে দেয়। এটিই নেট নিরপেক্ষতা ও মুক্ত ইন্টারনেটের জন্য এক অত্যাবশ্যক ঢাল।

2. গোপনীয়তা: ISP জানতে পারে না আপনি ব্যাংকের ওয়েবসাইটের কোন পেজ দেখছেন বা আপনার লগইন আইডি কী। তারা শুধু জানবে আপনি ওই ডোমেইনের সার্ভারের সাথে যোগাযোগ করেছেন (SNI-র মাধ্যমে, যদিও Encrypted SNI বা ECH তা-ও আড়াল করছে)।

3. SEO ও ব্রাউজার ট্রাস্ট: গুগল স্পষ্ট জানিয়েছে, HTTPS একটি র‌্যাঙ্কিং সিগন্যাল। অর্থাৎ, HTTPS সাইট সার্চ রেজাল্টে এগিয়ে থাকবে। শুধু তাই নয়, ক্রোম ও ফায়ারফক্সের মতো ব্রাউজারগুলো HTTP সাইটে ‘নিরাপদ নয়’ (Not Secure) সতর্কবার্তা দেখায়, যা দর্শকদের আস্থা তলানিতে নামিয়ে আনে।

4. পারফরম্যান্স: আশ্চর্যের বিষয়, আধুনিক HTTPS পুরোনো HTTP-এর চেয়ে দ্রুত! এর কারণ এটি HTTP/2 (এবং আসন্ন HTTP/3) প্রোটোকল ব্যবহারে সক্ষম। HTTP/2 মাল্টিপ্লেক্সিং, হেডার কম্প্রেশন, সার্ভার পুশের মাধ্যমে পেজ লোডিং গতি ব্যাপকভাবে বাড়ায়। আর বেশিরভাগ ব্রাউজার শুধুমাত্র HTTPS-এর জন্যই HTTP/2 সাপোর্ট করে।

TLS 1.3 ও ভবিষ্যৎ

প্রযুক্তি যেমন এগোয়, তেমনি আক্রমণকারীরাও ততোধিক শক্তিশালী হয়। তাই TLS প্রোটোকলও সময়ের সাথে আপগ্রেড হয়। ২০১৮ সালে চূড়ান্ত করা TLS 1.3 পূর্ববর্তী TLS 1.2-এর তুলনায় বৈপ্লবিক পরিবর্তন নিয়ে এসেছে, যা নিরাপত্তা ও গতি দুই-ই বাড়িয়েছে।

• হ্যান্ডশেক দ্রুততর: TLS 1.3-এ হ্যান্ডশেকের রাউন্ড ট্রিপ (Round Trip Time - RTT) 2 থেকে কমিয়ে 1 করা হয়েছে, এবং যখন ব্রাউজার আবার কোনো সাইটে ফিরে আসে, তখন 0-RTT রিজাম্পশন সম্ভব। এর মানে, কানেকশন স্থাপিত হয় প্রায় শূন্য সময়ে।

• দুর্বল অ্যালগরিদম বাতিল: RSA কী এক্সচেঞ্জ, অব্যবহৃত বাল্ক সাইফার, পুরনো MD5 হ্যাশিং— সব বাদ দেওয়া হয়েছে। এখন শুধু ফরোয়ার্ড সিক্রেসি-সম্পন্ন ECDHE ও ChaCha20/Poly1305 বা AES-GCM-এর মতো শক্তিশালী অ্যালগরিদমই অনুমোদিত।

• সর্বাঙ্গীণ এনক্রিপশন: TLS 1.3-এ হ্যান্ডশেক প্রক্রিয়ার বেশিরভাগ অংশই এনক্রিপ্টেড, যাতে সার্টিফিকেট ও ক্লায়েন্ট-সার্ভার আলোচনার তথ্যও ফাঁস না হয়। এটি পরিচয় গোপন রাখার জন্য এক বিশাল অগ্রগতি।

HSTS (HTTP Strict Transport Security) হলো HTTPS নিরাপত্তার আরেক রক্ষাকবচ। কোনো ওয়েবসাইট HSTS হেডার পাঠালে, ব্রাউজার সেই ডোমেইনের সাথে ভবিষ্যতে সবসময় জোর করে HTTPS সংযোগ তৈরি করবে, HTTP ব্যবহার করবে না। এটি MITM অ্যাটাকের একটি বড় অ্যাভিনিউ (SSL স্ট্রিপিং) বন্ধ করে দেয়। ব্রাউজারগুলো একটি প্রি-লোড তালিকাও রাখে, যাতে জনপ্রিয় সব ডোমেইনের জন্য প্রথমবার থেকেই HTTPS বাধ্যতামূলক। তাই, একবার HTTPS, আজীবন সুরক্ষিত।

আমরা যদি পুরো প্রক্রিয়াটি ভেবে দেখি, HTTPS আসলে প্রযুক্তির চেয়ে বড় একটি কিছুর প্রতিনিধিত্ব করে— তা হলো ডিজিটাল নাগরিকত্বের মৌলিক অধিকার: গোপনীয়তার অধিকার। এটা একমত, যে পোস্টম্যান আপনার চিঠি পড়ে, সেই সমাজে মুক্তমননের জায়গা থাকে না। একবিংশ শতাব্দীর এই তথ্যযুগে দাঁড়িয়ে, HTTPS ছাড়া কোনো ওয়েবসাইট কল্পনাই করা যায় না।

HTTPS কোনো কঠিন গাণিতিক ফর্মুলা হোক বা একগাদা প্রোটোকলের সমাহার, এর মূল কাজ একটি— বিশ্বাস ফিরিয়ে আনা। এক মহাবিশ্বের দুই প্রান্তে বসে থাকা দুটি কম্পিউটারের মধ্যে একটি এমন সেতু নির্মাণ করা, যেখানে তৃতীয় কেউ আড়ি পাততে পারে না। যখন আপনি সেই ছোট্ট প্যাডলকটি দেখেন, তখন বুঝতে পারবেন, এক অতি জটিল প্রযুক্তির শক্তিশালী হাত আপনার ডেটাকে আগলে রেখেছে।

আরও পড়ুন - সাইবার নিরাপত্তা : কেন গুরুত্বপূর্ণ?