PEAP-MSCHAPv2: এটি কেন এখনও সাধারণ, কেন এটি ঝুঁকিপূর্ণ এবং কীভাবে এটি থেকে উত্তরণ করা যায়

হ্যালো, এবং Purple-এর এই টেকনিক্যাল ব্রিফিংয়ে আপনাকে স্বাগত। আমি আপনার হোস্ট, এবং আজ আমরা এমন একটি বিষয় নিয়ে আলোচনা করছি যা নেটওয়ার্ক আর্কিটেকচার, সিকিউরিটি কমপ্লায়েন্স এবং সত্যি বলতে, লেগ্যাসি টেকনিক্যাল ডেটের সংযোগস্থলে অবস্থিত। আমরা PEAP-MSCHAPv2 নিয়ে কথা বলছি। নির্দিষ্টভাবে, আমরা দেখছি কেন এটি এখনও এন্টারপ্রাইজ WiFi-এ সবচেয়ে সাধারণ অথেন্টিকেশন পদ্ধতি, আজকের থ্রেট ল্যান্ডস্কেপে এটি কেন মৌলিকভাবে ঝুঁকিপূর্ণ এবং সবচেয়ে গুরুত্বপূর্ণভাবে, কীভাবে আপনি আপনার সংস্থাকে ব্যবহারিকভাবে আরও ভালো কিছুর দিকে নিয়ে যেতে পারেন। আসুন প্রেক্ষাপট দিয়ে শুরু করা যাক। আপনি যদি কোনো হোটেল, রিটেইল চেইন বা কোনো বড় পাবলিক ভেন্যুর IT ডিরেক্টর বা নেটওয়ার্ক আর্কিটেক্ট হন, তবে আপনার স্টাফ WiFi নেটওয়ার্ক—এবং সম্ভবত আপনার কর্পোরেট ডিভাইসগুলো—PEAP-MSCHAPv2 ব্যবহার করে অথেন্টিকেট হওয়ার সম্ভাবনা খুব বেশি। এটি প্রায় দুই দশক ধরে WPA2-Enterprise নেটওয়ার্কগুলোর জন্য ডিফল্ট স্ট্যান্ডার্ড হিসেবে রয়েছে। কেন? কারণ এটি ডেপ্লয় করা অবিশ্বাস্যভাবে সহজ। এটি একটি RADIUS সার্ভারের মাধ্যমে সরাসরি Active Directory-র সাথে যুক্ত হয় এবং ব্যবহারকারীরা কেবল তাদের স্ট্যান্ডার্ড Windows ইউজারনেম এবং পাসওয়ার্ড টাইপ করেন। পরিচালনা করার মতো কোনো সার্টিফিকেট নেই, তৈরি করার মতো কোনো জটিল পাবলিক কি অবকাঠামো নেই। এটি সহজেই কাজ করে। কিন্তু "কেবল কাজ করা" আর যথেষ্ট নয়। সহজ কথায় বলতে গেলে, PEAP-MSCHAPv2-এর ভিত্তিপ্রস্তর যে সিকিউরিটি আর্কিটেকচার, তা ভেঙে পড়েছে। আসুন টেকনিক্যাল বাস্তবতার গভীরে যাওয়া যাক। MSCHAPv2 MD4 হ্যাশিং অ্যালগরিদম এবং DES এনক্রিপশনের উপর নির্ভর করে। এই ক্রিপ্টোগ্রাফিক স্ট্যান্ডার্ড দুটির উভয়ই ১৯৯০-এর দশকে ডিজাইন করা হয়েছিল এবং এক দশকেরও বেশি সময় ধরে এগুলোকে দুর্বল বলে মনে করা হচ্ছে। ২০১২ সালে, DEF CON সিকিউরিটি কনফারেন্সে, গবেষক Moxie Marlinspike প্রদর্শন করেছিলেন যে MSCHAPv2 হ্যান্ডশেকটি নিশ্চিতভাবে ক্র্যাক করা সম্ভব। তিনি একটি টুল প্রকাশ করেছিলেন যা ক্র্যাকিং প্রক্রিয়াটিকে একটি একক DES কি ক্র্যাকে নামিয়ে এনেছিল, যার অর্থ সামান্য কম্পিউটিং ক্ষমতাসম্পন্ন—অথবা ক্লাউড ক্র্যাকিংサービスの অ্যাক্সেস থাকা—একজন আক্রমণকারী ক্যাপচার করা হ্যান্ডশেক থেকে মাত্র কয়েক ঘণ্টা, এমনকি কয়েক মিনিটের মধ্যে ব্যবহারকারীর প্লেইনটেক্সট Active Directory পাসওয়ার্ড পুনরুদ্ধার করতে পারে। তাহলে, একজন আক্রমণকারী কীভাবে বাস্তব জগতে সেই হ্যান্ডশেকটি ক্যাপচার করে? এটি আমাদের "ইভিল টুইন" (Evil Twin) আক্রমণের দিকে নিয়ে আসে। একটি কর্পোরেট অফিস বা হোটেলের ব্যাক-অফ-হাউস এলাকার কথা কল্পনা করুন। একজন আক্রমণকারী একটি অননুমোদিত অ্যাক্সেস পয়েন্ট নিয়ে ভেতরে প্রবেশ করে—যা প্রায়শই তাদের ব্যাকপ্যাকে থাকা Wi-Fi Pineapple-এর মতো ছোট কিছু হতে পারে। তারা এই অননুমোদিত AP-টিকে আপনার কর্পোরেট নেটওয়ার্কের মতো হুবহু একই SSID ব্রডকাস্ট করার জন্য কনফিগার করে, ধরুন, "Staff-WiFi"। তারা সিগন্যালের শক্তি বাড়িয়ে দেয় যাতে কাছাকাছি থাকা ডিভাইসগুলো স্বাভাবিকভাবেই আপনার বৈধ অ্যাক্সেস পয়েন্টগুলোর চেয়ে এটিকে বেশি পছন্দ করে। যখন কোনো কর্মচারীর ল্যাপটপ বা ফোন সংযোগ করার চেষ্টা করে, তখন অননুমোদিত AP-টি অথেন্টিকেটর হিসেবে কাজ করে এবং আক্রমণকারীর নিয়ন্ত্রিত একটি ফেক RADIUS সার্ভারকে নির্দেশ করে। কর্মচারীর ডিভাইসটি PEAP টানেল শুরু করে। এখন, এখানে গুরুত্বপূর্ণ ব্যর্থতার জায়গাটি হলো: PEAP ক্লায়েন্ট ডিভাইসের সার্ভারের ডিজিটাল সার্টিফিকেট যাচাই করার উপর নির্ভর করে যাতে এটি নিশ্চিত হতে পারে যে এটি আসল কর্পোরেট RADIUS সার্ভারের সাথে কথা বলছে। তবে, বেশিরভাগ ডেপ্লয়মেন্টে, ক্লায়েন্ট ডিভাইসগুলো ভুলভাবে কনফিগার করা থাকে, অথবা ব্যবহারকারীদের কেবল একটি পপ-আপ দেখানো হয় যা বলে "আপনি কি এই সার্টিফিকেটটি বিশ্বাস করেন?" এবং তারা কেবল অনলাইনে যাওয়ার জন্য "Yes" ক্লিক করেন। একবার সেই ফেক সার্টিফিকেটটি গৃহীত হয়ে গেলে, ডিভাইসটি টানেলের মাধ্যমে MSCHAPv2 চ্যালেঞ্জ-রেসপন্স পাঠায়। আক্রমণকারী এটি ক্যাপচার করে, চলে যায় এবং অফলাইনে হ্যাশটি ক্র্যাক করে। এখন তাদের কাছে বৈধ Active Directory ক্রেডেনশিয়াল রয়েছে, যা তারা আপনার VPN, আপনার ইমেল সিস্টেম বা অন্য কোনো কর্পোরেট সার্ভিসে লগ ইন করতে ব্যবহার করতে পারে। এটি কোনো তাত্ত্বিক ঝুঁকি নয়। এটি পেনিট্রেশন টেস্টার এবং ক্ষতিকারক অ্যাক্টর উভয়ের জন্যই একটি স্ট্যান্ডার্ড অপারেশনাল পদ্ধতি। এবং আপনি যদি PCI-DSS বা GDPR-এর মতো কমপ্লায়েন্স ফ্রেমওয়ার্কের আওতাধীন হন, তবে একটি আপোসকৃত অথেন্টিকেশন প্রোটোকলের উপর নির্ভর করা একটি বড় দায়বদ্ধতা। তাহলে, ঝুঁকি যদি এত বেশি হয়, তবে আমরা সবাই কেন এখনও পরিবর্তন করিনি? উত্তরটি সাধারণত জটিলতার ধারণা এবং লেগ্যাসি হার্ডওয়্যারের মিশ্রণ। PEAP থেকে দূরে সরে যাওয়ার অর্থ হলো সার্টিফিকেট-ভিত্তিক অথেন্টিকেশন, বিশেষ করে EAP-TLS-এর দিকে এগিয়ে যাওয়া। EAP-TLS হলো গোল্ড স্ট্যান্ডার্ড। এর জন্য সার্ভার এবং ক্লায়েন্ট ডিভাইস উভয়কেই একটি বৈধ ডিজিটাল সার্টিফিকেট প্রদর্শন করতে হয়। এখানে কোনো পাসওয়ার্ড স্থানান্তরিত, হ্যাশ বা অন্য কিছু করা হয় না। এটি অফলাইন ডিকশনারি আক্রমণ থেকে সম্পূর্ণ সুরক্ষিত এবং ইভিল টুইন আক্রমণের বিরুদ্ধে অত্যন্ত প্রতিরোধী কারণ ক্লায়েন্ট আপনার বিশ্বস্ত সার্টিফিকেট অথরিটি (Certificate Authority) দ্বারা স্বাক্ষরিত সার্টিফিকেট না থাকা যেকোনো ফেক RADIUS সার্ভারকে নীরবে প্রত্যাখ্যান করবে। কিন্তু EAP-TLS ডেপ্লয় করার অর্থ হলো আপনার একটি Public Key Infrastructure বা PKI প্রয়োজন। আপনার ফ্লিটের প্রতিটি ল্যাপটপ, ফোন এবং ট্যাবলেটে সার্টিফিকেট তৈরি এবং নিরাপদে বিতরণ করার একটি উপায় প্রয়োজন। পাঁচ বছর আগে, একটি Microsoft Active Directory Certificate Services অবকাঠামো তৈরি করা একটি কঠিন এবং ব্যয়বহুল প্রকল্প ছিল। তবে আজ ল্যান্ডস্কেপ পরিবর্তিত হয়েছে। বাস্তবায়নের পথ এখন অনেক বেশি স্পষ্ট। আপনি যদি মাইগ্রেশনের পরিকল্পনা করে থাকেন, তবে Purple-এ আমাদের ক্লায়েন্টদের জন্য আমরা যে বাস্তবসম্মত পদ্ধতির সুপারিশ করি তা এখানে দেওয়া হলো। প্রথমত, আপনাকে একবারে সম্পূর্ণ পরিবর্তন করতে হবে না। আধুনিক RADIUS সার্ভারগুলো—তা Cisco ISE, Aruba ClearPass বা ক্লাউড-নেটিভ সলিউশন যাই হোক না কেন—আপনাকে একই SSID-তে একই সাথে PEAP-MSCHAPv2 এবং EAP-TLS চালানোর অনুমতি দেয়। ধাপ এক হলো আপনার PKI ডেপ্লয় করা। এটি এখন আর অন-প্রিমিসেস তৈরি করার প্রয়োজন নেই। ক্লাউড PKI সলিউশনগুলো সরাসরি আপনার আইডেন্টিটি প্রোভাইডার—যেমন Microsoft Entra ID বা Google Workspace—এবং আপনার Mobile Device Management প্ল্যাটফর্ম যেমন Intune বা Jamf-এর সাথে ইন্টিগ্রেট হয়। ধাপ দুই হলো আপনার ম্যানেজড ডিভাইসগুলোতে নীরবে ক্লায়েন্ট সার্টিফিকেট পুশ করতে আপনার MDM ব্যবহার করা। আপনি MDM-এর মাধ্যমে WiFi প্রোফাইলটিকে EAP-TLS-কে অগ্রাধিকার দেওয়ার জন্য কনফিগার করতে পারেন। এর অর্থ হলো আপনার কর্পোরেট ল্যাপটপগুলো কোনো ব্যবহারকারীর হস্তক্ষেপ ছাড়াই স্বয়ংক্রিয়ভাবে নিরাপদ, সার্টিফিকেট-ভিত্তিক পদ্ধতিতে চলে যাবে। ধাপ তিন হলো ট্রানজিশন ফেজ। আপনি আপনার RADIUS লগগুলো পর্যবেক্ষণ করবেন। আপনি দেখতে পাবেন আপনার ম্যানেজড ডিভাইসগুলো EAP-TLS-এর মাধ্যমে অথেন্টিকেট হচ্ছে, যখন আনম্যানেজড বা লেগ্যাসি ডিভাইসগুলো PEAP ব্যবহার করা চালিয়ে যাচ্ছে। এটি আমাদের সাধারণ একটি সমস্যার দিকে নিয়ে আসে: লেগ্যাসি ডিভাইস। আপনার গুদামে থাকা দশ বছরের পুরানো বারকোড স্ক্যানার বা পুরানো পয়েন্ট-অফ-সেল টার্মিনালগুলোর ক্ষেত্রে আপনি কী করবেন যা কেবল EAP-TLS সমর্থন করে না? সমাধান হলো সেগমেন্টেশন। সর্বনিম্ন সাধারণ ডিভাইসের সাথে সামঞ্জস্য রাখতে আপনার প্রাথমিক স্টাফ নেটওয়ার্কের নিরাপত্তা কখনই হ্রাস করা উচিত নয়। এর পরিবর্তে, সেই লেগ্যাসি ডিভাইসগুলোকে একটি ডেডিকেটেড VLAN-এ আলাদা করুন। আপনি কঠোর নেটওয়ার্ক অ্যাক্সেস কন্ট্রোলের সাথে যুক্ত করে MAC-ভিত্তিক অথেন্টিকেশন ব্যবহার করতে পারেন, যা নিশ্চিত করবে যে সেই ডিভাইসগুলো কেবল তাদের প্রয়োজনীয় নির্দিষ্ট অভ্যন্তরীণ সার্ভারগুলোর সাথে কথা বলতে পারে এবং অন্য কিছুর সাথে নয়। একবার আপনার ম্যানেজড ফ্লিট সম্পূর্ণরূপে EAP-TLS-এ স্থানান্তরিত হয়ে গেলে, আপনি অবশেষে আপনার প্রধান কর্পোরেট SSID-তে PEAP-MSCHAPv2 নিষ্ক্রিয় করতে পারেন, যা দুর্বলতার সুযোগ চিরতরে বন্ধ করে দেবে। আসুন IT ডিরেক্টরদের কাছ থেকে পাওয়া সবচেয়ে সাধারণ প্রশ্নগুলোর উপর ভিত্তি করে একটি দ্রুত প্রশ্নোত্তর পর্ব করা যাক। প্রশ্ন এক: "WPA3 কি PEAP-MSCHAPv2 সমস্যার সমাধান করে?" উত্তর: না। WPA3 বাতাসে এনক্রিপশন উন্নত করে, কিন্তু অন্তর্নিহিত EAP অথেন্টিকেশন পদ্ধতি একই থাকে। আপনি যদি PEAP-MSCHAPv2-এর সাথে WPA3-Enterprise ব্যবহার করেন, তবে ক্লায়েন্ট যদি কঠোরভাবে সার্ভার সার্টিফিকেট যাচাই না করে, তবে আপনি এখনও ইভিল টুইনের মাধ্যমে ক্রেডেনশিয়াল ক্যাপচারের ঝুঁকিতে থাকবেন। প্রশ্ন দুই: "EAP-TTLS সম্পর্কে কী বলা যায়?" উত্তর: EAP-TTLS PEAP-এর চেয়ে ভালো কারণ এটি অথেন্টিকেশন টানেল করে, প্রায়শই MSCHAPv2-এর পরিবর্তে PAP ব্যবহার করে, যা MSCHAPv2-এর নির্দিষ্ট ক্রিপ্টোগ্রাফিক দুর্বলতাগুলো এড়ায়। তবে, এটি এখনও পাসওয়ার্ডের উপর নির্ভর করে এবং সার্ভার সার্টিফিকেট যাচাই করা না হলে এটি এখনও ঝুঁকিপূর্ণ। এটি একটি প্রাথমিক ধাপ হতে পারে, তবে EAP-TLS-ই চূড়ান্ত লক্ষ্য হওয়া উচিত। প্রশ্ন তিন: "এটি আমাদের Purple গেস্ট WiFi-কে কীভাবে প্রভাবিত করে?" উত্তর: এটি সরাসরি প্রভাবিত করে না। গেস্ট WiFi সাধারণত ক্যাপটিভ পোর্টাল বা WPA2/3-Personal সহ ওপেন নেটওয়ার্ক ব্যবহার করে, যা আপনার 802.1X এন্টারপ্রাইজ অথেন্টিকেশন থেকে আলাদা। তবে, আপনার গেস্ট সার্ভিস এবং অ্যানালিটিক্স প্ল্যাটফর্মসহ আপনার সমস্ত ভেন্যু কার্যক্রমকে সমর্থনকারী অবকাঠামো রক্ষা করার জন্য আপনার ব্যাক-অফ-হাউস নেটওয়ার্ক সুরক্ষিত করা অত্যন্ত গুরুত্বপূর্ণ। সংক্ষেপে: PEAP-MSCHAPv2 আমাদের ভালো সেবা দিয়েছে, কিন্তু এর সময় শেষ হয়ে গেছে। ক্রিপ্টোগ্রাফিক ত্রুটিগুলো সবার জানা এবং আক্রমণের টুলগুলো স্বয়ংক্রিয়। EAP-TLS-এ স্থানান্তর এখন আর কোনো অত্যন্ত জটিল প্রকল্প নয়; এটি একটি স্ট্যান্ডার্ড, অর্জনযোগ্য আপগ্রেড, যা আধুনিক MDM এবং ক্লাউড PKI সলিউশনগুলোর দ্বারা উল্লেখযোগ্যভাবে সহজ হয়েছে। কিছু না করার ঝুঁকি—একটি আপোসকৃত Active Directory পাসওয়ার্ড যা আরও বড় নেটওয়ার্ক ব্রিচের দিকে নিয়ে যায়—মাইগ্রেশনের অপারেশনাল খরচের চেয়ে অনেক বেশি। আজই আপনার RADIUS লগগুলোর অডিট দিয়ে শুরু করুন, আপনার লেগ্যাসি ডিভাইসগুলো চিহ্নিত করুন এবং সার্টিফিকেট-ভিত্তিক অথেন্টিকেশনে আপনার ট্রানজিশন ম্যাপ করা শুরু করুন। Purple-এর এই টেকনিক্যাল ব্রিফিং শোনার জন্য আপনাকে ধন্যবাদ। আরও বিস্তারিত ডেপ্লয়মেন্ট গাইড এবং আর্কিটেকচার ডায়াগ্রামের জন্য, এই পডকাস্টের সাথে থাকা সম্পূর্ণ টেকনিক্যাল রেফারেন্স গাইডটি অবশ্যই পড়ুন।