PEAP-MSCHAPv2: কেন এটি এখনও সাধারণ, কেন এটি ঝুঁকিপূর্ণ এবং কীভাবে এগিয়ে যেতে হবে

হ্যালো, এবং এই Purple টেকনিক্যাল ব্রিফিংয়ে স্বাগতম। আমি আপনাদের হোস্ট, এবং আজ আমরা এমন একটি বিষয় নিয়ে আলোচনা করছি যা নেটওয়ার্ক আর্কিটেকচার, নিরাপত্তা কমপ্লায়েন্স এবং সত্যি বলতে, লিগ্যাসি টেকনিক্যাল ডেটের সংযোগস্থলে অবস্থিত। আমরা PEAP-MSCHAPv2 নিয়ে কথা বলছি。 বিশেষ করে, আমরা দেখছি কেন এটি এখনও এন্টারপ্রাইজ WiFi-এ সবচেয়ে সাধারণ প্রমাণীকরণ পদ্ধতি, কেন এটি আজকের থ্রেট ল্যান্ডস্কেপে মৌলিকভাবে ঝুঁকিপূর্ণ এবং সবচেয়ে গুরুত্বপূর্ণভাবে, কীভাবে আপনি আপনার প্রতিষ্ঠানকে আরও ভালো কিছুর দিকে বাস্তবসম্মতভাবে এগিয়ে নিতে পারেন。 চলুন প্রেক্ষাপট দিয়ে শুরু করা যাক। আপনি যদি কোনো হোটেল, রিটেইল চেইন বা বড় পাবলিক ভেন্যুর আইটি ডিরেক্টর বা নেটওয়ার্ক আর্কিটেক্ট হন, তবে আপনার স্টাফ WiFi নেটওয়ার্ক—এবং সম্ভবত আপনার কর্পোরেট ডিভাইসগুলো—PEAP-MSCHAPv2 ব্যবহার করে প্রমাণীকরণ করার সম্ভাবনা খুব বেশি। এটি প্রায় দুই দশক ধরে WPA2-Enterprise নেটওয়ার্কগুলোর জন্য ডিফল্ট স্ট্যান্ডার্ড হিসেবে রয়েছে। কেন? কারণ এটি ডিপ্লয় করা অবিশ্বাস্যভাবে সহজ। এটি একটি RADIUS সার্ভারের মাধ্যমে সরাসরি Active Directory-তে হুক করে এবং ব্যবহারকারীরা কেবল তাদের স্ট্যান্ডার্ড Windows ইউজারনেম এবং পাসওয়ার্ড টাইপ করে। পরিচালনা করার জন্য কোনো সার্টিফিকেট নেই, তৈরি করার জন্য কোনো জটিল পাবলিক কি ইনফ্রাস্ট্রাকচার নেই। এটি কেবল কাজ করে。 তবে "কেবল কাজ করা" আর যথেষ্ট নয়। PEAP-MSCHAPv2-এর অন্তর্নিহিত নিরাপত্তা আর্কিটেকচার, স্পষ্টভাবে বলতে গেলে, ভেঙে পড়েছে。 চলুন টেকনিক্যাল বাস্তবতায় ডুব দেওয়া যাক। MSCHAPv2 MD4 হ্যাশিং অ্যালগরিদম এবং DES এনক্রিপশনের উপর নির্ভর করে। এই উভয় ক্রিপ্টোগ্রাফিক স্ট্যান্ডার্ড ১৯৯০-এর দশকে ডিজাইন করা হয়েছিল এবং এক দশকেরও বেশি সময় ধরে দুর্বল বলে বিবেচিত হয়ে আসছে। ২০১২ সালে, DEF CON সিকিউরিটি কনফারেন্সে, গবেষক মক্সি মার্লিনস্পাইক প্রমাণ করেছিলেন যে MSCHAPv2 হ্যান্ডশেক ডিটারমিনিস্টিকভাবে ক্র্যাক করা যেতে পারে। তিনি এমন একটি টুল প্রকাশ করেছিলেন যা ক্র্যাকিং প্রক্রিয়াটিকে একটি একক DES কী ক্র্যাকে নামিয়ে এনেছিল, যার অর্থ হলো পরিমিত কম্পিউটিং শক্তি সম্পন্ন একজন আক্রমণকারী—বা ক্লাউড ক্র্যাকিং পরিষেবাতে অ্যাক্সেস থাকা কেউ—ক্যাপচার করা হ্যান্ডশেক থেকে কয়েক ঘণ্টার মধ্যে, এমনকি কয়েক মিনিটের মধ্যে ব্যবহারকারীর প্লেইনটেক্সট Active Directory পাসওয়ার্ড পুনরুদ্ধার করতে পারে。 তাহলে, একজন আক্রমণকারী বাস্তবে কীভাবে সেই হ্যান্ডশেক ক্যাপচার করে? এটি আমাদের "ইভিল টুইন" (Evil Twin) আক্রমণের দিকে নিয়ে যায়。 একটি কর্পোরেট অফিস বা হোটেলের ব্যাক-অফ-হাউস এলাকার কথা কল্পনা করুন। একজন আক্রমণকারী একটি রোগ অ্যাক্সেস পয়েন্ট নিয়ে প্রবেশ করে—প্রায়শই তাদের ব্যাকপ্যাকে থাকা Wi-Fi Pineapple-এর মতো ছোট কিছু। তারা এই রোগ AP-কে আপনার কর্পোরেট নেটওয়ার্কের মতো হুবহু একই SSID সম্প্রচার করার জন্য কনফিগার করে, ধরুন, "Staff-WiFi"। তারা সিগন্যালের শক্তি বাড়িয়ে দেয় যাতে কাছাকাছি থাকা ডিভাইসগুলো স্বাভাবিকভাবেই আপনার বৈধ অ্যাক্সেস পয়েন্টগুলোর চেয়ে এটিকে পছন্দ করে。 যখন কোনো কর্মীর ল্যাপটপ বা ফোন সংযোগ করার চেষ্টা করে, তখন রোগ AP প্রমাণীকরণকারী হিসেবে কাজ করে এবং আক্রমণকারীর নিয়ন্ত্রিত একটি ফেক RADIUS সার্ভারের দিকে নির্দেশ করে। কর্মীর ডিভাইস PEAP টানেল শুরু করে। এখন, এখানে একটি জটিল ব্যর্থতার পয়েন্ট রয়েছে: এটি আসল কর্পোরেট RADIUS সার্ভারের সাথে কথা বলছে তা নিশ্চিত করতে PEAP ক্লায়েন্ট ডিভাইসের সার্ভারের ডিজিটাল সার্টিফিকেট যাচাই করার উপর নির্ভর করে। তবে, বেশিরভাগ ডিপ্লয়মেন্টে, ক্লায়েন্ট ডিভাইসগুলো হয় ভুলভাবে কনফিগার করা থাকে, অথবা ব্যবহারকারীদের কেবল একটি পপ-আপ দিয়ে প্রম্পট করা হয় যেখানে লেখা থাকে "আপনি কি এই সার্টিফিকেটটি বিশ্বাস করেন?" এবং তারা অনলাইনে যাওয়ার জন্য কেবল "Yes" ক্লিক করে。 একবার সেই ফেক সার্টিফিকেটটি গৃহীত হলে, ডিভাইসটি টানেলের মাধ্যমে MSCHAPv2 চ্যালেঞ্জ-রেসপন্স পাঠায়। আক্রমণকারী এটি ক্যাপচার করে, চলে যায় এবং অফলাইনে হ্যাশটি ক্র্যাক করে। এখন তাদের কাছে বৈধ Active Directory ক্রেডেনশিয়াল রয়েছে, যা তারা আপনার VPN, আপনার ইমেল সিস্টেম বা অন্য কোনো কর্পোরেট পরিষেবাতে লগ ইন করতে ব্যবহার করতে পারে。 এটি কোনো তাত্ত্বিক ঝুঁকি নয়। এটি পেনিট্রেশন টেস্টার এবং ক্ষতিকারক অ্যাক্টর উভয়ের জন্যই একটি স্ট্যান্ডার্ড অপারেশনাল পদ্ধতি। এবং আপনি যদি PCI DSS বা GDPR-এর মতো কমপ্লায়েন্স ফ্রেমওয়ার্কের আওতাভুক্ত হন, তবে একটি আপস করা প্রমাণীকরণ প্রোটোকলের উপর নির্ভর করা একটি উল্লেখযোগ্য দায়বদ্ধতা。 সুতরাং, যদি ঝুঁকি এত বেশি হয়, তবে কেন আমরা সবাই এগিয়ে যাইনি? এর উত্তর সাধারণত অনুভূত জটিলতা এবং লিগ্যাসি হার্ডওয়্যারের মিশ্রণ। PEAP থেকে দূরে সরে যাওয়ার অর্থ হলো সার্টিফিকেট-ভিত্তিক প্রমাণীকরণ, বিশেষ করে EAP-TLS-এর দিকে এগিয়ে যাওয়া। EAP-TLS হলো গোল্ড স্ট্যান্ডার্ড। এর জন্য সার্ভার এবং ক্লায়েন্ট ডিভাইস উভয়কেই একটি বৈধ ডিজিটাল সার্টিফিকেট উপস্থাপন করতে হয়। এখানে কোনো পাসওয়ার্ড প্রেরণ, হ্যাশ বা অন্য কোনোভাবে পাঠানো হয় না। এটি অফলাইন ডিকশনারি আক্রমণের বিরুদ্ধে সম্পূর্ণ অনাক্রম্য এবং ইভিল টুইন আক্রমণের বিরুদ্ধে অত্যন্ত প্রতিরোধী কারণ ক্লায়েন্ট নীরবে যেকোনো ফেক RADIUS সার্ভারকে প্রত্যাখ্যান করবে যার কাছে আপনার বিশ্বস্ত সার্টিফিকেট অথরিটি দ্বারা স্বাক্ষরিত কোনো সার্টিফিকেট নেই。 তবে EAP-TLS ডিপ্লয় করার অর্থ হলো আপনার একটি পাবলিক কি ইনফ্রাস্ট্রাকচার বা PKI প্রয়োজন। আপনার ফ্লিটের প্রতিটি ল্যাপটপ, ফোন এবং ট্যাবলেটে সার্টিফিকেট তৈরি এবং নিরাপদে বিতরণ করার জন্য আপনার একটি উপায় প্রয়োজন। পাঁচ বছর আগে, একটি Microsoft Active Directory Certificate Services ইনফ্রাস্ট্রাকচার তৈরি করা একটি কঠিন, ব্যয়বহুল প্রকল্প ছিল。 তবে আজ, দৃশ্যপট পরিবর্তিত হয়েছে। ইমপ্লিমেন্টেশন পথটি অনেক বেশি পরিষ্কার。 আপনি যদি মাইগ্রেশনের পরিকল্পনা করে থাকেন, তবে এখানে একটি বাস্তবসম্মত পদ্ধতি রয়েছে যা আমরা Purple-এ আমাদের ক্লায়েন্টদের সুপারিশ করি。 প্রথমত, আপনাকে হার্ড কাটওভার করতে হবে না। আধুনিক RADIUS সার্ভারগুলো—তা Cisco ISE, Aruba ClearPass বা ক্লাউড-নেটিভ সলিউশন যাই হোক না কেন—আপনাকে একই SSID-তে একই সাথে PEAP-MSCHAPv2 এবং EAP-TLS চালানোর অনুমতি দেয়。 প্রথম ধাপ হলো আপনার PKI ডিপ্লয় করা। আপনাকে আর এটি অন-প্রিমিসে তৈরি করার প্রয়োজন নেই। ক্লাউড PKI সলিউশনগুলো সরাসরি আপনার আইডেন্টিটি প্রোভাইডার—যেমন Entra ID বা Google Workspace—এবং আপনার মোবাইল ডিভাইস ম্যানেজমেন্ট প্ল্যাটফর্ম যেমন Intune বা Jamf-এর সাথে ইন্টিগ্রেট করে。 দ্বিতীয় ধাপ হলো আপনার ম্যানেজড ডিভাইসগুলোতে নীরবে ক্লায়েন্ট সার্টিফিকেট পুশ করতে আপনার MDM ব্যবহার করা। আপনি EAP-TLS পছন্দ করার জন্য MDM-এর মাধ্যমে WiFi প্রোফাইল কনফিগার করতে পারেন। এর মানে হলো আপনার কর্পোরেট ল্যাপটপগুলো কোনো ব্যবহারকারীর ইন্টারঅ্যাকশন ছাড়াই স্বয়ংক্রিয়ভাবে সুরক্ষিত, সার্টিফিকেট-ভিত্তিক পদ্ধতিতে স্যুইচ করবে。 তৃতীয় ধাপ হলো ট্রানজিশন পর্যায়। আপনি আপনার RADIUS লগগুলো মনিটর করুন। আপনি দেখতে পাবেন যে আপনার ম্যানেজড ডিভাইসগুলো EAP-TLS-এর মাধ্যমে প্রমাণীকরণ করছে, যখন আনম্যানেজড বা লিগ্যাসি ডিভাইসগুলো PEAP ব্যবহার করা চালিয়ে যাচ্ছে。 এটি আমাদের সাধারণ সমস্যায় নিয়ে আসে: লিগ্যাসি ডিভাইস। আপনার গুদামে থাকা দশ বছরের পুরোনো বারকোড স্ক্যানার, বা পুরোনো পয়েন্ট-অফ-সেল টার্মিনালগুলো নিয়ে আপনি কী করবেন যা কেবল EAP-TLS সমর্থন করে না? এর সমাধান হলো সেগমেন্টেশন। সর্বনিম্ন সাধারণ ডিনোমিনেটরকে সামঞ্জস্য করতে আপনার প্রাথমিক স্টাফ নেটওয়ার্কের নিরাপত্তা কখনোই কমানো উচিত নয়। এর পরিবর্তে, সেই লিগ্যাসি ডিভাইসগুলোকে একটি ডেডিকেটেড VLAN-এ আইসোলেট করুন। আপনি কঠোর নেটওয়ার্ক অ্যাক্সেস কন্ট্রোলের সাথে যুক্ত MAC-ভিত্তিক প্রমাণীকরণ ব্যবহার করতে পারেন, এটি নিশ্চিত করে যে সেই ডিভাইসগুলো শুধুমাত্র তাদের প্রয়োজনীয় নির্দিষ্ট অভ্যন্তরীণ সার্ভারগুলোর সাথেই কথা বলতে পারে এবং অন্য কিছুর সাথে নয়。 একবার আপনার ম্যানেজড ফ্লিট সম্পূর্ণভাবে EAP-TLS-এ মাইগ্রেট হয়ে গেলে, আপনি অবশেষে আপনার মূল কর্পোরেট SSID-তে PEAP-MSCHAPv2 নিষ্ক্রিয় করতে পারেন, যা দুর্বলতার উইন্ডোটি চিরতরে বন্ধ করে দেয়。 আইটি ডিরেক্টরদের কাছ থেকে আমরা যে সাধারণ প্রশ্নগুলো পাই তার উপর ভিত্তি করে চলুন একটি দ্রুত র‍্যাপিড-ফায়ার প্রশ্নোত্তর পর্ব করি。 প্রশ্ন এক: "WPA3 কি PEAP-MSCHAPv2 সমস্যার সমাধান করে?" উত্তর: না। WPA3 ওভার-দ্য-এয়ার এনক্রিপশন উন্নত করে, কিন্তু অন্তর্নিহিত EAP প্রমাণীকরণ পদ্ধতি একই থাকে। আপনি যদি PEAP-MSCHAPv2-এর সাথে WPA3-Enterprise ব্যবহার করেন, তবে ক্লায়েন্ট যদি কঠোরভাবে সার্ভার সার্টিফিকেট ভ্যালিডেট না করে তবে আপনি এখনও ইভিল টুইনের মাধ্যমে ক্রেডেনশিয়াল ক্যাপচারের জন্য ঝুঁকিপূর্ণ。 প্রশ্ন দুই: "EAP-TTLS সম্পর্কে কী বলবেন?" উত্তর: EAP-TTLS PEAP-এর চেয়ে ভালো কারণ এটি প্রমাণীকরণকে টানেল করে, প্রায়শই MSCHAPv2-এর পরিবর্তে PAP ব্যবহার করে, যা MSCHAPv2-এর নির্দিষ্ট ক্রিপ্টোগ্রাফিক দুর্বলতাগুলো এড়িয়ে যায়। তবে, এটি এখনও পাসওয়ার্ডের উপর নির্ভর করে এবং সার্ভার সার্টিফিকেট ভ্যালিডেট না হলে এটি এখনও ঝুঁকিপূর্ণ। এটি একটি পদক্ষেপ মাত্র, তবে EAP-TLS-ই চূড়ান্ত লক্ষ্য হওয়া উচিত。 প্রশ্ন তিন: "এটি আমাদের Purple গেস্ট WiFi-কে কীভাবে প্রভাবিত করে?" উত্তর: এটি সরাসরি প্রভাবিত করে না। গেস্ট WiFi সাধারণত Captive Portal বা WPA2/3-Personal সহ ওপেন নেটওয়ার্ক ব্যবহার করে, যা আপনার 802.1X এন্টারপ্রাইজ প্রমাণীকরণ থেকে আলাদা। তবে, আপনার ব্যাক-অফ-হাউস নেটওয়ার্ক সুরক্ষিত করা আপনার গেস্ট পরিষেবা এবং অ্যানালিটিক্স প্ল্যাটফর্মসহ আপনার সমস্ত ভেন্যু অপারেশনকে সমর্থনকারী ইনফ্রাস্ট্রাকচার রক্ষার জন্য অত্যন্ত গুরুত্বপূর্ণ。 সংক্ষেপে বলতে গেলে: PEAP-MSCHAPv2 আমাদের ভালোভাবে পরিষেবা দিয়েছে, কিন্তু এর সময় পেরিয়ে গেছে। ক্রিপ্টোগ্রাফিক ত্রুটিগুলো সর্বজনীন, এবং আক্রমণ টুলগুলো স্বয়ংক্রিয়। EAP-TLS-এ মাইগ্রেশন আর কোনো ব্লিডিং-এজ প্রকল্প নয়; এটি একটি স্ট্যান্ডার্ড, অর্জনযোগ্য আপগ্রেড, যা আধুনিক MDM এবং ক্লাউড PKI সলিউশনগুলোর দ্বারা উল্লেখযোগ্যভাবে সহজতর হয়েছে。 কিছুই না করার ঝুঁকি—একটি আপস করা Active Directory পাসওয়ার্ড যা একটি বৃহত্তর নেটওয়ার্ক ব্রিচের দিকে পরিচালিত করে—মাইগ্রেশনের অপারেশনাল প্রচেষ্টার চেয়ে অনেক বেশি। আজই আপনার RADIUS লগগুলোর একটি অডিট দিয়ে শুরু করুন, আপনার লিগ্যাসি ডিভাইসগুলো শনাক্ত করুন এবং সার্টিফিকেট-ভিত্তিক প্রমাণীকরণে আপনার ট্রানজিশন ম্যাপ করা শুরু করুন。 এই Purple টেকনিক্যাল ব্রিফিং শোনার জন্য আপনাকে ধন্যবাদ। আরও বিস্তারিত ডিপ্লয়মেন্ট গাইড এবং আর্কিটেকচার ডায়াগ্রামের জন্য, এই পডকাস্টের সাথে থাকা সম্পূর্ণ টেকনিক্যাল রেফারেন্স গাইডটি পড়তে ভুলবেন না।