User Authentication এবং Token আদান-প্রদান আধুনিক ওয়েব এবং মোবাইল অ্যাপ্লিকেশনগুলির নিরাপত্তা ব্যবস্থার মূল উপাদান। এই দুটি প্রক্রিয়া একে অপরের সাথে গভীরভাবে সম্পর্কিত, এবং এগুলির মাধ্যমে ব্যবহারকারীর পরিচয় নিশ্চিত করা এবং অনুমোদিত অ্যাক্সেস প্রদান করা হয়।
User Authentication (ব্যবহারকারী অথেনটিকেশন)
User Authentication হল সেই প্রক্রিয়া যার মাধ্যমে একটি সিস্টেম বা অ্যাপ্লিকেশন ব্যবহারকারীর পরিচয় যাচাই করে, অর্থাৎ এটি নিশ্চিত করে যে ব্যবহারকারী সেই ব্যক্তি যিনি দাবি করেছেন তিনি। এটি একটি প্রাথমিক নিরাপত্তা স্তর যা মূলত পাসওয়ার্ড, পিন, বা অন্যান্য প্রমাণীকরণের পদ্ধতির মাধ্যমে সম্পাদিত হয়।
User Authentication এর প্রধান প্রক্রিয়া:
- Login Form:
ব্যবহারকারী তার ইউজারনেম এবং পাসওয়ার্ড (বা অন্যান্য তথ্য) সিস্টেমে প্রদান করে। - পাসওয়ার্ড যাচাই:
সার্ভার ব্যবহৃত পাসওয়ার্ড বা প্রমাণীকরণের অন্যান্য মাধ্যম যাচাই করে। পাসওয়ার্ড সঠিক হলে, ব্যবহারকারীকে প্রবেশাধিকার দেওয়া হয়। - Multi-Factor Authentication (MFA):
শুধুমাত্র পাসওয়ার্ড দিয়ে সন্তুষ্ট না হয়ে, MFA ব্যবহার করা যেতে পারে, যেখানে ব্যবহারকারীকে একাধিক প্রমাণীকরণের স্তর অতিক্রম করতে হয় (যেমন SMS কোড, OTP, বা ফিঙ্গারপ্রিন্ট)। - Session Management:
একবার ব্যবহারকারী সফলভাবে অথেনটিকেট হলে, সিস্টেম সাধারণত একটি সেশন তৈরি করে, যার মাধ্যমে ব্যবহারকারী লগ ইন থাকা অবস্থায় সিস্টেমের বিভিন্ন সেবা ব্যবহার করতে পারেন। সেশন একটি নির্দিষ্ট সময়ের জন্য বৈধ থাকে এবং সেশনের মেয়াদ শেষে ব্যবহারকারীকে পুনরায় লগ ইন করতে বলা হয়।
Token আদান-প্রদান (Token Exchange)
Token আদান-প্রদান হল একাধিক সিস্টেমের মধ্যে অথোরাইজেশন এবং অ্যাক্সেস প্রক্রিয়া সম্পাদন করার জন্য ব্যবহৃত একটি নিরাপদ প্রক্রিয়া। ব্যবহারকারী যখন লগ ইন করেন এবং অথেনটিকেশন প্রক্রিয়া সম্পন্ন হয়, তখন তাকে একটি টোকেন প্রদান করা হয়, যা পরবর্তী রিকোয়েস্টগুলির জন্য ব্যবহারকারীকে অ্যাক্সেস প্রদান করতে সহায়তা করে। এই প্রক্রিয়া সাধারণত OAuth 2.0 বা JWT (JSON Web Token) ব্যবস্থার মাধ্যমে পরিচালিত হয়।
Token আদান-প্রদান প্রক্রিয়া:
- Authorization Request:
ব্যবহারকারী প্রথমে একটি ক্লায়েন্ট অ্যাপ্লিকেশন বা ওয়েবসাইটে লগ ইন করে। তখন সিস্টেম তার অথেনটিকেশন চেক করে। - Token Generation:
একবার ব্যবহারকারী সফলভাবে লগ ইন করলে, সার্ভার একটি Access Token এবং সম্ভবত একটি Refresh Token তৈরি করে। এই টোকেনগুলো ব্যবহারকারী বা ক্লায়েন্টকে নির্দিষ্ট সময় বা সীমাবদ্ধতার জন্য সিস্টেমের রিসোর্স অ্যাক্সেস করতে সহায়ক হয়। - Token Delivery:
সিস্টেম টোকেনটি ক্লায়েন্ট অ্যাপ্লিকেশনকে প্রদান করে। টোকেনটি সাধারণত একটি হেডার বা কুকিতে (cookie) রাখা হয় যা পরবর্তী রিকোয়েস্টে ক্লায়েন্ট সিস্টেমে প্রেরণ করে। - Token Validation:
যখন ক্লায়েন্ট সার্ভারের কাছে রিকোয়েস্ট পাঠায়, তখন টোকেনটি সার্ভার দ্বারা যাচাই করা হয়। এটি নিশ্চিত করে যে ব্যবহারকারী সঠিক অনুমতি ও অ্যাক্সেস অধিকার পেয়েছেন। যদি টোকেন বৈধ হয়, তবে সার্ভার রিকোয়েস্ট সম্পাদন করে, অন্যথায় অনুমতি অস্বীকার করে। - Token Expiration:
অধিকাংশ টোকেন একটি নির্দিষ্ট সময় পর্যন্ত বৈধ থাকে (টোকেনের মেয়াদ শেষ হয়ে গেলে ব্যবহারকারীকে আবার লগ ইন করতে হয়)। তবে, টোকেনটি যখন মেয়াদ উত্তীর্ণ হয়, তখন Refresh Token ব্যবহার করে একটি নতুন অ্যাক্সেস টোকেন গ্রহণ করা যেতে পারে। - Token Revocation:
ব্যবহারকারী যদি তার অ্যাক্সেস বাতিল করতে চান (যেমন, লগ আউট), তাহলে টোকেনটি সার্ভারের মাধ্যমে revoked (বাতিল) করা যেতে পারে, যাতে পরবর্তী রিকোয়েস্টে অ্যাক্সেস অস্বীকার করা হয়।
OAuth 2.0 এর মধ্যে Token আদান-প্রদান
OAuth 2.0 হল একটি অথোরাইজেশন ফ্রেমওয়ার্ক যা টোকেন আদান-প্রদান ব্যবস্থার জন্য অত্যন্ত জনপ্রিয়। OAuth 2.0-এর মাধ্যমে ক্লায়েন্ট অ্যাপ্লিকেশন ব্যবহারকারীর পক্ষ থেকে সার্ভিস বা রিসোর্সে অ্যাক্সেস পেতে একটি টোকেন প্রাপ্তি প্রক্রিয়া সম্পন্ন করে। সাধারণত এটি দুটি প্রধান ধরনের টোকেন ব্যবহার করে:
- Access Token:
এটি মূল টোকেন যা ব্যবহারকারীর অ্যাক্সেস অনুমতি প্রদান করে। ক্লায়েন্ট অ্যাপ্লিকেশন এটি ব্যবহার করে নির্দিষ্ট রিসোর্সে অ্যাক্সেস পায়। - Refresh Token:
যখন Access Token-এর মেয়াদ শেষ হয়ে যায়, তখন Refresh Token ব্যবহার করে নতুন Access Token তৈরি করা যায়, যা দীর্ঘমেয়াদী সেশন ব্যবহারের জন্য উপকারী।
JWT (JSON Web Token) এর মধ্যে Token আদান-প্রদান
JWT একটি কমপ্যাক্ট এবং নিরাপদ উপায় যা JSON ফরম্যাটে টোকেন তথ্য সংরক্ষণ করে এবং সেটি ব্যবহারকারীর পরিচয় এবং অনুমতির তথ্য প্রদান করতে ব্যবহৃত হয়। JWT-এ তিনটি অংশ থাকে:
- Header:
এটি টোকেনের ধরণ এবং সিগনেচারের অ্যালগরিদম উল্লেখ করে। - Payload:
এটি তথ্য বা claims ধারণ করে, যেমন ব্যবহারকারীর ইউজারনেম, রোল, বা অন্য কোন মেটাডেটা। এটি এনকোডেড থাকে তবে এনক্রিপ্টেড নয়। - Signature:
এটি হেডার এবং পে-লোডের সাথে সিক্যুয়ার করে এবং এটি নিশ্চিত করে যে টোকেনের তথ্য পরিবর্তন করা হয়নি।
JWT হল একটি stateless প্রোটোকল, যেখানে সার্ভার ক্লায়েন্টের স্টেট (অবস্থা) ট্র্যাক করে না এবং প্রতিটি রিকোয়েস্টে টোকেনের মাধ্যমে তথ্য যাচাই করে।
Token আদান-প্রদান নিরাপত্তা
- HTTPS:
Token আদান-প্রদান সর্বদা HTTPS ব্যবহার করে করা উচিত, যাতে সিস্টেমের মধ্যে যেকোনো ধরনের তথ্য চুরি বা ম্যান ইন দ্য মিডল (MITM) আক্রমণ প্রতিরোধ করা যায়। - Token Expiration and Rotation:
টোকেনের মেয়াদ সীমিত থাকা উচিত, এবং Refresh Token ব্যবহার করে নতুন টোকেন পাওয়া যায়। এটি নিশ্চিত করে যে, একবার একটি টোকেন চুরি হলেও তা দীর্ঘমেয়াদে ব্যবহার করা যাবে না। - Signature Verification:
টোকেন সঠিকভাবে যাচাই করা উচিত যাতে এটি পরিবর্তিত না হয়। JWT এর সিগনেচার অংশ ব্যবহার করে টোকেনের অখণ্ডতা নিশ্চিত করা হয়। - Scope:
Token এর মধ্যে scope প্রভৃতি ডেটা নির্ধারণ করা হয়, যাতে এটি শুধুমাত্র নির্দিষ্ট রিসোর্সে অ্যাক্সেস দিতে পারে।
সারসংক্ষেপ
- User Authentication হল সেই প্রক্রিয়া যার মাধ্যমে ব্যবহারকারীর পরিচয় যাচাই করা হয়, সাধারণত পাসওয়ার্ড বা অন্যান্য প্রমাণীকরণের মাধ্যমে।
- Token আদান-প্রদান ব্যবহারকারীর অনুমতি অনুযায়ী নিরাপদ অ্যাক্সেস প্রদান করার জন্য ব্যবহৃত হয়।
- OAuth 2.0 এবং JWT এই প্রক্রিয়া গুলির মধ্যে সাধারণ টোকেন ব্যবস্থাপনার জন্য ব্যবহৃত প্রোটোকল।
- সুরক্ষা নিশ্চিত করতে, টোকেনগুলি HTTPS মাধ্যমে প্রেরণ করা হয় এবং নির্দিষ্ট সময়ের মধ্যে বৈধ থাকে, যাতে কোনো অননুমোদিত অ্যাক্সেস রোধ করা যায়।
Read more
