CRAM-MD5
ক্রিপ্টোগ্রাফিতে, সি. আর. এ. এম-এম. ডি5 হল এইচ. এম. এ. সি-এম. ডি5 অ্যালগরিদমের উপর ভিত্তি করে একটি চ্যালেঞ্জ-রেসপন্স অথেনটিকেশন মেকানিজম (সি. আর. এ. এম)। সিম্পল অথেন্টিকেশন অ্যান্ড সিকিউরিটি লেয়ার (এসএএসএল) দ্বারা সমর্থিত প্রক্রিয়াগুলির মধ্যে একটি হিসাবে, এটি প্রায়শই ইমেল সফ্টওয়্যারে এসএমটিপি প্রমাণীকরণের অংশ হিসাবে এবং পিওপি এবং আইএমএপি ব্যবহারকারীদের প্রমাণীকরণের পাশাপাশি এলডিএপি, এক্সএমপিপি, বিইইপি এবং অন্যান্য প্রোটোকল প্রয়োগকারী অ্যাপ্লিকেশনগুলিতে ব্যবহৃত হয়। যখন এই ধরনের সফ্টওয়্যারের জন্য এনক্রিপ্ট না করা সংযোগগুলির উপর প্রমাণীকরণের প্রয়োজন হয়, তখন লগইন এবং প্লেনের মতো "স্পষ্টভাবে" পাসওয়ার্ড প্রেরণকারী প্রক্রিয়াগুলির চেয়ে ক্র্যাম-এমডি5 পছন্দ করা হয়। যাইহোক, এটি ব্রুট-ফোর্স আক্রমণের মাধ্যমে একটি পাসওয়ার্ডের উৎপত্তি রোধ করতে পারে না, তাই এটি বিকল্প প্রক্রিয়াগুলির তুলনায় কম কার্যকর যা পাসওয়ার্ডগুলি এড়িয়ে চলে বা ট্রান্সপোর্ট লেয়ার সিকিউরিটি (টিএলএস) এর সাথে এনক্রিপ্ট করা সংযোগগুলি ব্যবহার করে। প্রোটোকল সিআরএএম-এমডি5 প্রোটোকলে একটি একক চ্যালেঞ্জ এবং প্রতিক্রিয়া চক্র জড়িত থাকে এবং এটি সার্ভার দ্বারা শুরু করা হয়ঃ চ্যালেঞ্জঃ সার্ভার ক্লায়েন্টকে একটি বেস64-এনকোডেড স্ট্রিং পাঠায়। এনকোডিংয়ের আগে, এটি যে কোনও র্যান্ডম স্ট্রিং হতে পারে, তবে বর্তমানে যে মানটি সিআরএএম-এমডি5-কে সংজ্ঞায়িত করে তা বলে যে এটি একটি বার্তা-আইডি ইমেল হেডার মানের (কোণ বন্ধনী সহ) বিন্যাসে রয়েছে এবং এতে র্যান্ডম সংখ্যার একটি নির্বিচারে স্ট্রিং, একটি টাইমস্ট্যাম্প এবং সার্ভারের সম্পূর্ণ যোগ্য ডোমেন নাম অন্তর্ভুক্ত রয়েছে। প্রতিক্রিয়াঃ ক্লায়েন্ট নিম্নরূপ তৈরি একটি স্ট্রিং দিয়ে প্রতিক্রিয়া জানায়। চ্যালেঞ্জটি বেস64-ডিকোড করা। ডিকোডেড চ্যালেঞ্জটি এইচএমএসি-এমডি5 ব্যবহার করে হ্যাশ করা হয়, গোপন কী হিসাবে একটি ভাগ করা গোপন (সাধারণত, ব্যবহারকারীর পাসওয়ার্ড, বা তার একটি হ্যাশ) সহ। হ্যাশ চ্যালেঞ্জটি ছোট হাতের হেক্স সংখ্যার স্ট্রিংয়ে রূপান্তরিত হয়। ব্যবহারকারীর নাম এবং একটি স্থান অক্ষর হেক্স সংখ্যায় পূর্ববর্তী হয়। সংমিশ্রণটি তখন বেস64-এনকোড করা হয় এবং সার্ভারে পাঠানো হয় তুলনাঃ প্রত্যাশিত প্রতিক্রিয়া গণনা করতে সার্ভার একই পদ্ধতি ব্যবহার করে। যদি প্রদত্ত প্রতিক্রিয়া এবং প্রত্যাশিত প্রতিক্রিয়া মেলে, তবে প্রমাণীকরণ সফল হয়েছিল। একমুখী হ্যাশ এবং নতুন র্যান্ডম চ্যালেঞ্জ তিন ধরনের নিরাপত্তা প্রদান করেঃ অন্যরা পাসওয়ার্ড না জেনে হ্যাশ নকল করতে পারে না। এটি প্রমাণীকরণ প্রদান করে। অন্যরা হ্যাশটি পুনরায় চালাতে পারে না-এটি অপ্রত্যাশিত চ্যালেঞ্জের উপর নির্ভরশীল। একে বিভিন্নভাবে সতেজতা বা রিপ্লে প্রতিরোধ বলা হয়। পর্যবেক্ষকরা পাসওয়ার্ড শেখেন না; একে বলা হয় গোপনীয়তা। দুর্বলতা কোনও পারস্পরিক প্রমাণীকরণ নেইঃ ক্লায়েন্ট সার্ভারকে যাচাই করে না। তবে, এস. এ. এস. এল প্রমাণীকরণ সাধারণত একটি টি. এল. এস সংযোগের মাধ্যমে করা হয়, যা সার্ভারের পরিচয় যাচাই করে। দুর্বল পাসওয়ার্ড সংরক্ষণঃ কিছু বাস্তবায়নের জন্য ব্যবহারকারীদের সাধারণ পাঠ্য পাসওয়ার্ডগুলিতে অ্যাক্সেসের প্রয়োজন হয়, অন্যগুলি (যেমন। ডোভকোট) পাসওয়ার্ডের এম. ডি. 5-হ্যাশ সংরক্ষণ করতে এইচ. এম. এ. সি প্রক্রিয়ার মধ্যবর্তী ধাপটি ব্যবহার করে (কঠোরভাবে এইচ. এম. এ. সি-এর অভ্যন্তরীণ চলক আই _ কী _ প্যাড এবং ও _ কী _ প্যাড সম্পর্কে বলতে গেলে)। এই ধরনের বাস্তবায়নের ফলে md5 গণনা করার জন্য (64 বাইটের সাথে কিছু), শুধুমাত্র md5 অভ্যন্তরীণ (64 বাইটের সাথে কিছু) এবং অন্য কিছু জানার প্রয়োজন হয় (এমডি5-এ মার্কেল-ড্যামগার্ড ব্যবহারের কারণে; চূড়ান্ত ব্লক ছাড়া md5 অভ্যন্তরীণ হল md5)। যেহেতু আই _ কী _ প্যাড এবং ও _ কী _ প্যাড এইচএমএসি-র অভ্যন্তরীণ এবং বাইরের হ্যাশের শুরুতে থাকে এবং এর দৈর্ঘ্য 64 বাইট, তাই এই তথ্যটি ব্যবহার করা যেতে পারে। বিপরীতমুখী হওয়ার হুমকিঃ পাসওয়ার্ড পুনরুদ্ধারের জন্য একটি অফলাইন অভিধান আক্রমণ একটি সফল সিআরএএম-এমডি5 প্রোটোকল বিনিময় (যেমন, কেইন এবং আবেল ব্যবহার করে) ক্যাপচার করার পরে সম্ভব। যে কোনও পাসওয়ার্ড হ্যাশিং স্কিমে এই হুমকি অনিবার্য, তবে আরও আধুনিক অ্যালগরিদমগুলি এক হাজার বা তার বেশি ফ্যাক্টর দ্বারা আক্রমণের ব্যয় বাড়ানোর জন্য কী স্ট্রেচিং ব্যবহার করে। বিপরীতভাবে, সি. আর. এ. এম-এম. ডি5 ডাইজেস্টগুলি ডেডিকেটেড হার্ডওয়্যারে খুব কম গণনামূলক সংস্থান বা এমনকি শুধুমাত্র স্ট্যান্ডার্ড সিপিইউ ব্যবহার করে গণনা করা যেতে পারে। প্রক্সি-সক্ষমতাঃ একটি পাসওয়ার্ড-প্রামাণিক কী চুক্তি (পিএকেই) স্কিমের বিপরীতে, ক্র্যাম-এমডি5 দুটি শেষ বিন্দুর মধ্যে ভাগ করা একটি গোপন স্থাপন করে না তবে একজন আড়ালদারের কাছে অজানা। মাঝখানে একজন সক্রিয় ব্যক্তি তাই সার্ভারের সাথে একটি সংযোগ খুলতে পারেন, একটি চ্যালেঞ্জ পেতে পারেন, ক্লায়েন্টকে সেই চ্যালেঞ্জটি দিতে পারেন, ক্লায়েন্টের প্রতিক্রিয়া গ্রহণ করতে পারেন এবং সেই প্রতিক্রিয়াটি সার্ভারে প্রেরণ করতে পারেন। এটি এখন সার্ভারে ক্লায়েন্টের ছদ্মবেশ ধারণ করার সময় ক্লায়েন্টের আরও বার্তাগুলি ফেলে দিতে পারে। স্ট্যান্ডার্ড সিআরএএম-এমডি5 আইইটিএফ স্ট্যান্ডার্ড-ট্র্যাক ডকুমেন্ট আরএফসি 2195 দ্বারা সংজ্ঞায়িত করা হয়েছে, যা 1997 সালের আগের থেকে আরএফসি 2095 কে ছাড়িয়ে গেছে। এই ডি ফ্যাক্টো স্ট্যান্ডার্ডগুলি ইমেল মেলবক্স-ম্যানেজমেন্ট প্রোটোকল পিওপি এবং আইএমএপি-এর জন্য একটি প্রমাণীকরণ পদ্ধতি হিসাবে সিআরএএম-এমডি5-কে সংজ্ঞায়িত করে। 2006 সালে আর. এফ. সি 4422 দ্বারা সংজ্ঞায়িত সিম্পল অথেন্টিকেশন অ্যান্ড সিকিউরিটি লেয়ার (এস. এ. এস. এল) দ্বারা সমর্থিত প্রমাণীকরণ পদ্ধতিগুলির মধ্যে একটি হল সি. আর. এ. এম-এম. ডি5, যা 1997 সালের স্ট্যান্ডার্ড আর. এফ. সি 2222-কে ছাড়িয়ে গেছে। ইন্টারনেট অ্যাসাইন্ড নাম্বারস অথরিটি (আইএএনএ) সীমিত ব্যবহারের জন্য সিআরএএম-এমডি5 সহ এসএএসএল প্রক্রিয়াগুলির একটি রেজিস্ট্রি বজায় রাখে। আর. এফ. সি 2645-এ সংজ্ঞায়িত অন-ডিমান্ড মেইল রিলে (ও. ডি. এম. আর)-এর জন্য সি. আর. এ. এম-এম. ডি5 প্রয়োজন। অপ্রচলিত 20 নভেম্বর 2008 সালে মানটি অবমূল্যায়ন করার সুপারিশ করা হয়েছিল। বিকল্প হিসাবে এটি যেমন সুপারিশ করে। পরিবর্তে এস. সি. আর. এ. এম বা এস. এ. এস. এল প্লেইন টি. এল. এস দ্বারা সুরক্ষিত। আরও দেখুন সিম্পল মেইল ট্রান্সফার প্রোটোকল (এস. এম. টি. পি) জন ক্লেনসিন রেফারেন্স ইন্টারনেট স্ট্যান্ডার্ড কম্পিউটার অ্যাক্সেস কন্ট্রোল প্রোটোকল ইমেল প্রমাণীকরণ