TLS-এর নিরাপত্তা-গ্যারান্টি — কী রক্ষা করে, কীভাবে ভাঙে

# forward_secrecy.py — static RSA key-transport বনাম ephemeral DHE: forward secrecy সংখ্যায়
import random, math

random.seed(20260827)  # deterministic

def is_prime(n, rounds=25):
    if n < 2:
        return False
    for p in (2, 3, 5, 7, 11, 13, 17, 19, 23, 29, 31, 37):
        if n % p == 0:
            return n == p
    d, r = n - 1, 0
    while d % 2 == 0:
        d //= 2
        r += 1
    for _ in range(rounds):
        a = random.randrange(2, n - 1)
        x = pow(a, d, n)
        if x in (1, n - 1):
            continue
        for _ in range(r - 1):
            x = pow(x, 2, n)
            if x == n - 1:
                break
        else:
            return False
    return True

def gen_prime(bits):
    while True:
        cand = random.getrandbits(bits) | (1 << (bits - 1)) | 1
        if is_prime(cand):
            return cand

def gen_rsa_keypair(bits=140):
    p, q = gen_prime(bits), gen_prime(bits)
    while p == q:
        q = gen_prime(bits)
    n = p * q
    phi = (p - 1) * (q - 1)
    e = 65537
    while math.gcd(e, phi) != 1:
        e += 2
    d = pow(e, -1, phi)
    return (n, e), (n, d)

print("=== দৃশ্য: server-এর একটাই দীর্ঘমেয়াদী (long-term) RSA keypair ===")
server_pub, server_priv = gen_rsa_keypair(bits=140)
n, e = server_pub
print(f"server public  (n, e) = (n, {e})")
print(f"server private (n, d) = (n, {server_priv[1]})")
print()

print("=== মোড A: static RSA key-transport (TLS 1.2-স্টাইল non-(EC)DHE cipher suite) ===")
premaster_secret = 918273645918273645918273645918273645  # client নিজে বেছে নেয়, encrypt করে পাঠায়
ciphertext = pow(premaster_secret, e, n)   # server-এর PUBLIC key দিয়ে encrypt — eavesdropper এই ciphertext-টাই তারের ওপর দেখে
print(f"client-chosen premaster_secret = {premaster_secret}")
print(f"wire-এ যা দেখা যায় (ciphertext) = {ciphertext}")
print("--- eavesdropper আজ এই ciphertext record করে রাখল, decrypt করতে পারল না ---")
print()

print(">>> মাসখানেক পরে: Heartbleed-স্টাইল বাগে server-এর PRIVATE key leak হয়ে গেল <<<")
_, d = server_priv
recovered_premaster = pow(ciphertext, d, n)   # leaked private key দিয়ে সরাসরি decrypt
print(f"leaked private key দিয়ে decrypt করা premaster = {recovered_premaster}")
print(f"recovered_premaster == original premaster_secret : {recovered_premaster == premaster_secret}")
print("-> মাসখানেক আগের RECORDED session আজ পুরোপুরি খুলে গেল — NO forward secrecy")
print()

print("=== মোড B: ephemeral Diffie-Hellman (DHE/ECDHE-স্টাইল) — প্রতি session নতুন keypair ===")
# ছোট কিন্তু বাস্তব একটা DH গ্রুপ (demo readability-র জন্য); নীতিটা আসল ECDHE-র মতোই
P = 2**127 - 1     # Mersenne prime, toy DH modulus
G = 5              # generator

def dhe_session(rng):
    a = rng.randrange(2, P - 1)   # client-এর EPHEMERAL private — শুধু এই session-এর জন্য জন্মালো
    b = rng.randrange(2, P - 1)   # server-এর EPHEMERAL private — এটাও শুধু এই session-এর জন্য
    A = pow(G, a, P)              # wire-এ যায় — public
    B = pow(G, b, P)              # wire-এ যায় — public
    shared_client = pow(B, a, P)
    shared_server = pow(A, b, P)
    assert shared_client == shared_server
    return A, B, shared_client, a, b

rng = random.Random(777)
A1, B1, shared1, a1, b1 = dhe_session(rng)
print(f"session-এর ephemeral public values (wire-এ eavesdropper যা দেখে):")
print(f"  A (client ephemeral pub) = {A1}")
print(f"  B (server ephemeral pub) = {B1}")
print(f"উভয়ে independently derive করা shared secret = {shared1}")
print("--- handshake শেষ, a আর b এখন মুছে ফেলা হলো — কোথাও persist করা হয়নি ---")
print()

print(">>> একই ভবিষ্যৎ compromise: server-এর STATIC RSA private key (d) leak হয়ে গেল <<<")
print("প্রশ্ন: এই leaked d দিয়ে কি recorded (A1, B1) থেকে shared1 বের করা যায়?")
# attacker-এর হাতে যা আছে: A1, B1 (wire থেকে record করা), আর leaked RSA d (সম্পূর্ণ ভিন্ন keypair!)
# চেষ্টা: leaked d-কে যদি DH exponent হিসেবেই ব্যবহার করা হয় (attacker-এর একমাত্র "leverage")
attempted_with_leaked_key = pow(B1, d % (P - 1), P)
print(f"leaked RSA d-কে DH exponent হিসেবে ব্যবহার করে চেষ্টা = {attempted_with_leaked_key}")
print(f"আসল shared secret                                    = {shared1}")
print(f"মিলল কি? {attempted_with_leaked_key == shared1}")
print("-> মেলেনি, মেলার কথাও না: RSA-এর (n,d) আর DH-এর (P,G,a,b) সম্পূর্ণ ভিন্ন গাণিতিক জগৎ,")
print("   কোনো algebraic সেতু নেই একটা থেকে আরেকটায় যাওয়ার। আর a1,b1 নিজেরাই তো আর কোথাও নেই —")
print(f"   ephemeral private ছিল a1={a1 % 10**6}...(truncated), মেমরি থেকে মুছে ফেলা হয়েছিল বহু আগেই।")
print("-> RECORDED session আজও অখণ্ড secret — THIS is forward secrecy.")

প্রত্যাশিত output (deterministic — fixed seed, হুবহু এটাই আসবে):

=== দৃশ্য: server-এর একটাই দীর্ঘমেয়াদী (long-term) RSA keypair ===
server public  (n, e) = (n, 65537)
server private (n, d) = (n, 949494565488193816245992901836306878304361487986690869626906411305048986558339542577)

=== মোড A: static RSA key-transport (TLS 1.2-স্টাইল non-(EC)DHE cipher suite) ===
client-chosen premaster_secret = 918273645918273645918273645918273645
wire-এ যা দেখা যায় (ciphertext) = 1019917704547232985747791863339700791306870880699124183933634898200908201656111638848
--- eavesdropper আজ এই ciphertext record করে রাখল, decrypt করতে পারল না ---

>>> মাসখানেক পরে: Heartbleed-স্টাইল বাগে server-এর PRIVATE key leak হয়ে গেল <<<
leaked private key দিয়ে decrypt করা premaster = 918273645918273645918273645918273645
recovered_premaster == original premaster_secret : True
-> মাসখানেক আগের RECORDED session আজ পুরোপুরি খুলে গেল — NO forward secrecy

=== মোড B: ephemeral Diffie-Hellman (DHE/ECDHE-স্টাইল) — প্রতি session নতুন keypair ===
session-এর ephemeral public values (wire-এ eavesdropper যা দেখে):
  A (client ephemeral pub) = 101514752845321082441675040262365088659
  B (server ephemeral pub) = 1240798560331113092962339618518417002
উভয়ে independently derive করা shared secret = 156075397110015933774173141260053219708
--- handshake শেষ, a আর b এখন মুছে ফেলা হলো — কোথাও persist করা হয়নি ---

>>> একই ভবিষ্যৎ compromise: server-এর STATIC RSA private key (d) leak হয়ে গেল <<<
প্রশ্ন: এই leaked d দিয়ে কি recorded (A1, B1) থেকে shared1 বের করা যায়?
leaked RSA d-কে DH exponent হিসেবে ব্যবহার করে চেষ্টা = 71323048854273724170887485213844140819
আসল shared secret                                    = 156075397110015933774173141260053219708
মিলল কি? False
-> মেলেনি, মেলার কথাও না: RSA-এর (n,d) আর DH-এর (P,G,a,b) সম্পূর্ণ ভিন্ন গাণিতিক জগৎ,
   কোনো algebraic সেতু নেই একটা থেকে আরেকটায় যাওয়ার। আর a1,b1 নিজেরাই তো আর কোথাও নেই —
   ephemeral private ছিল a1=148293...(truncated), মেমরি থেকে মুছে ফেলা হয়েছিল বহু আগেই।
-> RECORDED session আজও অখণ্ড secret — THIS is forward secrecy.

সংখ্যাগুলোই বার্তা দেয়: দুইটা মোডেই আজকের session সমানভাবে “encrypted” মনে হয়েছিল — attacker কোনোটাই আজ decrypt করতে পারেনি। পার্থক্যটা ফুটে উঠল শুধু ভবিষ্যতের compromise-এ। Mode A-তে leaked key সরাসরি pow(ciphertext, d, n)-এ বসিয়ে পুরনো secret ফেরত পাওয়া গেল — কারণ session key mathematically derived ছিল সেই একই static key থেকে। Mode B-তে leaked key দিয়ে কিছুই মেলেনি, কারণ shared1 কখনোই d-এর ওপর নির্ভর করেনি — শুধু random, session-specific a1, b1-এর ওপর, যা handshake শেষ হতেই হারিয়ে গেছে। এইজন্যই TLS 1.3 static RSA key-transport সম্পূর্ণ বাদ দিয়ে (EC)DHE-কে বাধ্যতামূলক করেছে — forward secrecy এখন একটা optional সুবিধা না, প্রোটোকলের ডিফল্ট আচরণ।