19. HTTPS

হ্যালো! আপনার Simple Coding Tutor হাজির।

আজকের পর্বে কোথায় আছি আমরা? আপনার কোর্সের আউটলাইন অনুযায়ী, আপনি এখন Section 24: Security বা Section 25: Identity এর একদম শেষ বা কাছাকাছি কোনো সিকিউরিটি টপিকে আছেন। আজকে আমরা একটি অত্যন্ত গুরুত্বপূর্ণ বিষয় শিখব: HTTPS কীভাবে কাজ করে এবং ASP.NET Core অ্যাপ্লিকেশনে এটি কীভাবে কনফিগার করতে হয়। চলুন শুরু করি!

---

📝 Quick Summary for Future Revision

ভবিষ্যতে দ্রুত রিভিশন দেওয়ার জন্য আজকের লেকচারের মূল বিষয়গুলো নিচে লিস্ট করা হলো:

• HTTPS-এর কাজ: এটি Client এবং Server-এর মধ্যকার সমস্ত Request এবং Response এনক্রিপ্ট করে ডেটা সিকিউরিটি নিশ্চিত করে।

• TLS Handshake: * TCP Connection তৈরি হয়।

• Client এবং Server নিজেদের মধ্যে Random Value শেয়ার করে।

• তারা উভয়েই একটি কমন Session Key জেনারেট করে (Symmetric Encryption)।

• ASP.NET Core Setup:

• Program.cs ফাইলে app.UseHsts() এবং app.UseHttpsRedirection() Middleware অ্যাড করতে হয়।

• HSTS (HTTP Strict Transport Security) ব্রাউজারকে বাধ্য করে যেন সে শুধুমাত্র HTTPS ব্যবহার করে।

• URL Configuration: launchSettings.json ফাইলে applicationUrl-এর http:// কে পরিবর্তন করে https:// করতে হয়।

---

🧠 Comprehensive Breakdown

এখানে লেকচারের প্রতিটি বিষয় বিস্তারিতভাবে এবং সহজ করে ব্যাখ্যা করা হলো।

১. How HTTPS Works (The TLS Handshake) [Priority: 10/10]

কেন এটি দরকার? ইন্টারনেটে সাধারণ HTTP প্রোটোকলে ডেটা পাঠালে হ্যাকাররা তা খুব সহজেই মাঝপথ থেকে পড়ে ফেলতে পারে (যাকে Man-in-the-Middle অ্যাটাক বলে)। HTTPS আপনার সমস্ত Request (Header, Body) এবং Response-কে এনক্রিপ্ট করে সিকিউর করে।

এটি ঠিক কীভাবে কাজ করে? লেকচারার এখানে পুরো এনক্রিপশন প্রসেসটি ধাপে ধাপে বুঝিয়েছেন:

1. TCP Connection: HTTP যেহেতু একটি অ্যাপ্লিকেশন লেভেলের প্রোটোকল, তাই সবার আগে Client এবং Server-এর মধ্যে একটি TCP connection তৈরি হয়।
2. Hello Message: Client একটি pre-request বা “Hello message” পাঠায়।
3. Public Key & Certificate: Server তার Public Key এবং Certificate ক্লায়েন্টকে ফেরত পাঠায়।
4. Verification: Client (Browser) চেক করে দেখে যে Server-এর Certificate টি কোনো ভ্যালিড Certificate Authority দ্বারা সাইন করা কিনা।
5. Random Values Exchange: Certificate ভ্যালিড হলে, Client একটি ‘Client Random’ ভ্যালু পাঠায়। Server-ও একটি ‘Server Random’ ভ্যালু জেনারেট করে।
6. Session Key Generation (The Magic!): Server এই দুটি Random ভ্যালু ব্যবহার করে একটি Session Key তৈরি করে এবং Client-কে শুধু ‘Server Random’ ভ্যালুটি পাঠায়। খেয়াল করুন, Server কিন্তু Session Key ইন্টারনেটে পাঠায় না! Client তার কাছে থাকা Random ভ্যালুগুলো ব্যবহার করে নিজেই সেই একই Session Key তৈরি করে নেয়।
7. Symmetric Encryption: এখন Client এবং Server উভয়ের কাছেই একটি গোপন Session Key আছে। এরপর থেকে সমস্ত ডেটা এই Key দিয়ে এনক্রিপ্ট এবং ডিক্রিপ্ট করা হয়।

২. Enabling HTTPS in ASP.NET Core [Priority: 10/10]

কেন এটি দরকার? আপনার কোডে HTTPS এনাবল না থাকলে অ্যাপ্লিকেশনটি সাধারণ HTTP তেই রান করবে। আমাদের ব্রাউজারকে বোঝাতে হবে যেন সে সিকিউর কানেকশন ব্যবহার করে।

কোড ইমপ্লিমেন্টেশন: Program.cs ফাইলে Request Pipeline-এ দুটি Middleware অ্যাড করতে হবে।

var app = builder.Build();
 
// ... অন্যান্য কোড ...
 
// HSTS ব্রাউজারকে ফোর্স করে HTTPS ব্যবহার করতে
app.UseHsts(); 
 
// HTTP রিকোয়েস্টকে অটোমেটিক HTTPS-এ রিডাইরেক্ট করে
app.UseHttpsRedirection();
 
// ... UseRouting, UseAuthentication ইত্যাদি ...
app.Run();
 

ব্যাখ্যা:

• UseHttpsRedirection(): কেউ যদি আপনার সাইটে http://yoursite.com লিখে ঢোকে, এই Middleware তাকে অটোমেটিক https://yoursite.com এ রিডাইরেক্ট করে দেবে।
• UseHsts(): HSTS (HTTP Strict Transport Security) ব্রাউজারকে কড়া নির্দেশ দেয় যে, “ভবিষ্যতে এই ওয়েবসাইটের সাথে কোনো যোগাযোগ করতে হলে অবশ্যই HTTPS ব্যবহার করবে, HTTP নয়।” এটি সিকিউরিটি অনেক গুণ বাড়িয়ে দেয়।

৩. Configuring URLs in launchSettings.json [Priority: 8/10]

কেন এটি দরকার? ডেভেলপমেন্টের সময় (Localhost) আপনার অ্যাপ্লিকেশনটি কোন প্রোটোকলে রান করবে তা launchSettings.json ফাইলে বলা থাকে।

কোড ইমপ্লিমেন্টেশন: Properties ফোল্ডারের ভেতর launchSettings.json ফাইলে গিয়ে Kestrel বা IIS Express-এর প্রোফাইলগুলোতে URL পরিবর্তন করতে হবে।

"profiles": {
  "IIS Express": {
    "commandName": "IISExpress",
    "launchBrowser": true,
    "environmentVariables": {
      "ASPNETCORE_ENVIRONMENT": "Development"
    }
  },
  "Kestrel": {
    "commandName": "Project",
    "dotnetRunMessages": true,
    "launchBrowser": true,
    "applicationUrl": "https://localhost:5001;http://localhost:5000", // এখানে https নিশ্চিত করুন
    "environmentVariables": {
      "ASPNETCORE_ENVIRONMENT": "Development"
    }
  }
}
 

VS Code / Visual Studio Note: যখন আপনি প্রথমবার HTTPS দিয়ে প্রজেক্ট রান করবেন, Visual Studio বা .NET CLI আপনাকে একটি Certificate ইনস্টল করার প্রম্পট (Prompt) দিতে পারে। নির্দ্বিধায় Yes ক্লিক করবেন, এটি লোকাল ডেভেলপমেন্টের জন্য সম্পূর্ণ নিরাপদ।

---

🌟 Best Practices & Modern Updates (.NET 10 Context)

• Middleware Order is CRITICAL: লেকচারার যেমনটা বলেছেন, app.UseHsts() অবশ্যই app.UseHttpsRedirection() এর আগে থাকতে হবে। উল্টাপাল্টা করলে HSTS ঠিকমতো কাজ নাও করতে পারে।
• Modern .NET 10 Template Update: .NET 6 থেকে .NET 10 পর্যন্ত, আপনি যখন নতুন প্রজেক্ট তৈরি করেন, Program.cs ফাইলে ডিফল্টভাবেই নিচের কোডটুকু দেওয়া থাকে:

if (!app.Environment.IsDevelopment())
{
    app.UseHsts();
}
app.UseHttpsRedirection();
 

লক্ষ্য করুন: মডার্ন প্র্যাকটিসে UseHsts() শুধুমাত্র Production এনভায়রনমেন্টেই ব্যবহার করা হয় (Localhost-এ এটি অনেক সময় ব্রাউজারের ক্যাশ জনিত ঝামেলার সৃষ্টি করে)। তবে UseHttpsRedirection() সবসময়ই থাকে।

• Never transmit sensitive data without HTTPS: লগইন ক্রেডেনশিয়াল (পাসওয়ার্ড, ইমেইল) বা পেমেন্ট ইনফরমেশন আদান-প্রদানের সময় প্লেইন HTTP ব্যবহার করা একদমই উচিত নয়।

আশা করি কনসেপ্টটি এখন আপনার কাছে একদম পরিষ্কার! এরপর আমরা আরও দারুণ কিছু টপিকে যাবো।