IETF অনুমোদিত ACME - এটি SSL সার্টিফিকেটের সাথে কাজ করার জন্য একটি মানক

IETF অনুমোদিত মান স্বয়ংক্রিয় সার্টিফিকেট ম্যানেজমেন্ট এনভায়রনমেন্ট (ACME), যা SSL সার্টিফিকেটের প্রাপ্তি স্বয়ংক্রিয়ভাবে সাহায্য করবে। চলুন আপনাকে বলি কিভাবে এটি কাজ করে।

/ফ্লিকার/ ক্লিফ জনসন / সিসি বাই-এসএ

কেন মান প্রয়োজন ছিল?

সেটিং প্রতি গড় SSL সার্টিফিকেট একটি ডোমেনের জন্য, প্রশাসক এক থেকে তিন ঘন্টা পর্যন্ত ব্যয় করতে পারেন। আপনি যদি ভুল করেন তবে আবেদনটি প্রত্যাখ্যান না হওয়া পর্যন্ত আপনাকে অপেক্ষা করতে হবে, তবেই এটি আবার জমা দেওয়া যাবে। এই সমস্ত বড় মাপের সিস্টেম স্থাপন করা কঠিন করে তোলে।

প্রতিটি সার্টিফিকেশন কর্তৃপক্ষের জন্য ডোমেন যাচাইকরণ পদ্ধতি ভিন্ন হতে পারে। প্রমিতকরণের অভাব কখনও কখনও নিরাপত্তা সমস্যার দিকে পরিচালিত করে। বিখ্যাত কেসযখন, সিস্টেমে একটি ত্রুটির কারণে, একটি CA সমস্ত ঘোষিত ডোমেন যাচাই করে। এই ধরনের পরিস্থিতিতে, SSL সার্টিফিকেট জালিয়াতি সম্পদ জারি করা হতে পারে.

IETF অনুমোদিত ACME প্রোটোকল (স্পেসিফিকেশন RFC8555) একটি শংসাপত্র প্রাপ্তির প্রক্রিয়া স্বয়ংক্রিয় এবং প্রমিত করা উচিত। এবং মানবিক ফ্যাক্টর বাদ দেওয়া ডোমেন নাম যাচাইকরণের নির্ভরযোগ্যতা এবং নিরাপত্তা বাড়াতে সাহায্য করবে।

মান উন্মুক্ত এবং যে কেউ এর উন্নয়নে অবদান রাখতে পারে। ভিতরে GitHub এ সংগ্রহস্থল প্রাসঙ্গিক নির্দেশাবলী প্রকাশ করা হয়েছে.

এগুলো কিভাবে কাজ করে

JSON বার্তা ব্যবহার করে HTTPS-এর মাধ্যমে ACME-এ অনুরোধগুলি বিনিময় করা হয়। প্রোটোকলের সাথে কাজ করার জন্য, আপনাকে লক্ষ্য নোডে ACME ক্লায়েন্ট ইনস্টল করতে হবে; এটি একটি অনন্য কী জোড়া তৈরি করে যখন আপনি প্রথমবার CA অ্যাক্সেস করেন। পরবর্তীকালে, তারা ক্লায়েন্ট এবং সার্ভার থেকে সমস্ত বার্তা স্বাক্ষর করতে ব্যবহার করা হবে।

প্রথম বার্তাটিতে ডোমেনের মালিক সম্পর্কে যোগাযোগের তথ্য রয়েছে৷ এটি ব্যক্তিগত কী দিয়ে স্বাক্ষরিত হয় এবং সর্বজনীন কী সহ সার্ভারে পাঠানো হয়। এটি স্বাক্ষরের সত্যতা যাচাই করে এবং সবকিছু ঠিক থাকলে, একটি SSL শংসাপত্র জারি করার প্রক্রিয়া শুরু করে।

একটি শংসাপত্র পাওয়ার জন্য, ক্লায়েন্টকে অবশ্যই সার্ভারের কাছে প্রমাণ করতে হবে যে তিনি ডোমেনের মালিক। এটি করার জন্য, তিনি শুধুমাত্র মালিকের কাছে উপলব্ধ কিছু ক্রিয়া সম্পাদন করেন। উদাহরণস্বরূপ, একটি শংসাপত্র কর্তৃপক্ষ একটি অনন্য টোকেন তৈরি করতে পারে এবং ক্লায়েন্টকে এটি সাইটে স্থাপন করতে বলতে পারে। এরপর, CA এই টোকেন থেকে কী পুনরুদ্ধার করতে একটি ওয়েব বা DNS ক্যোয়ারী ইস্যু করে।

উদাহরণস্বরূপ, HTTP এর ক্ষেত্রে, টোকেন থেকে কী এমন একটি ফাইলে স্থাপন করা আবশ্যক যা ওয়েব সার্ভার দ্বারা পরিবেশিত হবে। DNS যাচাইকরণের সময়, সার্টিফিকেশন কর্তৃপক্ষ DNS রেকর্ডের পাঠ্য নথিতে একটি অনন্য কী খুঁজবে। সবকিছু ঠিক থাকলে, সার্ভার নিশ্চিত করে যে ক্লায়েন্ট যাচাই করা হয়েছে এবং CA একটি শংসাপত্র জারি করে।

/ফ্লিকার/ ব্লন্ডিনরিকার্ড ফ্রোবার্গ / সিসি বাই

মতামত

উপর অনুসারে IETF, ACME প্রশাসকদের জন্য উপযোগী হবে যাদের একাধিক ডোমেইন নামের সাথে কাজ করতে হবে। স্ট্যান্ডার্ড তাদের প্রত্যেককে প্রয়োজনীয় SSL-এর সাথে লিঙ্ক করতে সাহায্য করবে।

স্ট্যান্ডার্ডের সুবিধার মধ্যে, বিশেষজ্ঞরা বেশ কয়েকটি নোট করেন নিরাপত্তা ব্যবস্থা. তাদের অবশ্যই নিশ্চিত করতে হবে যে SSL সার্টিফিকেট শুধুমাত্র প্রকৃত ডোমেইন মালিকদের জন্য জারি করা হয়েছে। বিশেষ করে, ডিএনএস আক্রমণ থেকে রক্ষা করার জন্য এক্সটেনশনের একটি সেট ব্যবহার করা হয় ডিএনেসএসইসি, এবং DoS-এর বিরুদ্ধে সুরক্ষার জন্য, স্ট্যান্ডার্ড পৃথক অনুরোধগুলি কার্যকর করার গতি সীমিত করে - উদাহরণস্বরূপ, পদ্ধতির জন্য HTTP পোস্ট. ACME বিকাশকারীরা নিজেরাই সুপারিশ করা নিরাপত্তা উন্নত করতে, ডিএনএস কোয়েরিতে এনট্রপি যোগ করুন এবং নেটওয়ার্কের একাধিক পয়েন্ট থেকে সেগুলি চালান।

অনুরূপ সমাধান

সার্টিফিকেট পাওয়ার জন্যও প্রোটোকল ব্যবহার করা হয় এসসিইপি и ম্যারাডোনা.

প্রথমটি সিসকো সিস্টেমে তৈরি করা হয়েছিল। এর লক্ষ্য ছিল X.509 ডিজিটাল সার্টিফিকেট ইস্যু করার পদ্ধতিকে সহজ করা এবং এটিকে যতটা সম্ভব মাপযোগ্য করা। SCEP এর আগে, এই প্রক্রিয়াটির জন্য সিস্টেম অ্যাডমিনিস্ট্রেটরদের সক্রিয় অংশগ্রহণের প্রয়োজন ছিল এবং এটি ভালভাবে পরিমাপ করা হয়নি। আজ এই প্রোটোকল সবচেয়ে সাধারণ এক.

EST হিসাবে, এটি PKI ক্লায়েন্টদের নিরাপদ চ্যানেলের মাধ্যমে শংসাপত্র পেতে অনুমতি দেয়। এটি বার্তা স্থানান্তর এবং SSL প্রদানের জন্য TLS ব্যবহার করে, সেইসাথে প্রেরকের সাথে CSR আবদ্ধ করতে। উপরন্তু, EST উপবৃত্তাকার ক্রিপ্টোগ্রাফি পদ্ধতি সমর্থন করে, যা নিরাপত্তার একটি অতিরিক্ত স্তর তৈরি করে।

উপর বিশেষজ্ঞ মতামত, ACME এর মতো সমাধানগুলিকে আরও ব্যাপক হতে হবে৷ তারা একটি সরলীকৃত এবং সুরক্ষিত SSL সেটআপ মডেল অফার করে এবং প্রক্রিয়াটিকে দ্রুততর করে।

আমাদের কর্পোরেট ব্লগ থেকে অতিরিক্ত পোস্ট:

• একটি প্রতিষ্ঠানের আইটি পরিকাঠামোর জন্য বিকল্প
• ফাইল ব্যাক আপ করা: কিভাবে ডেটা ক্ষতি থেকে নিজেকে রক্ষা করবেন
• প্রশাসকদের জন্য প্রশিক্ষণ স্ট্যান্ড: কিভাবে ক্লাউড সাহায্য করতে পারে
• ক্লাউড আর্কিটেকচারের বিবর্তন 1ক্লাউড

উত্স: www.habr.com