সার্টিফিকেট অথরিটি (Certificate Authority - CA): কে হতে পারে, কীভাবে পেতে হয়, এবং কেন দরকার
সার্টিফিকেট অথরিটি (CA) কী?
সার্টিফিকেট অথরিটি (CA) হলো একটি বিশ্বস্ত থার্ড-পার্টি এন্টিটি যা ডিজিটাল সার্টিফিকেট ইস্যু করে। এটি এন্টিটি (ওয়েবসাইট, ইমেইল, কোম্পানি, ব্যক্তি, ডিভাইস, সার্ভার) এর শনাক্ত যাচাই করে এবং তাদের পাবলিক কীকে একটি ডিজিটাল সার্টিফিকেটে বাইন্ড করে। এই সার্টিফিকেটটি পাবলিক কী ইনফ্রাস্ট্রাকচার (PKI)-র ভিত্তি যা TLS/SSL, S/MIME, কোড সাইনিং, ডকুমেন্ট সাইনিংয়ের জন্য ব্যবহার হয়।
কে CA হতে পারে? (Who can be a CA?)
- পাবলিক CA (Public CA): ব্রাউজার ও অপারেটিং সিস্টেমের রুট স্টোরে অন্তর্ভুক্ত (DigiCert, Sectigo/Comodo, GlobalSign, GoDaddy, Let's Encrypt, Google Trust Services, ZeroSSL, Buypass)। কেউ এই কোম্পানিগুলোর কাজ করতে পারে কিন্তু ব্রাউজার ট্রাস্ট পাওয়া অত্যন্ত কঠিন ও ব্যয়বহুল প্রক্রিয়া (WebTrust/ETSI অডিট, রুট প্রোগ্রাম আপ্লিকেশন, বছরের attendait)।
- প্রাইভেট CA (Private CA / Enterprise CA): কোনো সংস্থা নিজের ইন্টারনাল ব্যবহারের জন্য নিজের CA চালাতে পারে (Microsoft AD CS, HashiCorp Vault, Smallstep, OpenSSL, EJBCA, CFSSL)। এটি পাবলিক ব্রাউজার ট্রাস্টেড নয়, কিন্তু সংস্থার অভ্যন্তরীণ সিস্টেম, ডিভাইস, কর্মচারীদের জন্য সার্টিফিকেট ইস্যু করতে পারে।
- রুট CA vs ইন্টারমিডিয়েট CA: রুট CA অফলাইন থাকে, ইন্টারমিডিয়েট CA দিয়ে সার্টিফিকেট ইস্যু করে (সিকিউরিটি বেস্ট প্র্যাকটিস)।
CA হতে পারার শর্তাবলী (Public CA-এর জন্য)
- WebTrust / ETSI EN 319 411 অডিট পাস করতে হবে।
- CA/Browser Forum Baseline Requirements মেনে চলতে হবে।
- রুট কী HSM (Hardware Security Module) -এ সুরক্ষিত রাখতে হবে (FIPS 140-2 Level 3+)。
- Certificate Policy (CP) & Certification Practice Statement (CPS) পাবলিশ করতে হবে।
- CT Log (Certificate Transparency) এ সাবমিট করতে হবে।
- ইনসিডেন্ট রেসপন্স, রিভোকেশন প্রসিডিউর (CRL/OCSP) থাকতে হবে।
- ব্রাউজার রুট প্রোগ্রামে (Mozilla, Microsoft, Apple, Google, Oracle) অ্যাপ্লাই করতে হবে - বছরের انتظار ও কঠিন পরীক্ষা।
সার্টিফিকেট অথরিটি (CA) কেন দরকার?
- আইডেন্টিটি ভেরিফিকেশন: ওয়েবসাইট/সার্ভার আসলে সে কি বলে তা নিশ্চিত করে (Domain Validation - DV, Organization Validation - OV, Extended Validation - EV)।
- ট্রাস্ট চেইন স্থাপন: ব্রাউজার/ক্লায়েন্ট রুট CA-কে ট্রাস্ট করে থাকায়, CA সাইন করা সার্টিফিকেটে অটোমেটিক ট্রাস্ট করে।
- এনক্রিপশন সক্ষম: TLS/SSL হ্যান্ডশেকের মাধ্যমে ডেটা-ইন-ট্রানজিট এনক্রিপ্ট করে (HTTPS)।
- নন-রিপুডিয়েশন: ডিজিটাল সিগনেচার (কোড সাইনিং, ডকুমেন্ট সাইনিং, S/MIME) দিয়ে প্রেরক অস্বীকৃতি করতে পারেনা।
- কম্প্লায়েন্স: PCI-DSS, HIPAA, GDPR, eIDAS এ CA-ইস্যুড সার্টিফিকেট বাধ্যতামূলক।
CA থেকে সার্টিফিকেট কীভাবে পাবেন? (প্রক্রিয়া)
- CSR (Certificate Signing Request) জেনারেট করুন: আপনার সার্ভারে (OpenSSL, IIS, Keytool, Certbot) প্রাইভেট কী + CSR তৈরি করুন। CSR-এ পাবলিক কী + সাবজেক্ট ইনফো (CN, O, OU, C) থাকে।
- CA-এ সাবমিট করুন: CA-এর ওয়েব পোর্টেল / API / ACME ক্লায়েন্ট (Certbot) দিয়ে CSR সাবমিট করুন।
- ভ্যালিডেশন পাস করুন:
- DV (Domain Validation): DNS রেকর্ড (TXT/CNAME), HTTP ফাইল, ইমেইল ভেরিফিকেশন (৫-১০ মিনিট)।
- OV (Organization Validation): কোম্পানির রেজিস্ট্রেশন ডকুমেন্ট, ফোন ভেরিফিকেশন (১-৩ দিন)।
- EV (Extended Validation): কঠোর আইডেন্টিটি চেক, লিগ্যাল অপিনিয়ন (১-৫ দিন)।
- সার্টিফিকেট ইস্যু: CA সার্টিফিকেট (PEM/DER/CRT/P7B) ইস্যু করে।
- ইনস্টল করুন: সার্ভারে (Nginx, Apache, IIS, Tomcat, Load Balancer) সার্টিফিকেট + প্রাইভেট কী + চেইন (Intermediate + Root) ইনস্টল করুন।
পাবলিক CA vs প্রাইভেট CA - কব استعمال করবেন?
| পরিস্থিতি | সুপারিশ |
|---|---|
| পাবলিক ওয়েবসাইট (HTTPS), পাবলিক API, ইমেইল (S/MIME), কোড সাইনিং (পাবলিক ডিস্ট্রিবিউশন) | Public CA (Let's Encrypt - ফ্রি DV, DigiCert/Sectigo - OV/EV) |
| ইন্টারনাল মাইক্রোসার্ভিস (mTLS), VPN সার্টিফিকেট, Wi-Fi RADIUS (EAP-TLS), ডিভাইস সার্টিফিকেট, ইন্টারনাল ডকুমেন্ট সাইনিং | Private CA (Microsoft AD CS, HashiCorp Vault, Smallstep, EJBCA) |
| Dev/Test এনভায়রনমেন্ট | Self-signed বা Private CA (mkcert, minica, step-ca) |
