উইন্ডোজে বিশ্বস্ত রুট সার্টিফিকেটের তালিকা আপডেট করার পদ্ধতি

সকল উইন্ডোজ সংস্করণে মাইক্রোসফট ওয়েবসাইট থেকে রুট সার্টিফিকেট স্বয়ংক্রিয়ভাবে আপডেট করার 빌্ট-ইন বৈশিষ্ট্য থাকে। মাইক্রোসফট ট্রাস্টেড রুট সার্টিফিকেট প্রোগ্রাম-এর অংশ হিসেবে, মাইক্রোসফট ক্লায়েন্ট ও উইন্ডোজ ডিভাইসের জন্য বিশ্বস্ত সার্টিফিকেটের তালিকা তার অনলাইন সংগ্রহস্থলে রক্ষা ও প্রকাশ করে। যাচাইকৃত সার্টিফিকেটের সার্টিফিকেশন চেইন যদি এই প্রোগ্রামে অংশগ্রহণকারী রুট CA-কে নির্দেশ করে, সিস্টেম স্বয়ংক্রিয়ভাবে উইন্ডোজ আপডেট সার্ভার থেকে সেই রুট সার্টিফিকেট ডাউনলোড করে বিশ্বস্ত তালিকায় যোগ করে।

উইন্ডোজ সপ্তাহে একবার বিশ্বস্ত রুট সার্টিফিকেট তালিকা (CTL) আপডেট করে। যদি উইন্ডোজের উইন্ডোজ আপডেটে সরাসরি অ্যাক্সেস না থাকে, সিস্টেম রুট সার্টিফিকেট আপডেট করতে পারবে না। ফলে ব্যবহারকারী ওয়েবসাইট ব্রাউজিং-এ সমস্যা অনুভব করতে পারে (যেসব ওয়েবসাইটের SSL সার্টিফিকেট আনবিশ্বস্ত CA দ্বারা স্বাক্ষরিত – বিস্তারিত জানুন "Chrome SSL error: This site can't provide a secure connection" लेख থেকে), বা স্বাক্ষরিত স্ক্রিপ্ট ও অ্যাপ ইনস্টল/চালাতে সমস্যা হতে পারে।

এই लेखে আমরা আলোচনা করব কিভাবে ডিসকানেক্টেড (আইসোলেটেড) নেটওয়ার্ক বা কম্পিউটার/সার্ভারে ইন্টারনেট অ্যাক্সেস ছাড়া TrustedRootCA-এ রুট সার্টিফিকেটের তালিকা ম্যানুয়ালি আপডেট করা যায়।

উইন্ডোজ ১০ ও ১১-এ বিশ্বস্ত রুট সার্টিফিকেট পরিচালনা

উইন্ডোজ কম্পিউটারে বিশ্বস্ত রুট সার্টিফিকেটের তালিকা কীভাবে দেখবেন?

1. উইন্ডোজ ১১/১০/৮.১/৭ বা উইন্ডোজ সার্ভার ২০২২/২০১৯/২০১৬-এ mmc.exe কনসোল চালু করুন;
2. File → Add/Remove Snap-in নির্বাচন করুন, স্ন্যাপ-ইন তালিকা থেকে Certificates (certmgr) বেছে নিয়ে Add ক্লিক করুন;
3. স্থানীয় Computer account পরিচালনা করার অপশন বেছে নিন;
4. Next → OK → OK;
5. Certificates নোড প্রসারিত করুন → Trusted Root Certification Authorities Store. এখানে আপনার কম্পিউটারের বিশ্বস্ত রুট সার্টিফিকেটের তালিকা থাকবে।

MMC কনসোলে যেকোনো সার্টিফিকেটের তথ্য দেখা বা বিশ্বস্ত তালিকা থেকে মুছে ফেলা যাবে।

পাওয়ারশেল দিয়ে মিয়াদোত্তীর্ণ বা അടുത്ത ৬০ দিনের মধ্যে মিয়াদোত্তীর্ণ হওয়া সার্টিফিকেটের তালিকা পেতে পারেন:

Get-Childitem cert:\LocalMachine\root |format-list

Get-ChildItem cert:\LocalMachine\root|Where {$_.NotAfter -lt (Get-Date).AddDays(60)}|select NotAfter, Subject

নিরাপত্তার জন্য কম্পিউটারের সার্টিফিকেট ট্রাস্ট স্টোরে সন্দেহজনক ও প্রত্যাহারকৃত সার্টিফিকেটের জন্য পর্যায়ক্রমে Sigcheck টুল দিয়ে চেক করা উচিত। এই টুল কম্পিউটারে ইনস্টল করা সার্টিফিকেটের তালিকা মাইক্রোসফট ওয়েবসাইটের রুট সার্টিফিকেট তালিকার সাথে তুলনা করতে দেয় (অফলাইন ফাইল authrootstl.cab ডাউনলোড করে)।

এক্সপোর্ট/ইম্পোর্ট অপশন ব্যবহার করে রুট সার্টিফিকেট ফাইল উইন্ডোজ কম্পিউটারਾਂ কাছে ম্যানুয়ালি স্থানান্তর করা যায়।

1. যেকোনো সার্টিফিকেটে ক্লিক করে All Tasks → Export বেছে নিয়ে .CER ফাইল হিসেবে এক্সপোর্ট করুন;
2. অন্য কম্পিউটারে All Tasks → Import ব্যবহার করে সার্টিফিকেট ইম্পোর্ট করুন।

উইন্ডোজে স্বয়ংক্রিয় রুট সার্টিফিকেট আপডেট সক্ষম/নিষ্ক্রিয় করা

উইন্ডোজ স্বয়ংক্রিয়ভাবে রুট সার্টিফিকেট আপডেট করে। এটি GPO বা রেজিস্ট্রি দিয়ে সক্ষম বা নিষ্ক্রিয় করা যায়।

লোকাল গ্রুপ পলিসি এডিটর (gpedit.msc) খুলুন এবং যান: Computer Configuration → Administrative Templates → System → Internet Communication Management → Internet Communication।

এখানে Turn off Automatic Root Certificates Update অপশনটি উইন্ডোজ আপডেট সাইটের মাধ্যমে রুট সার্টিফিকেট স্বয়ংক্রিয় আপডেট বন্ধ করে দেয়। ডিফল্টভাবে এই পলিসি কনফিগারড নয় এবং উইন্ডোজ সর্বদা রুট সার্টিফিকেট স্বয়ংক্রিয় রিনিউ করার চেষ্টা করে।

যদি GPO অপশন কনফিগারড না থাকে এবং রুট সার্টিফিকেট স্বয়ংক্রিয় রিনিউ না হয়, তবে রেজিস্ট্রি চেক করুন পাওয়ারশেল দিয়ে:

Get-ItemProperty -Path 'HKLM:\Software\Policies\Microsoft\SystemCertificates\AuthRoot' -Name DisableRootAutoUpdate

যদি DisableRootAutoUpdate রেজিস্ট্রি প্যারামিটারের মান ১ হয়, তবে রুট সার্টিফিকেট আপডেট নিষ্ক্রিয়। এটি ০ করলে সক্ষম হবে।

Certutil: উইন্ডোজ আপডেট থেকে বিশ্বস্ত রুট সার্টিফিকেট ডাউনলোড

Certutil.exe CLI টুল সার্টিফিকেট পরিচালনার জন্য ব্যবহার করা হয় (উইন্ডোজ ১০-এ בנিল্ট-ইন, উইন্ডোজ ৭-এ আলাদা আপডেট হিসেবে উপলব্ধ)। এটি উইন্ডোজ আপডেট থেকে আপ-টু-ডেট রুট সার্টিফিকেটের তালিকা ডাউনলোড করে SST ফাইলে সংরক্ষণ করতে পারে।

ইন্টারনেট সংযুক্ত উইন্ডোজ ১০ বা ১১ কম্পিউটারে উন্নত কমান্ড প্রম্পট খুলে চালান:

certutil.exe -generateSSTFromWU C:\PS\roots.sst

Updated SST file. CertUtil: -generateSSTFromWU command completed successfully.

ফলাফলস্বরূপ টার্গেট ডিরেক্টরিতে আপ-টু-ডেট রুট সার্টিফিকেটের তালিকা ধারণকারী SST ফাইল তৈরি হবে। ডাবল-ক্লিক করলে খুলবে। এটি একটি কন্টেইনার যাতে বিশ্বস্ত রুট সার্টিফিকেট থাকে।

এখানে পরিচিত সার্টিফিকেট ম্যানেজমেন্ট স্ন্যাপ-ইন খুলবে, যেখান থেকে যেকোনো সার্টিফিকেট এক্সপোর্ট করা যাবে। আমার কেসে সার্টিফিকেট তালিকায় ৩৫৮ আইটেম ছিল। একে একে এক্সপোর্ট ও ইনস্টল করা বুদ্ধিমানের কাজ নয়।

টিপ. certutil -syncWithWU কমান্ড দিয়ে প্রতিটি সার্টিফিকেটের আলাদা ফাইল তৈরি করা যায়। এই সার্টিফিকেটগুলো GPO ব্যবহার করে উইন্ডোজ ডিভাইসের쪽으로 ডিপ্লয় করা যায়।

SST ফাইল থেকে সব সার্টিফিকেট ইনস্টল করে লোকাল মেশিনের Trusted Root তালিকায় যোগ করার পাওয়ারশেল স্ক্রিপ্ট:

$sstStore = ( Get-ChildItem -Path C:\ps\rootsupd\roots.sst )
$sstStore | Import-Certificate -CertStoreLocation Cert:\LocalMachine\Root

certmgr.msc স্ন্যাপ-ইন চালু করে নিশ্চিত করুন সব সার্টিফিকেট Trusted Root Certification Authority-এ যোগ হয়েছে। উইন্ডোজ ১১-এ আমার উদাহরণে রুট সার্টিফিকেটের সংখ্যা ৩৪ থেকে ৪৩৮ বাড়েছে।

ক্লিন উইন্ডোজ ইনস্টলেশনে রুট স্টোরে কম সংখ্যক সার্টিফিকেট থাকে। ইন্টারনেট সংযুক্ত থাকলে, আপনার ডিভাইস HTTPS সাইট বা SSL সার্টিফিকেট অ্যাক্সেস করলে (যাদের ট্রাস্ট চেইনে মাইক্রোসফট CTL-এর ফিংগারপ্রিন্ট থাকে) বাকি রুট সার্টিফিকেট স্বয়ংক্রিয়ভাবে (অনুরোধ অনুযায়ী) ইনস্টল হয়। তাই নিয়মतः মাইক্রোসফট যেসব CA-কে বিশ্বাস করে সেগুলো অবিলম্বে লোকাল সার্টিফিকেট স্টোরে যোগ করার প্রয়োজন নেই।

উইন্ডোজে সার্টিফিকেট ট্রাস্ট লিস্ট (STL/CTL)

সার্টিফিকেট ট্রাস্ট লিস্ট (CTL) হলো ডেটার একটি তালিকা (যেমন সার্টিফিকেট হ্যাশ) যা একটি বিশ্বস্ত পক্ষ দ্বারা স্বাক্ষরিত (এখানে মাইক্রোসফট)। উইন্ডোজ ক্লায়েন্ট دورهে উইন্ডোজ আপডেট থেকে এই CTL ডাউনলোড করে, যাতে সব বিশ্বস্ত রুট CA-এর হ্যাশ সংরক্ষিত থাকে। বুঝতে হবে এই CTL-এ সার্টিফিকেটগুলো থাকে না, শুধু তাদের হ্যাশ ও অ্যাট্রিবিউট (যেমন Friendly Name) থাকে। উইন্ডোজ ডিভাইস চাহিদা অনুযায়ী CTL থেকে বিশ্বস্ত সার্টিফিকেট ডাউনলোড করতে পারে।

CTL ফাইল ম্যানুয়ালি ডাউনলোড ও ইনস্টল করতে পারেন। https://ctldl.windowsupdate.com/msdownload/update/v3/static/trustedr/en/authrootstl.cab (দ্বিমাসিক আপডেট) ডাউনলোড করুন। যেকোনো আর্কাইভার (হรือ উইন্ডোজ এক্সপ্লোরার) দিয়ে authrootstl.cab আনপ্যাক করুন। এতে একক authroot.stl ফাইল থাকবে।

Authroot.stl ফাইল হলো সার্টিফিকেট ট্রাস্ট লিস্ট ফরম্যাটে বিশ্বস্ত সার্টিফিকেট থাম্বপ্রিন্টের কন্টেইনার।

এই CTL ফাইল Trusted Root Certification Authority-তে certutil কমান্ড দিয়ে ইনস্টল করুন:

certutil -enterprise -f -v -AddStore "Root" "C:\PS\authroot.stl"

root "Trusted Root Certification Authorities" CTL 0 added to store. CertUtil: -addstore command completed successfully.

সার্টিফিকেট ম্যানেজমেন্ট কনসোল (Trust Root Certification Authorities → Certificates → All Tasks → Import) দিয়েও ইম্পোর্ট করা যায়। STL ফাইলের পথ নির্দিষ্ট করুন।

কমান্ড চালানোর পর Certificate Manager কনসোল (certmgr.msc) এর Trusted Root Certification Authorities কন্টেইনারে নতুন Certificate Trust List সেকশন দেখাবে।

এইভাবে রুট সার্টিফিকেট প্রোগ্রাম থেকে অপসারিত প্রত্যাহারকৃত (disallowed) সার্টিফিকেটের তালিকাও ইনস্টল করা যায়। disallowedcertstl.cab ফাইল ডাউনলোড করুন (https://ctldl.windowsupdate.com/msdownload/update/v3/static/trustedr/en/disallowedcertstl.cab), এক্সট্র্যাক্ট করুন এবং Untrusted Certificates স্টোরে যোগ করুন:

certutil -enterprise -f -v -AddStore disallowed "C:\PS\disallowedcert.stl"

আইসোলেটেড এনভায়রনমেন্টে GPO দিয়ে বিশ্বস্ত রুট সার্টিফিকেট আপডেট

ইন্টারনেট থেকে পৃথক এক্টিভ ডিরেক্টরি ডোমেইনে রুট সার্টিফিকেট নিয়মিত আপডেট করার দায়িত্ব থাকলে, গ্রুপ পলিসি ব্যবহার করে ডোমেইন-জয়েনড কম্পিউটারগুলোর লোকাল সার্টিফিকেট স্টোর আপডেট করার কিছুটা জটিল স্কিম থাকে। ডিসকানেক্টেড উইন্ডোজ নেটওয়ার্কে রুট সার্টিফিকেট আপডেট করার একাধিক উপায় রয়েছে।

প্রথম উপায়: নিয়মিত ম্যানুয়ালি রুট সার্টিফিকেট ফাইল ডাউনলোড করে আইসোলেটেড নেটওয়ার্কে কপি করুন। বর্তমান মাইক্রোসফট রুট সার্টিফিকেট ফাইল ডাউনলোড:

certutil.exe –generateSSTFromWU roots.sst

এই ফাইল থেকে রুট সার্টিফিকেট SCCM বা পাওয়ারশেল Startup স্ক্রিপ্ট (GPO-এ) দিয়ে ডিপ্লয় করুন:

$sstStore = (Get-ChildItem -Path \\fr-dc01\SYSVOL\woshub.com\rootcert\roots.sst )
$sstStore | Import-Certificate -CertStoreLocation Cert:\LocalMachine\Root

দ্বিতীয় উপায়: একটু ভিন্নভাবে মাইক্রোসফট রুট সার্টিফিকেট ডাউনলোড করুন:

Certutil -syncWithWU -f \\fr-dc01\SYSVOL\woshub.com\rootcert\

নির্দিষ্ট শেয়ার্ড নেটওয়ার্ক ফোল্ডারে রুট সার্টিফিকেট ফাইলগুলো (CRT ফরম্যাট) তৈরি হবে (authrootstl.cab, disallowedcertstl.cab, disallowedcert.sst, thumbprint.crt সহ)।

তারপর Group Policy Preferences ব্যবহার করে রেজিস্ট্রি প্যারামিটার RootDirURL ( HKLM\Software\Microsoft\SystemCertificates\AuthRoot\AutoUpdate )-এর মান পরিবর্তন করুন। এই প্যারামিটারটি সেই শেয়ার্ড নেটওয়ার্ক ফোল্ডারকে পয়েন্ট করবে যেখান থেকে উইন্ডোজ কম্পিউটারগুলো নতুন রুট সার্টিফিকেট পাবে। ডোমেইন GPMC.msc কনসোল চালু করে নতুন GPO তৈরি করুন, এডিট মোডে যান এবং Computer Configuration → Preferences → Windows Settings → Registry প্রসারিত করুন। নতুন রেজিস্ট্রি প্রপার্টি তৈরি করুন নিচের সেটিংসহ:

• Action: Update
• Hive: HKLM
• Key path: Software\Microsoft\SystemCertificates\AuthRoot\AutoUpdate
• Value name: RootDirURL
• Type: REG_SZ
• Value data: file://\\fr-dc01\SYSVOL\woshub.com\rootcert\

এই পলিসি কম্পিউটার OU-তে লিংক করুন এবং ক্লায়েন্টে GPO আপডেট হওয়ার পর সার্ট স্টোরে নতুন রুট সার্টিফিকেট চেক করুন।

GPO প্যারামিটার Turn off Automatic Root Certificates Update (Computer Configuration → Administrative Templates → System → Internet Communication Management → Internet Communication) নিষ্ক্রিয় বা কনফিগারড নেই থাকতে হবে।

উইন্ডোজ ৭-এ বিশ্বস্ত রুট সার্টিফিকেট আপডেট করা

এন্ড অফ সাপোর্ট পহুঁচলেও উইন্ডোজ ৭ এখনও অনেক ব্যবহারকারী ও কোম্পানি ব্যবহার করছে।

ক্লিন উইন্ডোজ ৭ ইমেজ ইনস্টলেশনের পর অনেক আধুনিক প্রোগ্রাম ও টুল কাজ নাও করতে পারে কারণ সেগুলো নতুন সার্টিফিকেট দিয়ে স্বাক্ষরিত। বিশেষ করে .Net Framework 4.8 বা Microsoft Visual Studio (vs_Community.exe) উইন্ডোজ ৭ SP1 x64-এ রুট সার্টিফিকেট আপডেট ছাড়া ইনস্টল হয় না।

The installer manifest failed signature validation.

অথবা

NET Framework has not been installed because a certificate chain could not be built to a trusted root authority.

উইন্ডোজ ৭-এ রুট সার্টিফিকেট আপডেট করতে প্রথমে MSU আপডেট KB2813430 ডাউনলোড ও ইনস্টল করতে হবে (https://support.microsoft.com/en-us/topic/an-update-is-available-that-enables-administrators-to-update-trusted-and-disallowed-ctls-in-disconnected-environments-in-windows-0c51c702-fdcc-f6be-7089-4585fad729d6)

তারপর certutil দিয়ে SST ফাইল তৈরি করুন (বর্তমান বা অন্য কম্পিউটারে):

certutil.exe -generateSSTFromWU c:\ps\roots.sst

এখন সার্টিফিকেটগুলো বিশ্বস্ত তালিকায় ইম্পোর্ট করুন:

MMC চালু করুন → স্ন্যাপ-ইন যোগ করুন → Certificates → Computer account → Local computer। Trusted root certification authority-এ রাইট-ক্লিক → All Tasks → Import, আপনার SST ফাইল বেছে নিন (ফাইল টাইপে Microsoft Serialized Certificate Store — *.sst নির্বাচন) → Open → Place all certificates in the following store → Trusted Root Certification Authorities।

উইন্ডোজ XP-এ Rootsupd.exe টুল দিয়ে রুট সার্টিফিকেট আপডেট

উইন্ডোজ XP-এ কম্পিউটারের রুট সার্টিফিকেট আপডেট করার জন্য rootsupd.exe ইউটিলিটি ব্যবহার হতো। রুট ও প্রত্যাহারকৃত সার্টিফিকেটের তালিকা এতে নিয়মিত আপডেট হতো। টুলটি আলাদা আপডেট KB931125 (Update for Root Certificates) হিসেবে বিতরণ হতো। দেখি এখন কি ব্যবহার করা যায়।

1. rootsupd.exe ইউটিলিটি ডাউনলোড করুন: https://download.windowsupdate.com/msdownload/update/v3/static/trustedr/en/rootsupd.exe। বর্তমানে (জানুয়ারি ২০২১) লিংক কাজ করে না, মাইক্রোসফট পাবলিক থেকে সরিয়েছে। আজ কাস্পারস্কি ওয়েবসাইট থেকে ডাউনলোড করা যায় — https://media.kaspersky.com/utilities/CorporateUtilities/rootsupd.zip;
2. উইন্ডোজ রুট সার্টিফিকেট ইনস্টল করতে শুধু rootsupd.exe ফাইলটি চালান। কিন্তু আমরা এর কন্টেন্ট ভালোভাবে যাচাই করব। এক্সিকিউটেবল ফাইল থেকে সার্টিফিকেট এক্সট্র্যাক্ট করুন: rootsupd.exe /c /t: C:\PS\rootsupd
3. সার্টিফিকেটগুলো SST ফাইলে থাকে (authroots.sst, delroot.sst ইত্যাদি)। সার্টিফিকেট সরানোর বা ইনস্টল করার কমান্ড:
   updroots.exe authroots.sst
updroots.exe -d delroots.sst

তবে, এই সার্টিফিকেট ফাইলগুলো ৪ এপ্রিল ২০১৩-এ তৈরি (উইন্ডোজ XP-এর অফিসিয়াল সাপোর্ট শেষ হয়ার প্রায় এক বছর আগে)। তাই এখনো এটি আপ-টু-ডেট সার্টিফিকেট ইনস্টল করতে পারে না।

তবে উইন্ডোজ ১০/১১-এ cerutil দিয়ে root.sst ডাউনলোড করে উইন্ডোজ XP-এ কপি করে updroots.exe দিয়ে ইনস্টল করা যায়:

updroots.exe c:\temp\roots.sst

তবে জানकारी আছে updroots.exe টুল আধুনিক উইন্ডোজ ১০ ১৮০৩+ এবং উইন্ডোজ ১১-এ ব্যবহার করা উচিত নয়, কারণ এটি ডিভাইসে মাইক্রোসফট রুট CA ভাঙতে পারে।

এই লেখায় ইন্টারনেট থেকে আলাদা (ডিসকানেক্টেড এনভায়রনমেন্ট) উইন্ডোজ নেটওয়ার্ক কম্পিউটারগুলোর বিশ্বস্ত রুট সার্টিফিকেট আপডেট করার বিভিন্ন পদ্ধতি আলোচনা করা হয়েছে।