উইন্ডোজে বিশ্বস্ত রুট সার্টিফিকেটের তালিকা আপডেট করা হচ্ছে

মাইক্রোসফ্ট ওয়েবসাইটগুলি থেকে স্বয়ংক্রিয়ভাবে রুট সার্টিফিকেট আপডেট করার জন্য সমস্ত উইন্ডোজ সংস্করণে একটি অন্তর্নির্মিত বৈশিষ্ট্য রয়েছে। MSFT, Microsoft Trusted Root Certificate Program এর অংশ হিসাবে , এর অনলাইন সংগ্রহস্থলে ক্লায়েন্ট এবং Windows ডিভাইসগুলির জন্য বিশ্বস্ত সার্টিফিকেটের একটি তালিকা বজায় রাখে এবং প্রকাশ করে। যদি এর সার্টিফিকেশন চেইনে যাচাইকৃত শংসাপত্রটি এই প্রোগ্রামে অংশগ্রহণকারী রুট CA-কে নির্দেশ করে, তাহলে সিস্টেম স্বয়ংক্রিয়ভাবে Windows আপডেট সার্ভার থেকে এই রুট সার্টিফিকেট ডাউনলোড করবে এবং বিশ্বস্তদের সাথে যুক্ত করবে।

এই নিবন্ধে, আমরা সরাসরি ইন্টারনেট অ্যাক্সেস ছাড়াই সংযোগ বিচ্ছিন্ন (বিচ্ছিন্ন) নেটওয়ার্ক বা কম্পিউটার/সার্ভারগুলিতে TrustedRootCA-তে রুট সার্টিফিকেটের তালিকা ম্যানুয়ালি আপডেট করার চেষ্টা করব৷

বিষয়বস্তু:

• Windows 10 এবং 11-এ বিশ্বস্ত রুট সার্টিফিকেট পরিচালনা করা
• কিভাবে উইন্ডোজে স্বয়ংক্রিয় রুট সার্টিফিকেট আপডেট নিষ্ক্রিয়/সক্ষম করবেন?
• সার্টিউটিল:উইন্ডোজ আপডেট থেকে বিশ্বস্ত রুট সার্টিফিকেট ডাউনলোড করুন
• উইন্ডোজে সার্টিফিকেট ট্রাস্ট লিস্ট (STL)
• বিচ্ছিন্ন পরিবেশে GPO এর মাধ্যমে বিশ্বস্ত রুট সার্টিফিকেট আপডেট করা হচ্ছে
• Windows 7 এ বিশ্বস্ত রুট সার্টিফিকেট কিভাবে আপডেট করবেন?
• Windows XP-এ Rootsupd.exe টুল ব্যবহার করে রুট সার্টিফিকেট আপডেট করা

Windows 10 এবং 11-এ বিশ্বস্ত রুট সার্টিফিকেট পরিচালনা করা

কিভাবে একটি Windows কম্পিউটারে বিশ্বস্ত রুট সার্টিফিকেটের তালিকা দেখতে হয়?

1. Windows 11/10/8.1/7 বা Windows Server 2022/2019/2016 চলমান কম্পিউটারের রুট সার্টিফিকেট স্টোর খুলতে, mmc.exe চালান কনসোল;
2. ফাইল নির্বাচন করুন -> স্ন্যাপ-ইন যোগ/সরান , শংসাপত্র নির্বাচন করুন (certmgr) স্ন্যাপ-ইনগুলির তালিকায় -> যোগ করুন;
3. নির্বাচন করুন যে আপনি স্থানীয় কম্পিউটার অ্যাকাউন্টের শংসাপত্রগুলি পরিচালনা করতে চান৷;
4. পরবর্তী -> ঠিক আছে -> ঠিক আছে;
5. শংসাপত্র প্রসারিত করুন নোড -> বিশ্বস্ত মূল প্রত্যয়নপত্র কর্তৃপক্ষ স্টোর। এই বিভাগে আপনার কম্পিউটারে বিশ্বস্ত রুট সার্টিফিকেটের তালিকা রয়েছে।

mmc কনসোলে, আপনি যেকোনো শংসাপত্র সম্পর্কে তথ্য দেখতে পারেন বা বিশ্বস্তদের থেকে এটি সরাতে পারেন।

এছাড়াও আপনি PowerShell ব্যবহার করে বিশ্বস্ত রুট সার্টিফিকেটের মেয়াদ শেষ হওয়ার তারিখ সহ একটি তালিকা পেতে পারেন:

Get-Childitem cert:\LocalMachine\root |format-list

আপনি মেয়াদোত্তীর্ণ শংসাপত্রের তালিকা করতে পারেন, বা যা পরবর্তী 60 দিনের মধ্যে মেয়াদ শেষ হবে:

Get-ChildItem cert:\LocalMachine\root|Where {$_.NotAfter -lt  (Get-Date).AddDays(60)}|select NotAfter, Subject

আপনি এক্সপোর্ট/ইমপোর্ট বিকল্পগুলি ব্যবহার করে উইন্ডোজ কম্পিউটারের মধ্যে রুট সার্টিফিকেট ফাইল ম্যানুয়ালি স্থানান্তর করতে পারেন।

1. আপনি একটি .CER ফাইলে যেকোন সার্টিফিকেট রপ্তানি করতে পারেন সেটিতে ক্লিক করে এবং All Tasks -> Export নির্বাচন করে;
2. আপনি All Tasks -> Import বিকল্পটি ব্যবহার করে অন্য কম্পিউটারে এই শংসাপত্রটি আমদানি করতে পারেন৷

Windows-এ কিভাবে স্বয়ংক্রিয় রুট সার্টিফিকেট আপডেট নিষ্ক্রিয়/সক্ষম করবেন?

আমরা যেমন উল্লেখ করেছি, উইন্ডোজ স্বয়ংক্রিয়ভাবে রুট সার্টিফিকেট আপডেট করে। আপনি একটি GPO বা রেজিস্ট্রির মাধ্যমে Windows-এ শংসাপত্র পুনর্নবীকরণ সক্ষম বা নিষ্ক্রিয় করতে পারেন৷

স্থানীয় গ্রুপ নীতি সম্পাদক (gpedit.msc) খুলুন এবং কম্পিউটার কনফিগারেশন -> প্রশাসনিক টেমপ্লেট -> সিস্টেম -> ইন্টারনেট কমিউনিকেশন ম্যানেজমেন্ট -> ইন্টারনেট কমিউনিকেশন এ যান।

স্বয়ংক্রিয় রুট সার্টিফিকেট আপডেট বন্ধ করুন এই বিভাগে বিকল্পটি আপনাকে উইন্ডোজ আপডেট সাইটের মাধ্যমে রুট সার্টিফিকেটের স্বয়ংক্রিয় আপডেট অক্ষম করতে দেয়। ডিফল্টরূপে, এই নীতি কনফিগার করা হয় না এবং Windows সর্বদা স্বয়ংক্রিয়ভাবে রুট শংসাপত্র পুনর্নবীকরণ করার চেষ্টা করে৷

যদি এই GPO বিকল্পটি কনফিগার করা না থাকে এবং রুট শংসাপত্রগুলি স্বয়ংক্রিয়ভাবে পুনর্নবীকরণ না হয়, তাহলে এই সেটিংটি রেজিস্ট্রিতে ম্যানুয়ালি সক্ষম করা আছে কিনা তা পরীক্ষা করুন৷ PowerShell ব্যবহার করে রেজিস্ট্রি প্যারামিটারের মান পরীক্ষা করুন:

Get-ItemProperty -Path 'HKLM:\Software\Policies\Microsoft\SystemCertificates\AuthRoot' -Name DisableRootAutoUpdate

যদি কমান্ডটি ফেরত দেয় যে DisableRootAutoUpdate এর মান রেজিস্ট্রি প্যারামিটার হল 1 , তারপর আপনার কম্পিউটারে রুট সার্টিফিকেট আপডেট করা অক্ষম করা হয়েছে। এটি সক্ষম করতে, প্যারামিটার মান 0 এ পরিবর্তন করুন।

Certutil:Windows Update থেকে বিশ্বস্ত রুট সার্টিফিকেট ডাউনলোড করুন

Certutil.exe সার্টিফিকেট পরিচালনা করতে CLI টুল ব্যবহার করা যেতে পারে (Windows 10-এ প্রবর্তিত, Windows 7-এর জন্য আলাদা আপডেট হিসেবে উপলব্ধ)। এটি উইন্ডোজ আপডেট থেকে রুট সার্টিফিকেটের একটি আপ-টু-ডেট তালিকা ডাউনলোড করতে এবং এটি একটি SST ফাইলে সংরক্ষণ করতে ব্যবহার করা যেতে পারে।

Windows 10 বা 11 চলমান কম্পিউটারে একটি SST ফাইল তৈরি করতে এবং ইন্টারনেটে সরাসরি অ্যাক্সেস থাকতে, এলিভেটেড কমান্ড প্রম্পটটি খুলুন এবং কমান্ডটি চালান:

certutil.exe -generateSSTFromWU C:\PS\roots.sst

Updated SST file.
CertUtil: -generateSSTFromWU command completed successfully.

ফলস্বরূপ, রুট সার্টিফিকেটের একটি আপ-টু-ডেট তালিকা সহ একটি SST ফাইল লক্ষ্য ডিরেক্টরিতে উপস্থিত হবে। এটি খুলতে ডাবল-ক্লিক করুন। এই ফাইলটি বিশ্বস্ত রুট সার্টিফিকেট ধারণকারী একটি ধারক।

আপনি দেখতে পাচ্ছেন, একটি পরিচিত সার্টিফিকেট ম্যানেজমেন্ট স্ন্যাপ-ইন খোলে, যেখান থেকে আপনি যে কোনো সার্টিফিকেট রপ্তানি করতে পারেন। আমার ক্ষেত্রে, সার্টিফিকেটের তালিকায় 358 টি আইটেম আছে। স্পষ্টতই, সার্টিফিকেট রপ্তানি করা এবং একে একে ইনস্টল করা যুক্তিসঙ্গত নয়৷

আপনি এসএসটি ফাইল থেকে সমস্ত শংসাপত্র ইনস্টল করতে এবং কম্পিউটারে বিশ্বস্ত রুট শংসাপত্রের তালিকায় যোগ করতে PowerShell স্ক্রিপ্ট ব্যবহার করতে পারেন:

$sstStore = ( Get-ChildItem -Path C:\ps\rootsupd\roots.sst )
$sstStore | Import-Certificate -CertStoreLocation Cert:\LocalMachine\Root

certmgr.msc চালান স্ন্যাপ-ইন করুন এবং নিশ্চিত করুন যে সমস্ত শংসাপত্র বিশ্বস্ত রুট সার্টিফিকেশন অথরিটি এ যোগ করা হয়েছে . উইন্ডোজ 11-এ আমার উদাহরণে, রুট সার্টিফিকেটের সংখ্যা 34 থেকে বেড়ে 438 হয়েছে।

উইন্ডোজে সার্টিফিকেট ট্রাস্ট লিস্ট (STL)

একটি শংসাপত্র ট্রাস্ট তালিকা (CTL ) কেবলমাত্র ডেটার একটি তালিকা (যেমন শংসাপত্র হ্যাশ) যা একটি বিশ্বস্ত পক্ষ দ্বারা স্বাক্ষরিত (এই ক্ষেত্রে Microsoft দ্বারা)। Windows ক্লায়েন্ট পর্যায়ক্রমে Windows Update this CTL থেকে ডাউনলোড করে, যা সমস্ত বিশ্বস্ত রুট CA-এর হ্যাশ সংরক্ষণ করে। এটি বোঝা উচিত যে এই CTL-এ শংসাপত্রগুলি নেই, শুধুমাত্র তাদের হ্যাশ এবং বৈশিষ্ট্যগুলি (উদাহরণস্বরূপ, বন্ধুত্বপূর্ণ নাম)। Windows ডিভাইস চাহিদা অনুযায়ী সার্টিফিকেট ট্রাস্ট তালিকা থেকে একটি বিশ্বস্ত শংসাপত্র ডাউনলোড করতে পারে।

আপনি নিজে CTL ফাইলটি ডাউনলোড এবং ইনস্টল করতে পারেন। এটি করতে, ফাইলটি ডাউনলোড করুন https://ctldl.windowsupdate.com/msdownload/update/v3/static/trustedr/en/authrootstl.cab (মাসে দুবার আপডেট করা হয়)। যেকোনো আর্কাইভার (বা এমনকি Windows Explorer) ব্যবহার করে, authrootstl.cab-এর বিষয়বস্তুগুলি আনপ্যাক করুন সংরক্ষণাগার এটিতে একটি একক authroot.stl রয়েছে৷ ফাইল।

Authroot.stl ফাইলটি সার্টিফিকেট ট্রাস্ট তালিকা বিন্যাসে বিশ্বস্ত শংসাপত্র থাম্বপ্রিন্টের একটি তালিকা সহ একটি ধারক৷

আপনি certutil কমান্ড ব্যবহার করে এই CTL ফাইলটিকে একটি বিশ্বস্ত রুট সার্টিফিকেট কর্তৃপক্ষের কাছে ইনস্টল করতে পারেন:

certutil -enterprise -f -v -AddStore "Root" "C:\PS\authroot.stl"

root "Trusted Root Certification Authorities"
CTL 0 added to store.
CertUtil: -addstore command completed successfully.

এছাড়াও আপনি সার্টিফিকেট ম্যানেজমেন্ট কনসোল (Trust Root ব্যবহার করে শংসাপত্র আমদানি করতে পারেন শংসাপত্র কর্তৃপক্ষ -> শংসাপত্র -> সমস্ত কাজ -> আমদানি করুন৷ ) শংসাপত্র থাম্বপ্রিন্ট সহ আপনার STL ফাইলের পথ নির্দিষ্ট করুন৷

আপনি কমান্ড চালানোর পরে, বিশ্বস্ত রুট শংসাপত্র কর্তৃপক্ষ-এ একটি নতুন বিভাগ সার্টিফিকেট ট্রাস্ট তালিকা প্রদর্শিত হবে সার্টিফিকেট ম্যানেজার কনসোলের ধারক (certmgr.msc )।

একইভাবে, আপনি রুট সার্টিফিকেট প্রোগ্রাম থেকে প্রত্যাহার করা (অনুমোদিত) শংসাপত্রের তালিকা ডাউনলোড এবং ইনস্টল করতে পারেন। এটি করতে, disallowedcertstl.cab ডাউনলোড করুন ফাইল (https://ctldl.windowsupdate.com/msdownload/update/v3/static/trustedr/en/disallowedcertstl.cab), এটিকে এক্সট্র্যাক্ট করুন এবং কমান্ডের সাথে এটিকে আনট্রাস্টেড সার্টিফিকেট স্টোরে যোগ করুন:

certutil -enterprise -f -v -AddStore disallowed "C:\PS\disallowedcert.stl"

বিচ্ছিন্ন পরিবেশে GPO এর মাধ্যমে বিশ্বস্ত রুট সার্টিফিকেট আপডেট করা হচ্ছে

আপনার যদি নিয়মিতভাবে একটি ইন্টারনেট-বিচ্ছিন্ন অ্যাক্টিভ ডিরেক্টরি ডোমেনে রুট সার্টিফিকেট আপডেট করার কাজ থাকে, তাহলে গ্রুপ পলিসি ব্যবহার করে ডোমেন-যুক্ত কম্পিউটারে স্থানীয় সার্টিফিকেট স্টোর আপডেট করার জন্য একটি সামান্য জটিল স্কিম রয়েছে। আপনি বিভিন্ন উপায়ে সংযোগ বিচ্ছিন্ন উইন্ডোজ নেটওয়ার্কে ব্যবহারকারী কম্পিউটারে রুট সার্টিফিকেট আপডেট কনফিগার করতে পারেন।

প্রথম উপায় অনুমান করে যে আপনি নিয়মিতভাবে আপনার বিচ্ছিন্ন নেটওয়ার্কে রুট সার্টিফিকেট সহ একটি ফাইল ম্যানুয়ালি ডাউনলোড এবং কপি করুন। আপনি নিম্নরূপ বর্তমান Microsoft রুট সার্টিফিকেট সহ ফাইলটি ডাউনলোড করতে পারেন:

certutil.exe –generateSSTFromWU roots.sst

তারপর এই ফাইল থেকে রুট সার্টিফিকেট SCCM বা PowerShell Startup স্ক্রিপ্টের মাধ্যমে GPO-তে স্থাপন করা যেতে পারে:

$sstStore = (Get-ChildItem -Path \\fr-dc01\SYSVOL\woshub.com\rootcert\roots.sst )
$sstStore | Import-Certificate -CertStoreLocation Cert:\LocalMachine\Root

দ্বিতীয় উপায় কমান্ড ব্যবহার করে প্রকৃত Microsoft রুট সার্টিফিকেট ডাউনলোড করতে হয়:

Certutil -syncWithWU -f \\fr-dc01\SYSVOL\woshub.com\rootcert\

নির্দিষ্ট শেয়ার করা নেটওয়ার্ক ফোল্ডারে (authrootstl.cab, disallowedcertstl.cab, disallowedcert.sst, thumbprint.crt ফাইলগুলি সহ) অনেকগুলি রুট সার্টিফিকেট ফাইল (CRT ফাইল ফর্ম্যাট) উপস্থিত হবে।

তারপর রেজিস্ট্রি প্যারামিটার RootDirURL  এর মান পরিবর্তন করতে গ্রুপ নীতি পছন্দগুলি ব্যবহার করুন HKLM\Software\Microsoft\System Certificates\AuthRoot\Auto Update-এর অধীনে . এই প্যারামিটারটি শেয়ার করা নেটওয়ার্ক ফোল্ডারের দিকে নির্দেশ করবে যেখান থেকে আপনার Windows কম্পিউটারগুলি নতুন রুট সার্টিফিকেট পাবে। ডোমেন GPMC.msc কনসোল চালান, একটি নতুন GPO তৈরি করুন, সম্পাদনা নীতি মোডে স্যুইচ করুন এবং কম্পিউটার কনফিগারেশন -> পছন্দগুলি -> উইন্ডোজ সেটিংস -> রেজিস্ট্রি বিভাগটি প্রসারিত করুন . নিম্নলিখিত সেটিংস সহ একটি নতুন রেজিস্ট্রি সম্পত্তি তৈরি করুন:

• ক্রিয়া :আপডেট
• হাইভ :HKLM
• মূল পথ :সফ্টওয়্যার\Microsoft\System Certificates\AuthRoot\Auto Update
• মান নাম :RootDirURL
• টাইপ :REG_SZ
• মান ডেটা :file://\\fr-dc01\SYSVOL\woshub.com\rootcert\

এটি একটি কম্পিউটারের OU-তে এই নীতিটি লিঙ্ক করতে এবং ক্লায়েন্টে GPO সেটিংস আপডেট করার পরে, সার্টস্টোরে নতুন রুট শংসাপত্রগুলি পরীক্ষা করে দেখুন৷

Windows 7-এ বিশ্বস্ত রুট সার্টিফিকেট কিভাবে আপডেট করবেন?

Windows 7 এখন সমর্থনের পর্যায়ে চলে যাওয়া সত্ত্বেও, অনেক ব্যবহারকারী এবং কোম্পানি এখনও এটি ব্যবহার করে৷

একটি পরিষ্কার উইন্ডোজ 7 ইমেজ ইনস্টল করার পরে, আপনি দেখতে পারেন যে অনেক আধুনিক প্রোগ্রাম এবং সরঞ্জামগুলি এতে কাজ করে না কারণ তারা নতুন শংসাপত্রের সাথে স্বাক্ষর করেছে৷ বিশেষ করে, এমন অভিযোগ রয়েছে যে .Net Framework 4.8 বা Microsoft Visual Studio (vs_Community.exe) রুট সার্টিফিকেট আপডেট না করে Windows 7 SP1 x64 এ ইনস্টল করা যাবে না।

The installer manifest failed signature validation.

অথবা

NET Framework has not been installed because a certificate chain could not be built to a trusted root authority.

Windows 7-এ রুট সার্টিফিকেট আপডেট করতে, আপনাকে প্রথমে MSU আপডেট ডাউনলোড এবং ইনস্টল করতে হবে KB2813430 (https://support.microsoft.com/en-us/topic/an-update-is-available-that-enables-administrators-to-update-trusted-and-disallowed-ctls-in-disconnected-environments-in -windows-0c51c702-fdcc-f6be-7089-4585fad729d6)

এর পরে, আপনি রুট সার্টিফিকেট (বর্তমান বা অন্য কম্পিউটারে) সহ একটি SST ফাইল তৈরি করতে certutil ব্যবহার করতে পারেন:

certutil.exe -generateSSTFromWU c:\ps\roots.sst

এখন আপনি বিশ্বস্তদের মধ্যে শংসাপত্র আমদানি করতে পারেন:

MMC চালান -> স্ন্যাপ-ইন যোগ করুন -> সার্টিফিকেট -> কম্পিউটার অ্যাকাউন্ট> স্থানীয় কম্পিউটার। বিশ্বস্ত রুট সার্টিফিকেশন কর্তৃপক্ষ, সমস্ত কাজ -> আমদানি করুন, আপনার SST ফাইল খুঁজুন (ফাইলের প্রকারে Microsoft Serialized Certificate Store — *.sst নির্বাচন করুন। ) -> খুলুন -> নিম্নলিখিত স্টোরে সমস্ত শংসাপত্র রাখুন -> বিশ্বস্ত রুট সার্টিফিকেশন কর্তৃপক্ষ৷

Windows XP-এ Rootsupd.exe টুল ব্যবহার করে রুট সার্টিফিকেট আপডেট করা হচ্ছে

Windows XP-এ, rootsupd.exe ইউটিলিটি কম্পিউটারের রুট সার্টিফিকেট আপডেট করতে ব্যবহৃত হয়েছিল। এতে মূল এবং প্রত্যাহারকৃত শংসাপত্রের তালিকা নিয়মিত আপডেট করা হয়েছিল। টুলটি একটি পৃথক আপডেট হিসাবে বিতরণ করা হয়েছিল KB931125 (রুট সার্টিফিকেটের জন্য আপডেট)। দেখা যাক আমরা এখন এটি ব্যবহার করতে পারি কিনা৷

1. rootsupd.exe ডাউনলোড করুন নিম্নলিখিত লিঙ্ক ব্যবহার করে ইউটিলিটি https://download.windowsupdate.com/msdownload/update/v3/static/trustedr/en/rootsupd.exe . এই মুহুর্তে (জানুয়ারি 2021) লিঙ্কটি কাজ করে না, মাইক্রোসফ্ট এটিকে জনসাধারণের থেকে সরানোর সিদ্ধান্ত নিয়েছে। আজ আপনি Kaspersky ওয়েবসাইট থেকে rootsupd.exe ডাউনলোড করতে পারেন — https://media.kaspersky.com/utilities/CorporateUtilities/rootsupd.zip;
2. Windows রুট সার্টিফিকেট ইনস্টল করতে, শুধু rootsupd.exe চালান ফাইল তবে আমরা এর বিষয়বস্তু আরও সাবধানে পরীক্ষা করার চেষ্টা করব। কমান্ড দিয়ে এক্সিকিউটেবল ফাইল থেকে সার্টিফিকেট বের করুন:rootsupd.exe /c /t: C:\PS\rootsupd
3. শংসাপত্রগুলি SST ফাইলগুলিতে সংরক্ষণ করা হয়, যেমন authroots.sst, delroot.sst, ইত্যাদি। শংসাপত্রগুলি সরাতে বা ইনস্টল করতে, আপনি নিম্নলিখিত কমান্ডগুলি ব্যবহার করতে পারেন:
   updroots.exe authroots.sst
updroots.exe -d delroots.sst

তবে , আপনি দেখতে পাচ্ছেন, এই সার্টিফিকেট ফাইলগুলি এপ্রিল 4, 2013-এ তৈরি করা হয়েছিল (Windows XP-এর জন্য অফিসিয়াল সমর্থন শেষ হওয়ার প্রায় এক বছর আগে)। এইভাবে, তারপর থেকে টুলটি আপডেট করা হয়নি এবং আপ-টু-ডেট সার্টিফিকেট ইনস্টল করতে ব্যবহার করা যাবে না।

কিন্তু আপনি root.sst ডাউনলোড করতে Windows 10/11-এ cerutil টুল ব্যবহার করতে পারেন, সেই ফাইলটি Windows XP-এ কপি করতে পারেন এবং updroots.exe ব্যবহার করে সার্টিফিকেট ইনস্টল করতে পারেন:

updroots.exe c:\temp\roots.sst

এই নিবন্ধে, আমরা ইন্টারনেট থেকে বিচ্ছিন্ন (সংযোগ বিচ্ছিন্ন পরিবেশ) উইন্ডোজ নেটওয়ার্ক কম্পিউটারে বিশ্বস্ত রুট সার্টিফিকেট আপডেট করার বিভিন্ন উপায় দেখেছি।