শুধু VPN দিয়ে চলে এমন সাইটের সার্টিফিকেট: DNS-01 নাকি ব্যক্তিগত CA?

তিনটি শর্ত ঠিক করে শুধু VPN দিয়ে চলা সাইট কীভাবে তার সার্টিফিকেট পাবে: আপনি পাবলিক DNS জোন নিয়ন্ত্রণ করেন কি না, হোস্টনেম পাবলিক লগে দেখা যেতে পারে কি না, এবং প্রতিটি ক্লায়েন্টকে একটি ব্যক্তিগত ট্রাস্ট অ্যাঙ্কর দেওয়া যায় কি না। পাবলিক ও ব্যক্তিগত—দুই পথই কাজ করা তালা তৈরি করে এবং তারা ভিন্ন প্রশ্নের উত্তর দেয়। এই শর্তগুলো না মিটিয়েই একটি বেছে নেওয়াই সাইটটিকে এমন পাবলিক সার্টিফিকেটে পৌঁছায় যা সে চায়নি, অথবা এমন অভ্যন্তরীণ সার্টিফিকেটে পৌঁছায় যা অর্ধেক ক্লায়েন্ট প্রত্যাখ্যান করে।

সার্টিফিকেট নামটি প্রমাণ করে; VPN আর অভ্যন্তরীণ DNS পথটি দেয়।

বিশ্বস্ত নামের দুই পথ

DNS-01 যাচাইয়ের সঙ্গে একটি পাবলিক ইস্যুয়ার আপনার নিয়ন্ত্রণাধীন জোনের TXT রেকর্ডের মাধ্যমে নামের নিয়ন্ত্রণ প্রমাণ করে, তাই ওয়েব সেবাকে কখনোই পাবলিক HTTP সংযোগ নিতে হয় না। একটি ব্যক্তিগত CA অভ্যন্তরীণ নামের জন্য লিফ সার্টিফিকেট দেয় এবং ডিভাইস ব্যবস্থাপনার মাধ্যমে তার ট্রাস্ট অ্যাঙ্কর বিতরণ করে, তাই কোনো পাবলিক লগ নামটি জানতে পারে না। দুটিই বৈধ, আর পছন্দটি সুবিধা থেকে নয়, ওই তিনটি শর্ত থেকেই আসে। কোনও পথই ক্লায়েন্টের প্রয়োজনীয় রুট বা রিজলভার এন্ট্রি দেয় না।

সার্টিফিকেটের স্বচ্ছতা লগেও পাবলিক সার্টিফিকেট হোস্টনেমটি প্রকাশ করে। নামটি নিজেই সংবেদনশীল হলে সেই প্রকাশ একটি নকশা-সিদ্ধান্ত, পরে আবিষ্কার করার মতো পার্শ্বপ্রতিক্রিয়া নয়।

সেবা প্রকাশ না করেই DNS-01

চ্যালেঞ্জ রেকর্ডটি জোনে সংরক্ষিত প্রিফিক্সের অধীনে একটি TXT এন্ট্রি, আর ইস্যুয়ার এটি প্রামাণ্য DNS থেকে পড়ে। এমন একটি ACME ক্লায়েন্ট ও DNS ইন্টিগ্রেশন বাছুন যা সেই রেকর্ড তৈরি ও মুছে ফেলতে পারে, এবং হালনাগাদটির অনুমতি সংকীর্ণ রাখুন: জোনের জন্য সীমিত API ক্রেডেনশিয়াল, অথবা কেবল যাচাইয়ের জন্য ব্যবহৃত একটি নিয়ন্ত্রিত হোস্ট। একটি সার্টিফিকেট নবায়নের জন্য অ্যাপ্লিকেশন সার্ভারকে অনিয়ন্ত্রিত রেজিস্ট্রার ক্রেডেনশিয়াল দেওয়া কাজটির প্রয়োজনের চেয়ে অনেক বেশি ক্ষমতা। একাধিক অর্ডার একটি নাম ভাগ করলে তাদের TXT মান আলাদা রাখুন, যাতে একটির পরিষ্কার করা অন্যটির এখনও প্রয়োজনীয় মান মুছে না ফেলে।

নির্দিষ্ট সময় অপেক্ষার বদলে প্রামাণ্য সার্ভারের বিরুদ্ধে যাচাই করে প্রচার সম্পন্ন হওয়ার অপেক্ষা করুন। প্রচারের আচরণ প্রোভাইডারভেদে ভিন্ন, আর আজ কাজ করা অপেক্ষা কালকের সম্পর্কে প্রমাণ নয়।

ব্যবস্থাপিত ক্লায়েন্ট ও ইচ্ছাকৃতভাবে ব্যক্তিগত নাম

ব্যবস্থাপিত ডিভাইস ও ইচ্ছাকৃতভাবে ব্যক্তিগত নাম অভ্যন্তরীণ CA-এর সঙ্গে ভালো মানায়। ডিভাইস ব্যবস্থাপনার মাধ্যমে বিশ্বস্ত ইস্যুয়ার বিতরণ করুন, তারপর নির্দিষ্ট নামের জন্য লিফ সার্টিফিকেট ইস্যু করুন। প্রতিটি ক্লায়েন্ট আসলে কোন স্টোর ব্যবহার করে তা যাচাই করুন, কারণ অপারেটিং সিস্টেমে একটি আমদানি প্রতিটি ব্রাউজার ও অ্যাপ্লিকেশন সম্পর্কে সার্বজনীন দাবি নয়। লিফ পিনিং আরেকটি বিকল্প যেখানে তা স্পষ্টভাবে সমর্থিত, তবে লিফ বদলালেই আরেকটি ট্রাস্ট হালনাগাদের খরচে।

বিতরণ চ্যানেল চাবির মতোই গুরুত্বপূর্ণ: যে রুট কেউ ইনস্টল করে না, তা কিছুই রক্ষা করে না।

নবায়ন নকশারই অংশ

যে পথই বেছে নিন, নবায়নের জন্য একজন মালিক ও একটি পদ্ধতি দরকার। যাচাইয়ের প্রমাণ নবায়ন করা, নতুন উপাদান ইনস্টল করা এবং সমর্থিত পদ্ধতিতে লিসেনার পুনরায় লোড করা—এই তিনটি আলাদা ধাপ, আর বেশিরভাগ ACME ক্লায়েন্ট কেবল প্রথমটিই স্বয়ংক্রিয় করে। যে সার্টিফিকেট সঠিকভাবে নবায়ন হয় কিন্তু কখনো লোড হয় না, তা মেয়াদোত্তীর্ণ সার্টিফিকেটের মতোই একই বিভ্রাট ঘটায়।

সার্টিফিকেট VPN রুট ইনস্টল করে না বা অভ্যন্তরীণ DNS রেকর্ড তৈরি করে না। ক্লায়েন্টের এখনও এমন রিজলভার দরকার যা নামটিকে ব্যক্তিগত ঠিকানায় মাপে, এবং সেখানে পৌঁছানোর একটি রুট। যে ক্লায়েন্টের দুটোই আছে, তার থেকে নাম ধরে সাইটটি পরীক্ষা করুন।

ইস্যুয়ার, যাচাইয়ের পদ্ধতি, ট্রাস্ট বিতরণ চ্যানেল ও পুনরায় লোড করার পদ্ধতি লিখে রাখুন। ওই চারটিই নবায়ন পরিকল্পনা।