वेब पर एन्क्रिप्शन के उपयोग में वृद्धि के कारण, लोगों ने इसे विश्वास के साथ जोड़ना शुरू कर दिया है। इसने, निश्चित रूप से, एक स्नोबॉल प्रभाव पैदा किया जहां अधिक वेबसाइटों को SSL/TLS एन्क्रिप्शन अपनाने के लिए प्रोत्साहन महसूस हुआ ताकि वे पीछे न रह जाएं। ई-कॉमर्स साइटें, विशेष रूप से, उन पहली साइटों में से थीं जिन्होंने उस दबाव को महसूस किया क्योंकि ग्राहक एन्क्रिप्शन के बिना ऑनलाइन लेन-देन करने से सावधान थे।
जब संस्थाओं के स्वामित्व वाली वेबसाइटों की बात आती है, तो एन्क्रिप्शन सिर्फ ऑनलाइन प्रक्रियाओं को सुरक्षित करने के लिए उपयोग किए जाने वाले कुछ एल्गोरिदम से कहीं अधिक हो जाता है। यह एक अधिक जटिल मामला है, जिसमें सर्टिफिकेट अथॉरिटी (CA) और प्राधिकरण के विभिन्न स्तर होते हैं। अब, Let's Encrypt जैसे मुफ्त CA के आगमन के साथ, लोग खुद से पूछ रहे हैं कि वाणिज्यिक विकल्प क्यों मौजूद हैं। क्या वे "बेहतर" हैं? या कहानी में और भी कुछ है?
CAs और उनके महत्व को समझना
HTTPS का उपयोग करने और अपनी वेबसाइट को "सुरक्षित" के रूप में पहचाने जाने के लिए (मतलब जब कोई उपयोगकर्ता आपकी साइट पर जाता है तो URL बार हरा हो जाता है) किसी न किसी प्रकार के प्राधिकरण की आवश्यकता होती है। आपको एक सर्टिफिकेट अथॉरिटी द्वारा जारी एक SSL सर्टिफिकेट की आवश्यकता होती है। एक सर्टिफिकेट आपकी ऑनलाइन उपस्थिति को "वास्तविक" के रूप में "मान्य" करेगा। विभिन्न प्रकार के मान्यकरण हैं:
- डोमेन मान्यकरण (DV), जो निर्विवाद रूप से साबित करता है कि आप आप हैं और आप उस डोमेन के मालिक हैं जिसे आप सुरक्षित करना चाहते हैं
- संगठनात्मक मान्यकरण (OV), जो साबित करता है कि आप डोमेन के मालिक हैं और आपकी साइट के पीछे संगठन के बारे में कुछ चीजों को सत्यापित करता है
- विस्तारित मान्यकरण (EV), जो आपके डोमेन, आपके संगठन, और इसकी कानूनी स्थिति का गहन और कठोर विश्लेषण करता है
DV के लिए प्रमाणन प्रक्रिया स्पष्ट रूप से प्राप्त करना बहुत आसान है क्योंकि आपको केवल यह साबित करने के लिए सबूत जमा करना होता है कि आप अपने डोमेन के मालिक हैं। वास्तव में, यह कुछ ऐसा है जिसे स्वचालित किया जा सकता है।
अब चलिए मुफ्त CAs पर आते हैं
Let's Encrypt जैसे सर्टिफिकेट अथॉरिटी बिना किसी लागत के DV सर्टिफिकेट जारी करते हैं। वे डोमेन स्वामित्व सत्यापन की प्रक्रिया को इस हद तक स्वचालित करने का प्रबंधन करते हैं कि आपको मान्य करने में उन्हें लगभग कुछ भी खर्च नहीं होता। यदि आपके पास कोई साधारण वेबसाइट है जिसमें उपयोगकर्ताओं को संवेदनशील डेटा साझा करने की आवश्यकता नहीं है (जैसे क्रेडिट कार्ड नंबर, बैंक खाता विवरण, पासपोर्ट नंबर, आदि), तो यह सब ठीक है।
यदि आप एक ई-कॉमर्स वेबसाइट चला रहे हैं, तो शायद आपको वाणिज्यिक सर्टिफिकेट अथॉरिटी के लिए जाने पर विचार करना चाहिए। विस्तारित मान्यकरण द्वारा प्रदान किया गया विश्वास का स्तर आपके संगठन को किसी अन्य प्रकार के प्रमाणीकरण से अधिक वैध बनाएगा। बहुत कम से कम, एक OV सर्टिफिकेट प्राप्त करें यदि आप EV के पीछे की लालफीताशाही से निपटना नहीं चाहते हैं।
यदि आपके पास एक बड़ी वेब इकाई है जो कई सबडोमेन पर वेबसाइट होस्ट करती है, तो आप यह जानकर निराश हो सकते हैं कि आप वाइल्डकार्ड सर्टिफिकेट मुफ्त में प्राप्त नहीं कर सकते (Let's Encrypt से भी नहीं)। यह सर्टिफिकेट आपको अपने मुख्य डोमेन नाम के तहत आपके द्वारा बनाए गए हर सबडोमेन को मान्य करने की अनुमति देगा।
निष्कर्ष सरल है: यदि आप एक साधारण वेबसाइट चला रहे हैं जिसमें संवेदनशील डेटा के आदान-प्रदान की आवश्यकता नहीं है, तो Let's Encrypt जैसे डोमेन मान्यकरण सर्टिफिकेट ठीक काम करेंगे। आपको कुछ भी फैंसी चाहिए नहीं!
अन्यथा आपको वाणिज्यिक अधिकारियों पर टिके रहना चाहिए। कुछ देशों में आप कानूनी मुसीबत में पड़ सकते हैं क्योंकि आपने कानूनी रूप से बाध्यकारी समझौतों के लिए विस्तारित मान्यकरण सर्टिफिकेट का उपयोग नहीं किया था।
क्या आपको लगता है कि हम अंततः सभी सर्टिफिकेट मान्यकरण को स्वचालित कर सकते हैं? या यह मानव जाति के लिए बस एक बहुत बड़ी छलांग है? हमें कमेंट में बताएं!
