सर्टिफिकेट अथॉरिटी (CA) – PKI का विश्वसनीय एंकर
सर्टिफिकेट अथॉरिटी (CA) एक विश्वसनीय इकाई है जो डिजिटल सर्टिफिकेट जारी करती है, प्रबंधित करती है और रद्द करती है। ये सर्टिफिकेट पब्लिक की को एक पहचान (डोमेन, संगठन, व्यक्ति, डिवाइस) से बांधते हैं, जिससे TLS/SSL, कोड साइनिंग, ईमेल एन्क्रिप्शन, VPN प्रमाणीकरण आदि में विश्वास स्थापित होता है।
CA कैसे काम करती है
- की जोड़ी जनरेशन: आवेदक (सब्जेक्ट) पब्लिक/प्राइवेट की जोड़ी जनरेट करता है; प्राइवेट की गुप्त रखता है।
- CSR निर्माण: आवेदक सर्टिफिकेट साइनिंग रिक्वेस्ट (CSR) बनाता है जिसमें पब्लिक की और पहचान जानकारी (CN, O, OU, देश, आदि) होती है; प्राइवेट की से साइन करता है।
- पहचान सत्यापन: CA (या RA - रजिस्ट्रेशन अथॉरिटी) आवेदक की पहचान सत्यापित करती है:
- DV (डोमेन सत्यापन): डोमेन नियंत्रण (ईमेल, DNS, HTTP फाइल)।
- OV (संगठन सत्यापन): व्यावसायिक रजिस्ट्री, फोन कॉल, दस्तावेज़।
- EV (विस्तारित सत्यापन): सख्त कानूनी/भौतिक सत्यापन (ब्राउज़र में हरा बार/संगठन नाम)।
- सर्टिफिकेट जारी करना: CA अपने प्राइवेट की से CSR पर हस्ताक्षर करती है, X.509 सर्टिफिकेट बनाती है (सब्जेक्ट, पब्लिक की, वैधता, एक्सटेंशन, CA सिग्नेचर)।
- वितरण: सर्टिफिकेट आवेदक को दिया जाता है; रूट/इंटरमीडिएट CA सर्टिफिकेट्स ब्राउज़र/OS ट्रस्ट स्टोर में पहले से इंस्टॉल होते हैं।
- सत्यापन (रिलाइंग पार्टी द्वारा): क्लाइंट सर्टिफिकेट चेन को ट्रस्टेड रूट तक वैलिडेट करता है, हस्ताक्षर जांचता है, समाप्ति/रद्दीकरण (CRL/OCSP) जांचता है, नाम मिलान करता है।
CA के प्रकार
| प्रकार | विवरण | उदाहरण |
|---|---|---|
| पब्लिक CA (कमर्शियल) | सार्वजनिक रूप से विश्वसनीय; ब्राउज़र/OS रूट स्टोर में शामिल। | DigiCert, Sectigo, GlobalSign, Let's Encrypt (मुफ्त DV), GoDaddy, Google Trust Services |
| प्राइवेट/एंटरप्राइज CA | संगठन द्वारा आंतरिक उपयोग के लिए संचालित (AD CS, Smallstep, HashiCorp Vault, EJBCA)। | आंतरिक सर्वर TLS, म्यूचुअल TLS, 802.1X, कोड साइनिंग, डिवाइस पहचान। |
| रूट CA | ट्रस्ट एंकर; ऑफलाइन, अत्यधिक सुरक्षित (HSM); इंटरमीडिएट पर हस्ताक्षर करता है। | DigiCert Root G2, Microsoft Root Authority |
| इंटरमीडिएट CA | रूट द्वारा हस्ताक्षरित; अंत-एंटिटी सर्टिफिकेट जारी करता है; ऑनलाइन संचालन। | DigiCert TLS RSA SHA256 2020 CA1 |
CA की महत्वपूर्ण भूमिकाएं
- ट्रस्ट एंकर: ब्राउज़र/OS विक्रेता (माइक्रोसॉफ्ट, एप्पल, गूगल, मोज़िला) रूट CA को अपने ट्रस्ट स्टोर में शामिल करने के लिए सख्त ऑडिट (WebTrust, ETSI EN 319 411) की मांग करते हैं।
- रद्दीकरण प्रबंधन: CRL प्रकाशित करना, OCSP रिस्पॉन्डर चलाना – समझौता/समाप्ति पर सर्टिफिकेट अविश्वसनीय करना।
- जीवनचक्र प्रबंधन: नवीनीकरण, पुनः कुंजीकरण, समाप्ति सूचना, CT (सर्टिफिकेट ट्रांसपेरेंसी) लॉग सबमिशन।
- नीति लागू करना: CA/Browser फोरम बेसलाइन आवश्यकताओं का पालन (की लंबाई, हैश एल्गो, वैधता अवधि ≤398 दिन)।
सामान्य CA ऑपरेशन
- सेवा शुरू/रोकें: Windows: `certsrv.msc` या `net start certsvc`; Linux: `systemctl start pki-tomcat` (EJBCA), `vault server` (HashiCorp)।
- सर्टिफिकेट रद्द करना: `certutil -revoke
` (AD CS), `openssl ca -revoke cert.pem -crl_reason keyCompromise`। - CRL प्रकाशित करना: HTTP/LDAP/CDP पॉइंट पर नियमित रूप से।
- ऑडिट/अनुपालन: वार्षिक WebTrust/ETSI ऑडिट, कुंजी समारोह (की सेरेमनी) लॉग।
क्यों CA महत्वपूर्ण है
- CA के बिना, कोई भी किसी भी पहचान का दावा करते हुए स्वयं-हस्ताक्षरित सर्टिफिकेट बना सकता है – कोई विश्वास नहीं।
- CA तीसरे पक्ष की गारंटी प्रदान करती है कि पब्लिक की वास्तव में दावा की गई इकाई की है।
- HTTPS, सुरक्षित ईमेल, जीरो ट्रस्ट, IoT डिवाइस पहचान, सॉफ्टवेयर आपूर्ति श्रृंखला सुरक्षा की नींव।
सही CA चुनना
- सार्वजनिक वेबसाइट्स: Let's Encrypt (मुफ्त, स्वचालित, DV), या DigiCert/Sectigo/GlobalSign (OV/EV, वारंटी, समर्थन)।
- आंतरिक PKI: Microsoft AD CS (विंडोज़ दुकानों के लिए), Smallstep (आधुनिक, ACME-नेटिव), HashiCorp Vault (सीक्रेट्स के साथ एकीकृत), EJBCA (एंटरप्राइज-ग्रेड, PKCS#11/HSM)।
- IoT/डिवाइस: DigiCert IoT, GlobalSign IoT, या निजी CA (EST/SCEP एनरोलमेंट के साथ)।
