डिजिटल प्रमाणपत्र पहचान को सार्वजनिक कुंजी से कैसे जोड़ते हैं, विश्वास की शृंखला कैसे काम करती है, और हस्ताक्षर क्या सत्यापित कर सकते हैं।
डिजिटल प्रमाणपत्र क्या है?
डिजिटल प्रमाणपत्र एक हस्ताक्षरित इलेक्ट्रॉनिक अभिलेख है जो सार्वजनिक कुंजी को किसी पहचान से जोड़ता है, जैसे वेबसाइट का नाम, व्यक्ति या संगठन। जारीकर्ता इस सम्बन्ध पर हस्ताक्षर करता है ताकि दूसरे लोग इसकी जाँच कर सकें।
मान लीजिए कोई वेबसाइट आपके ब्राउजर को सार्वजनिक कुंजी देती है। कोई भी कुंजी बनाकर दावा कर सकता है कि वह उस वेबसाइट की है। प्रमाणपत्र ब्राउजर को तय करने में सहायता करता है कि दावा स्वीकार करना चाहिए या नहीं।
वेबसाइट प्रमाणपत्रों का सामान्य प्रारूप X.509 है। यहाँ “प्रमाणपत्र” का अर्थ सार्वजनिक-कुंजी प्रमाणपत्र है। PDF या NFC टैग पर रखा शैक्षणिक योग्यता-विवरण अलग तरह का अभिलेख है, हालाँकि डिजिटल हस्ताक्षर दोनों को सुरक्षित कर सकते हैं।
इसमें क्या होता है?
- विषय और नाम: प्रमाणपत्र किसकी पहचान करता है। वेबसाइट के नाम सामान्यतः Subject Alternative Name विस्तार में होते हैं।
- सार्वजनिक कुंजी: प्रमाणित की जा रही कुंजी और उसके एल्गोरिदम की जानकारी।
- जारीकर्ता और क्रमांक: प्रमाणपत्र किसने जारी किया और उस जारीकर्ता के अभिलेख में उसकी पहचान क्या है।
- वैधता अवधि: किन तारीखों के बीच उसे स्वीकार किया जा सकता है, बशर्ते बाकी जाँचें भी सफल हों।
- अनुमत उपयोग: विस्तार यह सीमित कर सकते हैं कि कुंजी सर्वर प्रमाणीकरण, प्रमाणपत्र हस्ताक्षर या किसी अन्य काम के लिए उपयोग हो सकती है।
- हस्ताक्षर: प्रमाणपत्र के हस्ताक्षरित भागों पर जारीकर्ता का हस्ताक्षर।
प्रमाणपत्र में सार्वजनिक कुंजी होती है। उससे सम्बन्धित निजी कुंजी गुप्त रहनी चाहिए और प्रमाणपत्र का भाग नहीं होती।
इस पर विश्वास कैसे किया जाता है?
प्रमाणपत्र प्राधिकारी, या CA, अपनी जारी करने की नीति के अनुसार अनुरोध जाँचता है और प्रमाणपत्र पर हस्ताक्षर करता है। डोमेन-सत्यापित वेबसाइट प्रमाणपत्र में जाँच डोमेन पर नियन्त्रण की होती है; इससे व्यवसाय का ईमानदार होना सिद्ध नहीं होता।
आपका ब्राउजर कुछ विश्वसनीय मूल प्राधिकारियों से शुरुआत करता है। वेबसाइट सामान्यतः अपना प्रमाणपत्र और मध्यवर्ती प्रमाणपत्र देती है, जिससे ब्राउजर किसी विश्वसनीय मूल तक शृंखला बना सके।
मूल प्राधिकारी पर विश्वास इसलिए है क्योंकि ब्राउजर या प्रणाली ने उसे विश्वास का आधार स्वीकार किया है। केवल उसका स्व-हस्ताक्षर उसे विश्वसनीय नहीं बनाता। निजी संगठन भी अपना CA चला सकता है और उसका विश्वास स्पष्ट रूप से वितरित कर सकता है।
सत्यापन में क्या जाँचा जाता है?
- प्रमाणपत्र के हस्ताक्षर और शृंखला किसी स्वीकार किए गए विश्वास के आधार तक पहुँचते हैं।
- माँगी गई वेबसाइट का नाम प्रमाणपत्र के अनुमत नाम से मिलता है।
- प्रमाणपत्र अपनी वैधता अवधि में है और इच्छित उपयोग के लिए अनुमत है।
- शृंखला लागू प्रतिबन्धों और क्लाइंट की निरस्तीकरण नीति पर खरी उतरती है।
दूसरे पक्ष को कनेक्शन प्रोटोकॉल के माध्यम से सम्बन्धित निजी कुंजी अपने पास होने का प्रमाण भी देना होता है। सार्वजनिक प्रमाणपत्र की प्रतिलिपि बना लेना वह प्रमाण नहीं है।
प्रमाणपत्र की अवधि समाप्त हो सकती है या वह निरस्त किया जा सकता है, जैसे निजी कुंजी उजागर होने पर। निरस्तीकरण की जानकारी सूचियों या ऑनलाइन स्थिति सेवाओं से मिल सकती है। अलग क्लाइंट इसे अलग तरह से प्राप्त और लागू करते हैं।
इसका एन्क्रिप्शन से क्या सम्बन्ध है?
प्रमाणपत्र सार्वजनिक कुंजी की पहचान करता है; वह स्वयं बातचीत एन्क्रिप्ट नहीं करता। सामान्य प्रमाणपत्र-आधारित TLS 1.3 कनेक्शन में प्रमाणपत्र और हस्ताक्षर सर्वर की प्रामाणिकता जाँचते हैं, कुंजी-सहमति साझा रहस्य स्थापित करती है, और सममित प्रमाणीकृत एन्क्रिप्शन संचार सुरक्षित करती है।
एन्क्रिप्शन पूछता है “इसे कौन पढ़ सकता है?” हस्ताक्षर पूछने में सहायता करता है “क्या अपेक्षित निजी कुंजी से हस्ताक्षर हुआ और क्या डेटा बदला है?” प्रमाणपत्र पूछने में सहायता करता है “मुझे किसकी सार्वजनिक कुंजी उपयोग करनी चाहिए?”
क्या इससे NFC टैग पर योग्यता-विवरण जाँचा जा सकता है?
कल्पना कीजिए कि कोई बोर्ड विद्यार्थी का योग्यता-विवरण जारी करता है। वह पहचान संख्या सहित विवरण के एक तय रूप पर हस्ताक्षर करता है। जाँचकर्ता टैग से विवरण और हस्ताक्षर पढ़कर बोर्ड की विश्वसनीय सार्वजनिक कुंजी से जाँचता है। सार्वजनिक-कुंजी प्रमाणपत्र यह स्थापित करने में सहायता कर सकता है कि कौन-सी कुंजी बोर्ड की है।
जरूरी कुंजियाँ, प्रमाणपत्र और विश्वास की जानकारी पहले से होने पर हस्ताक्षर ऑफलाइन जाँचा जा सकता है। केवल ऑफलाइन जाँच से हाल ही में निरस्त प्रमाणपत्र या वापस लिए गए योग्यता-विवरण का पता नहीं चलता।
विवरण के साथ रखा साधारण हैश पर्याप्त नहीं है: कोई दोनों बदल सकता है। डिजिटल हस्ताक्षर इस बदलाव का प्रतिरोध करता है और हर जाँचकर्ता को बोर्ड की निजी कुंजी देने की जरूरत नहीं पड़ती।
हैश-और-हस्ताक्षर विधि में बोर्ड योग्यता-विवरण के ठीक उसी डेटा का डाइजेस्ट निकालकर निजी कुंजी से उस पर हस्ताक्षर करता है। जाँचकर्ता मिले हुए विवरण का नया डाइजेस्ट निकालकर हस्ताक्षर और बोर्ड की सार्वजनिक कुंजी के साथ जाँच करता है।
साथ लगी फिंगरप्रिन्ट पर्ची की कल्पना कीजिए: फिंगरप्रिन्ट हैश को दर्शाता है और जारीकर्ता का हस्ताक्षर उसे प्रमाणित करता है। योग्यता-विवरण बदलने पर फिंगरप्रिन्ट बदल जाता है और मूल हस्ताक्षर की जाँच विफल होती है। निजी कुंजी के बिना वैध नया हस्ताक्षर न बना सकने वाले हमलावर को केवल हैश बदलने से लाभ नहीं होता।
RSA PKCS#1 v1.5 उदाहरण में जाँचकर्ता सार्वजनिक कुंजी से हस्ताक्षरित डाइजेस्ट प्राप्त करता है और मिले हुए विवरण के नए हैश से तुलना करता है। दोनों बिल्कुल समान होने चाहिए। सार्वजनिक-कुंजी प्रमाणपत्र जाँचने देता है कि सत्यापन के लिए किसकी कुंजी उपयोग हो रही है। देखें RFC 8017, खण्ड 8.2.2।
हस्ताक्षर विद्यार्थी का विवरण छिपाता नहीं है। यह पूरे अभिलेख को दूसरे टैग पर नकल करने से भी नहीं रोकता। नकल रोकने या यह सिद्ध करने के लिए कि प्रस्तुतकर्ता वही विद्यार्थी है, अतिरिक्त उपाय चाहिए।
वैध प्रमाणपत्र क्या सिद्ध करता है?
वैध प्रमाणपत्र किसी खास विश्वास नीति के अन्तर्गत पहचान और कुंजी के सम्बन्ध का समर्थन करता है। यह गारंटी नहीं देता कि वेबसाइट सुरक्षित है, हस्ताक्षरित बातें सच हैं या निजी कुंजी कभी चोरी नहीं हुई।
खानों के क्रम के लिए देखें प्रमाणपत्र की संरचना।
सन्दर्भ
NFC का उदाहरण मेरी पुरानी दस्तावेज-प्रमाणीकरण रूपरेखा से लिया गया है; यह अभिलेख की प्रामाणिकता जाँचने और उसकी नकल रोकने का अन्तर समझाता है।
AI प्रकटीकरण: यह लेख AI (ChatGPT) की सहायता से लिखा गया है। त्रुटियों और छूटी हुई बातों की ओर ध्यान दिलाने के लिए आपका स्वागत है।
