সার্টিফিকেটের উদ্দেশ্য যাচাই করা

আপনি Apigee Edge ডকুমেন্টেশন দেখছেন।
Apigee X ডকুমেন্টেশন দেখুন। তথ্য

কীস্টোর বা ট্রাস্টস্টোরে সার্টিফিকেট আপলোড করার আগে সার্টিফিকেটের উদ্দেশ্য কীভাবে যাচাই করতে হয় তা এই ডকুমেন্টে ব্যাখ্যা করা হয়েছে। এই প্রসেস যাচাইকরণের জন্য OpenSSL-এর উপর নির্ভর করে এবং OpenSSL উপলভ্য এমন যেকোনও এনভায়রনমেন্টে প্রযোজ্য।

TLS সার্টিফিকেট সাধারণত এক বা একাধিক উদ্দেশ্যে ইস্যু করা হয় এবং সেইসব উদ্দেশ্যে সেগুলি ব্যবহার করা যায়। সার্টিফিকেটে থাকা পাবলিক কী ব্যবহার করে করা যায় এমন অপারেশনের সংখ্যা সীমিত করার জন্য সাধারণত এটি করা হয়। সার্টিফিকেটের উদ্দেশ্য নিম্নলিখিত সার্টিফিকেট এক্সটেনশনে উপলভ্য:

• মূল ব্যবহার
• এক্সটেন্ডেড কী ব্যবহার

মূল ব্যবহার

কী ব্যবহারের এক্সটেনশন, সার্টিফিকেটে থাকা কী-এর উদ্দেশ্য (যেমন, এনসিফারমেন্ট, সিগনেচার বা সার্টিফিকেট সাইনিং) নির্ধারণ করে। পাবলিক কী যদি এনটিটি যাচাইকরণের জন্য ব্যবহার করা হয়, তাহলে সার্টিফিকেট এক্সটেনশনে কী ব্যবহার ডিজিটাল স্বাক্ষর থাকতে হবে।

সার্টিফিকেট অথরিটি (CA) প্রসেস ব্যবহার করে তৈরি করা TLS সার্টিফিকেটের জন্য উপলভ্য বিভিন্ন কী ব্যবহারের এক্সটেনশনগুলি নিম্নলিখিত:

• ডিজিটাল স্বাক্ষর
• অননুমোদন
• কী এনসিফারমেন্ট
• ডেটা এনসাইফারমেন্ট
• মূল চুক্তি
• সার্টিফিকেটে স্বাক্ষর করা
• CRL সাইনিং
• শুধু এনসাইফার
• শুধুমাত্র ডিকোড করা

এইসব মূল ব্যবহার এক্সটেনশন সম্পর্কে আরও তথ্যের জন্য, RFC5280, মূল ব্যবহার দেখুন।

এক্সটেন্ডেড কী ব্যবহার

এই এক্সটেনশনটি এক বা একাধিক উদ্দেশ্য নির্দেশ করে যার জন্য সার্টিফায়েড পাবলিক কী ব্যবহার করা যেতে পারে, কী ব্যবহার এক্সটেনশনে নির্দেশিত মৌলিক উদ্দেশ্য ছাড়াও বা তার পরিবর্তে। সাধারণভাবে, এই এক্সটেনশন শুধুমাত্র এন্ড-এন্টিটি সার্টিফিকেটে দেখা যাবে।

কিছু সাধারণ এক্সটেন্ডেড কী ব্যবহারের এক্সটেনশন নিচে দেওয়া হল:

• TLS Web server authentication
• TLS Web client authentication
• anyExtendedKeyUsage

এক্সটেন্ডেড কী গুরুতর বা অগুরুতর হতে পারে।

• এক্সটেনশন গুরুত্বপূর্ণ হলে, সার্টিফিকেটটি অবশ্যই শুধুমাত্র উল্লিখিত উদ্দেশ্য বা উদ্দেশ্যগুলির জন্য ব্যবহার করতে হবে। সার্টিফিকেটটি অন্য কোনও উদ্দেশ্যে ব্যবহার করা হলে, এটি CA-এর নীতি লঙ্ঘন করে।
• এক্সটেনশন অত্যন্ত গুরুত্বপূর্ণ না হলে, এটি কী-এর উদ্দেশ্য বা উদ্দেশ্যগুলি নির্দেশ করে। কীটি তথ্যমূলক এবং এর অর্থ এই নয় যে CA, কী-এর ব্যবহারকে নির্দেশিত উদ্দেশ্যেই সীমাবদ্ধ করে। তবে, যেসব অ্যাপ্লিকেশন সার্টিফিকেট ব্যবহার করে, সেগুলির ক্ষেত্রে সার্টিফিকেট গ্রহণযোগ্য হওয়ার জন্য একটি নির্দিষ্ট উদ্দেশ্য উল্লেখ করা প্রয়োজন হতে পারে।

কোনও সার্টিফিকেটে কী ব্যবহার সংক্রান্ত ফিল্ড ও এক্সটেন্ডেড কী ব্যবহার সংক্রান্ত ফিল্ড, দুটিই ক্রিটিকাল হিসেবে উল্লেখ করা থাকলে, দুটি ফিল্ডকেই আলাদা আলাদাভাবে প্রসেস করতে হবে এবং সার্টিফিকেটটি শুধুমাত্র সেই উদ্দেশ্যের জন্য ব্যবহার করা যাবে যা কী ব্যবহার সংক্রান্ত দুটি ভ্যালুকেই পূরণ করে। তবে, যদি এমন কোনও উদ্দেশ্য না থাকে যা কী ব্যবহারের দুটি ভ্যালুকেই সন্তুষ্ট করতে পারে, তাহলে সেই সার্টিফিকেট কোনও উদ্দেশ্যের জন্য ব্যবহার করা যাবে না।

আপনি কোনও সার্টিফিকেট সংগ্রহ করলে, নিশ্চিত করুন যে এতে ক্লায়েন্ট বা সার্ভার সার্টিফিকেটের প্রয়োজনীয়তা পূরণ করার জন্য সঠিক কী ব্যবহার সংজ্ঞায়িত করা আছে, এটি না থাকলে TLS হ্যান্ডশেক সম্পূর্ণ হবে না।

Apigee Edge-এ ব্যবহৃত সার্টিফিকেটের জন্য সাজেস্ট করা কী ব্যবহার ও এক্সটেন্ডেড কী ব্যবহার

উদ্দেশ্য	কী ব্যবহার (বাধ্যতামূলক)	এক্সটেন্ডেড কী ব্যবহার (ঐচ্ছিক)
Apigee Edge ভার্চুয়াল হোস্টের কীস্টোরে ব্যবহৃত সার্ভার এন্টিটি সার্টিফিকেট	ডিজিটাল স্বাক্ষর কী এনসাইফারমেন্ট বা কী এগ্রিমেন্ট	TLS ওয়েব সার্ভার যাচাইকরণ
Apigee Edge-এ ব্যবহৃত ক্লায়েন্ট এন্টিটি সার্টিফিকেট ভার্চুয়াল হোস্টের ট্রাস্টস্টোর	ডিজিটাল স্বাক্ষর বা কী এগ্রিমেন্ট	TLS ওয়েব ক্লায়েন্ট যাচাইকরণ
Apigee Edge-এ ব্যবহৃত সার্ভার এন্টিটি সার্টিফিকেট টার্গেট সার্ভারের ট্রাস্টস্টোর	ডিজিটাল স্বাক্ষর কী এনসাইফারমেন্ট বা কী এগ্রিমেন্ট	TLS ওয়েব সার্ভার যাচাইকরণ
Apigee Edge-এ ব্যবহৃত ক্লায়েন্ট এন্টিটি সার্টিফিকেট টার্গেট সার্ভারের কীস্টোর	ডিজিটাল স্বাক্ষর বা কী সংক্রান্ত চুক্তি	TLS ওয়েব ক্লায়েন্ট যাচাইকরণ
অন্তর্বর্তী ও মূল সার্টিফিকেট	সার্টিফিকেটে স্বাক্ষর সার্টিফিকেট বাতিল করার তালিকা (CRL) চিহ্ন

শুরু করার আগে

এই ডকুমেন্টে উল্লেখ করা ধাপগুলি ব্যবহার করার আগে, নিম্নলিখিত বিষয়গুলি আপনি বুঝেছেন কিনা তা নিশ্চিত করুন:

• আপনি যদি সার্টিফিকেট চেনের সাথে পরিচিত না হন, তাহলে চেন অফ ট্রাস্ট পড়ুন।
• আপনি OpenSSL লাইব্রেরির সাথে পরিচিত না হলে, OpenSSL
• কী ব্যবহার এক্সটেনশন ও এক্সটেন্ডেড কী ব্যবহার সম্পর্কে আরও জানতে চাইলে, RFC5280 পড়ুন।
• আপনি যদি এই গাইডে কমান্ড-লাইন উদাহরণ ব্যবহার করতে চান, তাহলে লেটেস্ট ভার্সনের OpenSSL ক্লায়েন্ট ইনস্টল বা আপডেট করুন
• সার্টিফিকেট PEM ফর্ম্যাটে আছে কিনা তা নিশ্চিত করুন এবং না থাকলে, সার্টিফিকেটকে PEM ফর্ম্যাটে কনভার্ট করুন।

সার্টিফিকেটের উদ্দেশ্য যাচাই করা

এই বিভাগে সার্টিফিকেটের উদ্দেশ্য যাচাই করার জন্য ব্যবহৃত ধাপগুলি বর্ণনা করা হয়েছে।

1. যে সার্ভারে OpenSSL আছে সেখানে লগ-ইন করুন।
2. সার্টিফিকেটের কী ব্যবহার সংক্রান্ত তথ্য পেতে, নিম্নলিখিত OpenSSL কমান্ড রান করুন:

   openssl x509 -noout -ext keyUsage < certificate

   যেখানে certificate হল সার্টিফিকেটের নাম।

   আউটপুটের নমুনা

   openssl x509 -noout -ext keyUsage < entity.pem
   X509v3 Key Usage: critical
       Digital Signature, Key Encipherment
   
   openssl x509 -noout -ext keyUsage < intermediate.pem
   X509v3 Key Usage: critical
       Certificate Sign, CRL Sign

3. কোনও কী ব্যবহার করা বাধ্যতামূলক হলে, তা নিম্নলিখিতভাবে গুরুতর হিসেবে সংজ্ঞায়িত করা হবে:

   openssl x509 -noout -ext keyUsage < intermediate.pem
   X509v3 Key Usage: critical
       Certificate Sign, CRL Sign

4. কোনও সার্টিফিকেটের এক্সটেন্ডেড কী ইউসেজ পেতে, নিম্নলিখিত কমান্ডটি রান করুন। এক্সটেন্ডেড কী ব্যবহারকে গুরুতর হিসেবে সংজ্ঞায়িত করা না হলে, এটি একটি সাজেশন এবং বাধ্যতামূলক নয়।

   openssl x509 -noout -ext extendedKeyUsage < certificate

   যেখানে certificate হল সার্টিফিকেটের নাম।

   আউটপুটের নমুনা

   openssl x509 -noout -ext extendedKeyUsage < entity.pem
   X509v3 Extended Key Usage:
       TLS Web Server Authentication, TLS Web Client Authentication
   
   openssl x509 -noout -ext extendedKeyUsage < intermediate.pem
   X509v3 Extended Key Usage:
       TLS Web Server Authentication, TLS Web Client Authentication