এই নিবন্ধটি X.509 শৃঙ্খলে থাকা প্রতিটি সার্টিফিকেটকে এনক্রিপ্ট করা বা S/MIME-স্বাক্ষরিত ইমেলের সাথে ব্যবহারের জন্য বিশ্বস্ত হওয়ার জন্য যে প্রয়োজনীয়তাগুলি পূরণ করতে হবে তা বর্ণনা করে।
এই প্রয়োজনীয়তাগুলি ছাড়াও, চেইনটিকে অবশ্যই একটি সার্টিফিকেট অথরিটি (CA) সার্টিফিকেটের সাথে সংযুক্ত থাকতে হবে যা এই উদ্দেশ্যে Google দ্বারা স্পষ্টভাবে বিশ্বস্ত। আপনি আপনার বিশ্বস্ত CA গুলি থেকে রুট সার্টিফিকেট গ্রহণ করতেও বেছে নিতে পারেন। আরও তথ্যের জন্য, রুট সার্টিফিকেট নির্দেশিকা দেখুন।
নোট :
- Google S/MIME-এর জন্য Gmail দ্বারা বিশ্বস্ত CA সার্টিফিকেটের একটি তালিকা সরবরাহ করে এবং রক্ষণাবেক্ষণ করে । CA-এর তালিকাটি শুধুমাত্র Google-এর বিবেচনার ভিত্তিতে বিশ্বস্ত। Google যেকোনো সময় কোনও নোটিশ ছাড়াই রুট CA অপসারণের অধিকার সংরক্ষণ করে।
- নিশ্চিত করুন যে ইনস্টল করা এক্সটেনশনগুলি একই সার্টিফিকেটের অন্যান্য এক্সটেনশনের সাথে বিরোধিতা করে না। উদাহরণস্বরূপ, যদি nsCertTypes সংজ্ঞায়িত করা হয়, তবে সেগুলিকে কী ব্যবহার এক্সটেনশন, এক্সটেন্ডেড কী ব্যবহার এক্সটেনশন এবং বেসিক কনস্ট্রেইন্ট এক্সটেনশনের মতো একই ব্যবহারগুলি কভার করতে হবে।
সার্টিফিকেট চেইনের নিয়ম
রুট সিএ
| মাঠ | মূল্য |
|---|---|
ইস্যুকারী ডিএন | CA-কে শনাক্ত করতে হবে। উদাহরণস্বরূপ, DN অবশ্যই "সার্টিফিকেট অথরিটি" এর মতো একটি জেনেরিক মান হতে পারবে না। |
বিষয় ডিএন | এনকোড করা ফর্মটি ইস্যুয়ার ডিএন-এর সাথে বাইট-ফর-বাইটের অনুরূপ হতে হবে। |
বিষয় পাবলিক কী তথ্য | 2048, 3072, অথবা 4096 এর RSA মডিউলাস সহ rsaEncryption। অথবা secp256r1 অথবা secp384r1 ব্যবহার করে ecPublicKey । |
ইন্টারমিডিয়েট সিএ সার্টিফিকেট, ইন্টারমিডিয়েট সিএ ইস্যু করা ব্যতীত
যদি রুট এবং এন্ড এন্টিটির মধ্যে প্রত্যক্ষ বা পরোক্ষভাবে একাধিক মধ্যবর্তী CA থাকে, তাহলে এই তথ্যটি ব্যবহার করুন।
ইস্যুকারী মধ্যবর্তী CA হল মধ্যবর্তী CA যা শেষ সত্তা শংসাপত্র জারি করে। এই বিভাগটি ইস্যুকারী মধ্যবর্তী CA ব্যতীত শৃঙ্খলের যেকোনো মধ্যবর্তী CA-এর ক্ষেত্রে প্রযোজ্য।
| মাঠ | মূল্য | ||
|---|---|---|---|
| সংস্করণ | সংস্করণ ৩ | ||
| ক্রমিক সংখ্যা | শূন্য (0) এর চেয়ে বড় হতে হবে। যখন DER কে INTEGER হিসেবে এনকোড করা হয়, তখন অবশ্যই ২০ বাইটের কম বা সমান হতে হবে। | ||
| স্বাক্ষর অ্যালগরিদম | SHA-256 , SHA-384 , বা SHA-512 সহ RSA। অথবা SHA-256 , SHA-384 , বা SHA-512 সহ ECDSA | ||
| ইস্যুকারী ডিএন | ইস্যুকারী CA-এর Subject DN-এর সাথে বাইট-ফর-বাইটের মিল থাকতে হবে। | ||
| বৈধতার সময়কাল | কোন শর্ত নেই | ||
| বিষয় ডিএন | কোন শর্ত নেই | ||
| বিষয় পাবলিক কী তথ্য | 2048, 3072, অথবা 4096 এর RSA মডিউলাস সহ rsaEncryption। অথবা secp256r1 অথবা secp384r1 ব্যবহার করে ecPublicKey | ||
| এক্সটেনশন | উপস্থিতি | সমালোচনামূলক | মূল্য |
| মূল ব্যবহার | প্রয়োজনীয় | হাঁ | বিট পজিশন অবশ্যই এর জন্য সেট করতে হবে: keyCertSign |
| মৌলিক সীমাবদ্ধতা | প্রয়োজনীয় | হাঁ | cA ক্ষেত্রটি সত্য সেট করতে হবে pathLenConstraint ক্ষেত্রটি উপস্থিত থাকা উচিত |
| সিআরএল বিতরণ পয়েন্ট | প্রয়োজনীয় | না | কমপক্ষে একটি সর্বজনীনভাবে অ্যাক্সেসযোগ্য HTTP |
| (বিঃদ্রঃ) | প্রত্যাহার সার্ভারগুলিকে অবশ্যই CA/ব্রাউজার ফোরাম বেসলাইন প্রয়োজনীয়তা সার্টিফিকেট নীতিমালার নিম্নলিখিত বিভাগগুলি মেনে চলতে হবে যা পাবলিকলি-ট্রাস্টেড সার্টিফিকেট ইস্যু এবং পরিচালনার জন্য, সংস্করণ 1.3.2 বা তার বেশি:
| ||
| অন্য কোনও এক্সটেনশন | উপস্থিত থাকতে পারেন | ||
ইন্টারমিডিয়েট সিএ সার্টিফিকেট যা শেষ সত্তাকে ইস্যু করে
গুরুত্বপূর্ণ : চেইনে কমপক্ষে একটি ইন্টারমিডিয়েট CA সার্টিফিকেট থাকতে হবে । অর্থাৎ, রুট সরাসরি এন্ড-এন্টিটি সার্টিফিকেট ইস্যু করবে না ।
| মাঠ | মূল্য | ||
|---|---|---|---|
| সংস্করণ | সংস্করণ ৩ | ||
| ক্রমিক সংখ্যা | শূন্য (0) এর চেয়ে বড় হতে হবে, এবং যখন DER কে INTEGER হিসেবে এনকোড করা হবে, তখন 20 বাইটের কম বা সমান হতে হবে। | ||
| স্বাক্ষর অ্যালগরিদম | SHA-256 , SHA-384 , বা SHA-512 সহ RSA। অথবা SHA-256 , SHA-384 , বা SHA-512 সহ ECDSA। | ||
| ইস্যুকারী ডিএন | ইস্যুকারী CA-এর Subject DN-এর সাথে বাইট-ফর-বাইটের মিল থাকতে হবে। | ||
| বৈধতার সময়কাল | আগে না হওয়া এবং পরে না হওয়া এর মধ্যে পার্থক্য ১০ বছরের বেশি হওয়া উচিত নয় এবং ২০ বছরের বেশি হওয়া উচিত নয়। | ||
| বিষয় ডিএন | CA এর ব্যবহার নির্দেশ করতে হবে। | ||
| বিষয় পাবলিক কী তথ্য | 2048, 3072, অথবা 4096 এর RSA মডিউলাস সহ rsaEncryption। অথবা secp256r1 অথবা secp384r1 ব্যবহার করে ecPublicKey | ||
| এক্সটেনশন | উপস্থিতি | সমালোচনামূলক | মূল্য |
| মূল ব্যবহার | প্রয়োজনীয় | হাঁ | বিট পজিশনগুলি নিম্নলিখিতগুলির জন্য সেট করা আবশ্যক: অন্যান্য বিট পজিশন সেট করা উচিত নয় |
| বর্ধিত কী ব্যবহার | প্রয়োজনীয় | হয় | উপস্থিত থাকতে হবে: ইমেইলসুরক্ষা উপস্থিত থাকা উচিত নয়: সার্ভারঅথ কোডসাইনিং টাইমস্ট্যাম্পিং anyExtendedKeyUsage সম্পর্কে |
মৌলিক সীমাবদ্ধতা | প্রয়োজনীয় | হাঁ | cA ক্ষেত্রটি সত্য সেট করতে হবে |
| সার্টিফিকেট নীতিমালা | ঐচ্ছিক | না | একটি পলিসি আইডেন্টিফায়ার প্রদান করা উচিত যা CA যে নীতির অধীনে কাজ করে তা চিহ্নিত করে এবং এটি anyPolicy হওয়া উচিত নয়। |
| সিআরএল বিতরণ পয়েন্ট | প্রয়োজনীয় | না | কমপক্ষে একটি সর্বজনীনভাবে অ্যাক্সেসযোগ্য HTTP |
| (বিঃদ্রঃ) | প্রত্যাহার সার্ভারগুলিকে অবশ্যই CA/ব্রাউজার ফোরাম বেসলাইন প্রয়োজনীয়তা সার্টিফিকেট নীতিমালার নিম্নলিখিত বিভাগগুলি অনুসারে পরিচালিত হতে হবে যা পাবলিকলি-ট্রাস্টেড সার্টিফিকেট ইস্যু এবং পরিচালনার জন্য , সংস্করণ 1.3.2 বা তার বেশি:
| ||
| অন্য কোনও এক্সটেনশন | ঐচ্ছিক | না | উপস্থিত থাকতে পারে। |
শেষ সত্তার শংসাপত্র
| মাঠ | মূল্য | ||
|---|---|---|---|
| সংস্করণ | সংস্করণ ৩ | ||
| ক্রমিক সংখ্যা | শূন্য (0) এর চেয়ে বড় হতে হবে এবং কমপক্ষে 64টি অপ্রত্যাশিত বিট থাকতে হবে। দ্রষ্টব্য: CA/ব্রাউজার ফোরাম বেসলাইন প্রয়োজনীয়তা সার্টিফিকেট নীতি শেষ সত্তা সিরিয়াল নম্বর এনট্রপি প্রয়োজনীয়তা প্রতিফলিত করার জন্য আপডেট করা হবে। | ||
| স্বাক্ষর অ্যালগরিদম | SHA-256 , SHA-384 , বা SHA-512 সহ RSA। অথবা SHA-256 , SHA-384 , বা SHA-512 সহ ECDSA। | ||
| ইস্যুকারী ডিএন | ইস্যুকারী CA-এর Subject DN-এর সাথে বাইট-ফর-বাইটের মিল থাকতে হবে। | ||
| বৈধতার সময়কাল | NotBefore এবং NotAfter এর মধ্যে পার্থক্য ২৭ মাসের বেশি হওয়া উচিত নয়। আগে নয়, সময় অবশ্যই স্বাক্ষরের সময় যোগ বা বিয়োগ 48 ঘন্টা প্রতিনিধিত্ব করবে। | ||
| বিষয় ডিএন | ইমেল ঠিকানা ব্যতীত অন্য যেকোনো বিষয় সম্পর্কিত বিশিষ্ট নাম জারি করার আগে কঠোরভাবে যাচাই করতে হবে, একটি সর্বজনীনভাবে নথিভুক্ত এবং নিরীক্ষিত পদ্ধতি ব্যবহার করে। গ্রহণযোগ্য পদ্ধতির জন্য CA/ব্রাউজার ফোরাম বেসলাইন প্রয়োজনীয়তা সার্টিফিকেট নীতিমালার বিভাগ 3.2.3 "ব্যক্তিগত পরিচয়ের প্রমাণীকরণ", সংস্করণ 1.3.2 বা তার বেশি দেখুন। যেকোনো ইমেল ঠিকানা (উদাহরণস্বরূপ, commonName বা emailAddress ক্ষেত্রে) অবশ্যই Subject Alternate Name এক্সটেনশনে rfc822Name হিসেবে উপস্থিত থাকতে হবে। | ||
| বিষয় পাবলিক কী তথ্য | 2048, 3072, অথবা 4096 এর RSA মডিউলাস সহ rsaEncryption। অথবা secp256r1 অথবা secp384r1 ব্যবহার করে ecPublicKey | ||
| এক্সটেনশন | উপস্থিতি | সমালোচনামূলক | মূল্য |
| কী ব্যবহার (RSA) | প্রয়োজনীয় | হাঁ | বিট পজিশন অবশ্যই যেকোনো একটির জন্য সেট করতে হবে: অন্যান্য বিট পজিশন সেট করা উচিত নয়। |
| কী ব্যবহার (ECDH) | প্রয়োজনীয় | বিট পজিশনগুলি নিম্নলিখিতগুলির জন্য সেট করা আবশ্যক: অন্যান্য বিট পজিশন সেট করা উচিত নয়। | |
| বর্ধিত কী ব্যবহার | প্রয়োজনীয় | হয় | উপস্থিত থাকতে হবে: |
মৌলিক সীমাবদ্ধতা | ঐচ্ছিক | হয় | যদি থাকে, তাহলে cA ক্ষেত্রটি সত্য সেট করা উচিত নয় |
| সার্টিফিকেট নীতিমালা | প্রয়োজনীয় | না | উপস্থিত থাকতে হবে: একটি পলিসি আইডেন্টিফায়ার প্রদান করতে হবে যা সেই পলিসিটি চিহ্নিত করে যার অধীনে সার্টিফিকেটটি জারি করা হয়েছিল, এবং এটি কোনও পলিসি হতে পারবে না। উপস্থিত থাকতে পারে: cps , যদি উপস্থিত থাকে, তাহলে অবশ্যই সেই CPS-এর সাথে একটি বৈধ HTTP বা HTTPS লিঙ্ক থাকতে হবে যার অধীনে সার্টিফিকেটটি জারি করা হয়েছিল। |
কর্তৃপক্ষের তথ্য অ্যাক্সেস | ঐচ্ছিক | না | caIssuers এবং, যদি থাকে, ocsp , তাহলে কমপক্ষে একটি সর্বজনীনভাবে অ্যাক্সেসযোগ্য HTTP uniformResourceIdentifier থাকতে হবে। অ্যাক্সেসডেসক্রিপশনে এমন কোনও লেবেল বা প্যারামিটার থাকা উচিত নয় যা কোনও পৃথক শংসাপত্রের জন্য নির্দিষ্ট। |
| সিআরএল বিতরণ পয়েন্ট | প্রয়োজনীয় | না | সর্বজনীনভাবে অ্যাক্সেসযোগ্য অন্তত একটি |
(বিঃদ্রঃ) | প্রত্যাহার সার্ভারগুলিকে অবশ্যই CA/ব্রাউজার ফোরাম বেসলাইন প্রয়োজনীয়তা সার্টিফিকেট নীতিমালার নিম্নলিখিত বিভাগগুলি অনুসারে কাজ করতে হবে যা পাবলিকলি-ট্রাস্টেড সার্টিফিকেট ইস্যু এবং পরিচালনার জন্য , সংস্করণ 1.3.2 বা তার বেশি:
| ||
বিষয়ের বিকল্প নাম | প্রয়োজনীয় | না | rfc822Name ধরণের কমপক্ষে একটি আইটেম থাকতে হবে। |
অন্য কোনও এক্সটেনশন | ঐচ্ছিক | না | উপস্থিত থাকতে পারে। |