সিএ রুটের শংসাপত্রগুলি সমস্ত এসএইএ -1 স্বাক্ষরিত (যেহেতু এসএএএ -1 হ্রাস করা হয়)?

Question

আমি বুঝতে পারি যে এসএসএ -১ ব্যবহার করে এসএসএল শংসাপত্রগুলি স্বাক্ষর করা যাবে না। তবুও, সমস্ত সিএ রুটের শংসাপত্রগুলি SHA-1 স্বাক্ষরিত (বেশিরভাগ)। এর অর্থ কি একই অ্যালগরিদম যা "আপনার দাদী এসএসএল শপ" এর জন্য বিশ্বস্ত নয় এটি বিশ্বের সর্বোচ্চ শীর্ষ সুরক্ষিত শংসাপত্রের জন্য ভাল?

আমি কিছু অনুপস্থিত করছি? (কী ব্যবহার? কী আকার?)

Comments

এটি সত্য নয় যে "সমস্ত" সিএ রুটের শংসাপত্রগুলি SHA1।

— গ্রেগ অ্যাস্কিউ

রুট শংসাপত্রগুলি বিশ্বদর্শনে অনুমান শুরু করার মতো। তাদের বিশ্বাস করতে বিশ্বাসের প্রয়োজন।

— রায় টিঙ্কার

ছাড়া @RoyTinker আমি চিন্তা করিতে পারি অতএব সমষ্টি (: ভিত্তিগত সন্দেহ দেখতে, এবং এটি উত্তর কার্টিজিয়ান সন্দেহের )?

— নিক টি

ক্রস-স্ট্যাক: security.stackexchange.com/questions/120301/... এবং superuser.com/questions/1122069/...

— dave_thompson_085

@NickT: Play এটি নিরাপদ - আমি চিন্তা করিতে পারি অতএব আমি চিন্তা করিতে পারি ;-)

— tonysdg

Answer 1

রুট সিএ শংসাপত্রগুলির স্বাক্ষর কোনও বিষয় নয়, কারণ সেগুলি যাচাই করার দরকার নেই। তারা সকলেই স্ব-স্বাক্ষরিত।

আপনি যদি কোনও মূল সিএ শংসাপত্র বিশ্বাস করেন তবে এর স্বাক্ষর যাচাই করার দরকার নেই। আপনি যদি এটি বিশ্বাস না করেন তবে এর স্বাক্ষর আপনার পক্ষে মূল্যহীন।

সম্পাদনা করুন: নীচে কিছু খুব প্রাসঙ্গিক মন্তব্য আছে। আমি তাদের অনুলিপি করা বা পুনরায় প্রকাশ করা এবং তাদের লেখকের পরিবর্তে কৃতিত্ব নিতে স্বাচ্ছন্দ্য বোধ করি না। তবে আমি এই উত্তরে ব্যাখ্যা যুক্ত করার জন্য লোকদের স্বাগত জানাই।

Comments

কেন তারা আদৌ স্বাক্ষরিত হয়েছে

— রিচার্ড টিংল

কারণ সিস্টেমটি স্বাক্ষরিত নয় এমন শংসাপত্রগুলি সমর্থন করে না।

— অরেঞ্জডগ

আমার কাছে মনে হচ্ছে একটি ক্র্যাকযোগ্য রুট সার্টের সাথে উদ্বেগটি "আপনি জানেন না যে আপনি কোথা থেকে মূল শংসাপত্রটি পেয়েছেন", বরং "আপনি জানেন না যে অন্য কেউ এই শংসাপত্রটি ক্র্যাক করতে এবং এটি ব্যবহার করতে সক্ষম হয়েছেন? তারা যা চায় সই করতে " এবং আপনার উত্তর থেকে মনে হয় যে দুটি (শংসাপত্র এবং প্রত্যয় স্বাক্ষর) পৃথক উদ্বেগ, এবং শংসাপত্রটি নিজেই যথাযথভাবে সুরক্ষিত এবং অবরুদ্ধ নয়?

— দেউই মরগান

আমি "তাদের যাচাই করার দরকার নেই" এর চেয়ে আরও এগিয়ে যাব। একটি শংসাপত্র শৃঙ্খলে স্বাক্ষরের উদ্দেশ্য হ'ল একটি উচ্চতর কর্তৃপক্ষ নিম্নতর কর্তৃপক্ষকে শংসাপত্র দেয়। রুট সিএর জন্য, সংজ্ঞা অনুসারে উচ্চতর কর্তৃত্ব নেই (এটি "মূল" এর অর্থ), সুতরাং এমন কেউ নেই যিনি সম্ভবত শংসাপত্রটিতে স্বাক্ষর করতে পারেন । যেহেতু উল্লিখিত ছিল, শংসাপত্রগুলি অবশ্যই স্বাক্ষর করতে হবে, মূল সিএগুলি "ডামি" স্বাক্ষর সহ স্বাক্ষরিত হয় এবং এটি করার সহজ উপায় হ'ল স্বাক্ষর। সুতরাং, কেবল যাচাই করার দরকার নেই, মূল সিএ এর স্বাক্ষর যাচাই করার খুব ধারণাটি সংবেদনশীল নয় ।

— J:10rg ডব্লু মিটাগ

@ দেবীমোরগান আপনি একটি হ্যাশের সংঘর্ষের সাথে একটি মূল শংসাপত্রকে "ক্র্যাক" করতে পারবেন না, কারণ ক্লায়েন্ট নিজের (স্ব-) স্বাক্ষর নয় , সেই সার্টিটিতেই বিশ্বাস করে । আপনাকে ব্যক্তিগত কীটি পুনরুদ্ধার করতে হবে যা হ্যাশ অ্যালগরিদমে নয়, আরএসএ-এর আক্রমণ।

— zwol

Answer 2

দিন শেষে, একটি মূল শংসাপত্র স্ব স্বাক্ষরিত হয়। এটি নিজে ছাড়া আর কোনও সত্তা স্বাক্ষরিত হয় না। রুট শংসাপত্রটি বিশ্বস্ত প্রকাশকদের ব্রাউজারগুলির তালিকায় এটি জমা দেওয়া বা উইন্ডোজ বিশ্বস্ত প্রকাশকদের ডিফল্ট তালিকায় প্রবেশের জন্য মাইক্রোসফ্ট দ্বারা গ্রহণ করা যেমন আউট-অফ-ব্যান্ড প্রক্রিয়াগুলির মাধ্যমে তার আস্থা অর্জন করে।

এই শংসাপত্রগুলি (এবং যে সংস্থাগুলি সেগুলি স্ব-স্বাক্ষর করেছে) কেবলমাত্র তাদের স্বাক্ষর ছাড়া অন্য উপায়ে পুরোপুরি পরীক্ষা করা হয়েছে।

Comments

উল্লেখ করার দরকার নেই, রুট শংসাপত্রটি আপডেট করার জন্য সেই ব্যাক-অফ-ব্যান্ড প্রক্রিয়াটি আবার শুরু করা দরকার।

— কাইথার

"কথিত, আশাবাদী" এর জন্য +1

— নাথান ওসমান

Answer 3

কেবলমাত্র এটির ক্ষেত্রেই মূলটি SHA-1 দ্বারা স্বাক্ষরিত হলে এটি SHA-1 দ্বারা বাতিল করা যেতে পারে। এটি, SHA-1 আক্রমণ করতে পারে এমন কেউ শিকড়টির জন্য একটি প্রত্যাহার তৈরি করতে পারে। এবং আমি পুরোপুরি নিশ্চিত যে ব্রাউজার কীভাবে তা বজায় রাখতে জানে না তাই ভ্যান্ডালটি এসএসএল সংযোগগুলি বাদ দেওয়ার চেয়ে বেশি কিছু করতে পারেনি। কিভাবে পঙ্গু.

Comments

এটি একটি আকর্ষণীয় চিন্তাভাবনা তবে আমি সন্দেহ করি এটি এইভাবে কাজ করবে। আমার অনুমান যে প্রতিটি এজেন্টের নিজস্ব স্বতন্ত্র আচরণ থাকবে তবে আমি সন্দেহ করি যে কোনও বিকাশকারীদের ধারণা ছিল যে প্রত্যাহার তালিকাটি রুট সার্টগুলি প্রত্যাহার পরিচালনা করতে ব্যবহৃত হবে। খুব কমপক্ষে, যদি এটি কিছু ক্ষেত্রে কাজ করে তবে এটি সফ্টওয়্যার প্রত্যাহারের বিমূর্ততার কারণে এবং বিকাশকারীরা ইচ্ছাকৃতভাবে নয়।

— পিটার ওহেলার্ট

Answer 4

এটির একটি নোট হিসাবে, কিছু সিএ ইতিমধ্যে তাদের মূল এবং মধ্যবর্তী শংসাপত্রগুলি SHA256 এ যাইহোক আপডেট করে চলেছে।

আমি জানি যে গত বছর গ্লোবাল সাইন তাদের শংসাপত্রগুলি আপডেট করে যাচ্ছিল যেহেতু আমরা আমাদের কোড-সাইনিং শংসাপত্রগুলি আপডেট করেছিলাম, তাই আমাকেও তাদের নতুন চেইন যুক্ত করতে হয়েছিল।

কোন নির্দিষ্ট শংসাপত্রগুলি আপডেট হয়েছে এবং কোনগুলি সেগুলি আপডেট করেছে তা আপনি যাচাই করতে পারেন তবে এখানকার জন্য একটি উত্তরাধিকারী SHA1 শংসাপত্রও রেখেছেন => 1 left

আশা করি এইটি কাজ করবে.

Answer 5

রুট সিএর জন্য, আপনি সিআরটির অন্তর্গত সিএ-এর পাবলিক কীতে আপনাকে বিশ্বাস দিয়েছেন - এর স্ব স্বাক্ষর নির্বিশেষে।

কাঁচা জনসাধারণের কী পরিবর্তে সিআরটি ফাইল ফর্ম্যাট ব্যবহার করে সিএ বর্ণনা করা .পিইএম এতে আরও বিশদ - যেমন সিএ নাম - বান্ডিল করতে দেয় ((আবারও স্বাক্ষরটি মূল্যহীন)

Answer 6

আছে খুব পুরানো যুগের, বেশিরভাগ 2006 বা তার আগে ইতিমধ্যে পিনযুক্ত বিশ্বস্ত SHA1 এ রুট শংসাপত্রগুলি আছে যা ব্রাউজার গ্রহণ, কিন্তু না কোন নতুন সার্টিফিকেট। ফায়ারফক্স এবং ক্রোম কখন একক ডিজিট ব্যবহার করে সংস্করণ করা হয়েছিল মনে আছে?

শংসাপত্রগুলি ব্যর্থ হয় যদি রুট সিএ SHA1 শংসাপত্রগুলি 2014 এর পরে কোনও কিছুতে সেট করার আগে নয় এর সাথে ব্যবহার করে। প্রকৃত তারিখের সীমাবদ্ধতা ব্রাউজার বা অন্যান্য অ্যাপ্লিকেশানের উপর নির্ভর করে। ওয়েবসিএ ক্যাবফরম কয়েক বছর আগে এটি পরিষ্কার করে দিয়েছে। এটি নিজে পরীক্ষা করুন:

1. একটি SHA1 এর সাথে স্বাক্ষরযুক্ত একটি ব্যক্তিগত রুট শংসাপত্র কর্তৃপক্ষের অবকাঠামো তৈরি করুন, এটিকে rootSHA1 বলুন
2. রুট এসএএইচএ একটি "ইস্যু করা" সিএ বা "ইন্টারমিডিয়েট" সিএ তৈরি করুন যা মূল পর্যন্ত বেঁধে রাখা শংসাপত্রের সাথে শংসাপত্র জারি করে। এটিকে মধ্যবর্তী এসএইচ 256 বলুন।
3. ইন্টারমিডিয়েট এসএইচ 256 জারি করে সিএ একটি sha256 বা আরও বেশি হ্যাশ দিয়ে স্বাক্ষরিত একটি শংসাপত্র তৈরি করুন। এটিকে ওয়েব সার্ভার এসএইচ 256 বলে।
4. ওয়েব সার্ভারএসএইচ 256. ওয়েব সার্ভারএসএইচ 56.mydomain.com এ ইনস্টল করুন।
5. গুগল ক্রোমে যথাযথ স্থানে rootSHA1, মধ্যবর্তী SHA256 এবং ওয়েব সার্ভার SHA256 শংসাপত্রগুলি ইনস্টল করুন। বিশ্বস্ত রুট শংসাপত্র কর্তৃপক্ষ এবং শংসাপত্র শৃঙ্খলা সহ অন্যদের মধ্যে রুট ইনস্টল করুন।
6. Https://webServerSHA256.mydomain.com/ এ গুগল ক্রোম নেভিগেট করুন এবং ওয়েবসভারএসএইচ 256 এর জন্য কোনও সবুজ প্যাডলক নেই তা যাচাই করুন। পরীক্ষা ব্যর্থ হয়।

Comments

এটা বেশ ভুল। মধ্যবর্তী শংসাপত্রগুলি (এবং EE./leaf শংসাপত্র) SHA2 প্রয়োজন, কিন্তু শিকড় নেই। গুগলের নিজস্ব শংসাপত্রগুলি তাদের প্রাইভেট সিএ (গুগল ইন্টারনেট কর্তৃপক্ষ জি 3) এর মাধ্যমে গ্লোবাল সিগন রুট সিএ আর 2 - যা SHA1 - এবং Chrome এর দ্বারা স্বীকৃত নয়।

— dave_thompson_085

হ্যাঁ those পিনযুক্ত SHA1 শংসাপত্রগুলি গ্রহণযোগ্য, তবে কোনও নতুন SHA1 রুট শংসাপত্র নয় এমনকি যদি আপনি এটি নিজের বিশ্বাসযোগ্য রুট শংসাপত্রের দোকানে যুক্ত করেন। আমার উত্তরে একটি পরীক্ষার কেস যুক্ত হয়েছে।

— rjt