PKI ও সার্টিফিকেট — X.509, CA ট্রাস্ট চেইন

১ · সমস্যাটা কী — পাবলিক কী কার, তা কীভাবে জানবেন?

L35-এ আমরা দেখেছি অ্যাসিমেট্রিক এনক্রিপশনAsymmetric Encryptionপাবলিক ও প্রাইভেট — দুটি ভিন্ন কী ব্যবহার করে এনক্রিপশন। L35-এ বিস্তারিত কভার হয়েছে। কীভাবে key-distribution সমস্যা সমাধান করে: আপনি পাবলিক কী খোলাখুলি শেয়ার করতে পারেন। কিন্তু একটি নতুন সমস্যা তৈরি হয় — আপনি যে পাবলিক কী পেলেন, সেটা কি সত্যিই আপনার ব্যাংকের ওয়েবসাইটের, নাকি একজন আক্রমণকারী মাঝখানে বসে নিজের পাবলিক কী পাঠিয়ে দিয়েছে (একটি Man-in-the-MiddleMITMদুই পক্ষের মাঝে বসে যোগাযোগ গোপনে পড়া বা পরিবর্তন করা। L09-এ বিস্তারিত। পরিস্থিতি)? শুধু একটি পাবলিক কী দেখে সেটা যাচাই করার কোনো উপায় নেই — আপনার একটি বিশ্বস্ত তৃতীয় পক্ষের প্রয়োজন যে নিশ্চিত করবে "এই পাবলিক কী-টি সত্যিই এই ডোমেইনের।"

এই ঠিক সমস্যাটাই সমাধান করে PKIPublic Key Infrastructureপাবলিক কী, ডিজিটাল সার্টিফিকেট, Certificate Authority ও ট্রাস্ট চেইন — একসাথে মিলে একটি পরিচয়-যাচাই ব্যবস্থা তৈরি করে। — মানুষ, ডিভাইস ও সার্ভিসের পরিচয়কে পাবলিক কী-এর সাথে নির্ভরযোগ্যভাবে বেঁধে দেওয়ার একটি সম্পূর্ণ ব্যবস্থা।

২ · Certificate Authority (CA) ও X.509 সার্টিফিকেট

একটি Certificate Authority (CA)Certificate Authorityএকটি বিশ্বস্ত প্রতিষ্ঠান যারা একটি পরিচয়ের দাবি যাচাই করে এবং একটি ডিজিটাল সার্টিফিকেটে নিজের প্রাইভেট কী দিয়ে স্বাক্ষর করে। এমন একটি বিশ্বস্ত প্রতিষ্ঠান যাদের কাজ হলো — একটি ওয়েবসাইট বা সংস্থার পরিচয় যাচাই করে, তাদের পাবলিক কী-কে সেই পরিচয়ের সাথে বেঁধে একটি X.509 সার্টিফিকেটX.509ডিজিটাল সার্টিফিকেটের একটি স্ট্যান্ডার্ড ফরম্যাট — এতে থাকে ডোমেইন নাম, পাবলিক কী, মেয়াদ, এবং জারিকারী CA-এর ডিজিটাল স্বাক্ষর। তৈরি করে, এবং তাতে নিজের প্রাইভেট কী দিয়ে ডিজিটালি স্বাক্ষর করে (ডিজিটাল সিগনেচার — L36 দ্রষ্টব্য)। যে কেউ CA-এর পাবলিক কী দিয়ে এই স্বাক্ষর যাচাই করতে পারে, নিশ্চিত করতে পারে যে সার্টিফিকেটটি সত্যিই সেই CA দিয়ে জারি হয়েছে এবং পরে পরিবর্তিত হয়নি।

৩ · ট্রাস্ট চেইন — Root থেকে Leaf পর্যন্ত

যখন আপনার ব্রাউজার একটি ওয়েবসাইটে সংযুক্ত হয়, সার্ভার তার নিজের ("Leaf") সার্টিফিকেট পাঠায়। ব্রাউজার সরাসরি সেটা বিশ্বাস করে না — বরং উপরের দিকে হাঁটে: Leaf সার্টিফিকেট কে সাইন করেছে? সেই Intermediate CA-কে কে সাইন করেছে? এভাবে চলতে চলতে যদি ব্রাউজার একটি এমন Root CA-তে পৌঁছায় যা তার নিজের বিশ্বস্ত-রুট তালিকায় আগে থেকেই আছে, তাহলে পুরো চেইন বিশ্বস্ত বলে গণ্য হয়। যদি চেইন কোথাও ভেঙে যায় — কোনো অজানা জারিকারীতে দাঁড়িয়ে যায়, বা একটি সার্টিফিকেট নিজেই নিজেকে সাইন করেছে (self-signed) অথচ Root তালিকায় নেই — তাহলে ব্রাউজার সেটা অবিশ্বস্ত ধরে নেয় এবং ব্যবহারকারীকে সতর্ক করে।

৪ · কোড: একটি ট্রাস্ট চেইন সিমুলেশন

নিচের কোডটি একটি সরল, ইন-মেমরি সার্টিফিকেট চেইন সিমুলেট করে — প্রতিটি সার্টিফিকেট কার দ্বারা সাইন হয়েছে তা একটি dictionary-তে রাখা আছে। verify_chain() ফাংশনটি ঠিক ব্রাউজারের যুক্তি অনুসরণ করে: উপরের দিকে হাঁটতে থাকে, যতক্ষণ না একটি বিশ্বস্ত রুটে পৌঁছায় বা একটি ডেড-এন্ডে আটকে যায়।

chain = {
    "abcltech.com": "Intermediate CA - SecureNet",
    "Intermediate CA - SecureNet": "Root CA - GlobalTrust",
    "Root CA - GlobalTrust": "Root CA - GlobalTrust",   # রুট নিজেই নিজের জারিকারী
    "evil-lookalike.com": "evil-lookalike.com",         # সেলফ-সাইনড, কোনো CA নেই
}

trusted_roots = {"Root CA - GlobalTrust"}

def verify_chain(cert_name, chain, trusted_roots, max_hops=10):
    current = cert_name
    path = [current]
    for _ in range(max_hops):
        if current in trusted_roots:
            return True, path
        issuer = chain.get(current)
        if issuer is None or issuer == current:
            return False, path   # ডেড-এন্ড বা সেলফ-সাইনড, বিশ্বস্ত রুটে পৌঁছায়নি
        current = issuer
        path.append(current)
    return False, path

ok1, path1 = verify_chain("abcltech.com", chain, trusted_roots)
ok2, path2 = verify_chain("evil-lookalike.com", chain, trusted_roots)

print("abcltech.com এর চেইন: ", " -> ".join(path1))
print("যাচাই ফলাফল:          ", "বিশ্বস্ত" if ok1 else "অবিশ্বস্ত")
print()
print("evil-lookalike.com এর চেইন:", " -> ".join(path2))
print("যাচাই ফলাফল:              ", "বিশ্বস্ত" if ok2 else "অবিশ্বস্ত")

৫ · আক্রমণকারী ও রক্ষক — উভয় দৃষ্টিকোণ

একজন আক্রমণকারী একটি ভুয়া/অবৈধ সার্টিফিকেট ব্যবহার করে একটি সাইট নকল করার চেষ্টা করতে পারে (উদাহরণ: paypa1.com-এর জন্য একটি self-signed বা অবৈধভাবে প্রাপ্ত সার্টিফিকেট) — কিন্তু যেহেতু কোনো বৈধ CA সেটিকে সাইন করেনি, ব্রাউজার ওয়ার্নিং দেখাবে। রক্ষক হিসেবে, প্রতিষ্ঠানগুলো নিশ্চিত করে যে তাদের সার্টিফিকেট মেয়াদ শেষ হওয়ার আগেই রিনিউ হয় (মেয়াদ শেষ হওয়া মানেই ব্যবহারকারীর সামনে একটি অপ্রয়োজনীয় সতর্কবার্তা, যা ব্যবহারকারীদের "সব ওয়ার্নিং উপেক্ষা করার" অভ্যাস তৈরি করে দিতে পারে — নিজেই একটি নিরাপত্তা ঝুঁকি)। এথিক্যাল হ্যাকিং টেস্টিং-এ, সার্টিফিকেট ভ্যালিডেশন ভুলভাবে বাইপাস করা হয়েছে কি না (যেমন একটি অ্যাপ যা সব সার্টিফিকেট ওয়ার্নিং উপেক্ষা করে) তা যাচাই করা একটি সাধারণ ও গুরুত্বপূর্ণ পরীক্ষার আইটেম — কিন্তু শুধুমাত্র লিখিত অনুমতিসহ, নিজের বা অনুমোদিত পরিবেশে।