भारत में IT Act, 2000 के तहत Controller of Certifying Authorities (CCA) घरेलू सर्टिफ़ाइंग अथॉरिटीज़ (जैसे e-Mudhra, NIC, Capricorn) को लाइसेंस देता है, जिनके सर्टिफ़िकेट भारत के CCA रूट तक चेन करते हैं। यही Digital Signature Certificate (DSC) है जो इनकम टैक्स ई-फ़ाइलिंग, GST रिटर्न और कंपनी रजिस्ट्रार फ़ाइलिंग के लिए ज़रूरी होता है — और यह रूट किसी भी ब्राउज़र में डिफ़ॉल्ट रूप से भरोसेमंद नहीं है।
सर्टिफ़िकेट किन फ़ील्ड से बनता है
- Subject — सर्टिफ़िकेट किसे जारी किया गया (डोमेन, ऑर्गनाइज़ेशन, या DSC के मामले में कोई व्यक्ति/कंपनी)।
- Issuer — सर्टिफ़िकेट किसने जारी किया (सर्टिफ़िकेट अथॉरिटी, CA)।
- वैलिडिटी पीरियड — सर्टिफ़िकेट की वैधता शुरू और ख़त्म होने की तारीख़ें।
- पब्लिक की — सुरक्षित कनेक्शन बनाने या सिग्नेचर वेरिफ़ाई करने के लिए इस्तेमाल होने वाली की।
- डिजिटल सिग्नेचर — जारीकर्ता का सिग्नेचर, जो बाक़ी सभी फ़ील्ड की प्रामाणिकता कन्फ़र्म करता है।
वही फ़ॉर्मेट, अलग ट्रस्ट चेन
DSC और किसी वेबसाइट का TLS सर्टिफ़िकेट बिल्कुल एक जैसे X.509 स्ट्रक्चर और चेन-ऑफ़-ट्रस्ट मैकेनिज़्म इस्तेमाल करते हैं — एक इंटरमीडिएट CA फ़ाइनल सर्टिफ़िकेट साइन करता है, और एक रूट CA उस इंटरमीडिएट को साइन करता है। फ़र्क़ सिर्फ़ इतना है कि कौन-सा ट्रस्ट स्टोर उसे चेक करता है: DSC सॉफ़्टवेयर CCA के रूट पर भरोसा करता है, जबकि ब्राउज़र HTTPS के लिए बिल्कुल अलग कमर्शियल रूट्स पर भरोसा करता है — दोनों चेन का मिलना ज़रूरी नहीं।
वैलिडिटी पीरियड सीमित क्यों है
सीमित वैलिडिटी पीरियड (मॉडर्न वेब सर्टिफ़िकेट के लिए आमतौर पर 90 दिन से 1 साल, DSC के लिए अक्सर 1-2 साल) किसी कॉम्प्रोमाइज़्ड प्राइवेट की से होने वाले जोखिम को कम करता है और मौजूदा सिक्योरिटी स्टैंडर्ड के हिसाब से क्रिप्टोग्राफ़िक पैरामीटर को नियमित रूप से अपडेट करने पर मजबूर करता है।
यह किस काम आता है
- वेब सर्वर सेट करते समय SSL सर्टिफ़िकेट की समस्याएँ डायग्नोज़ करना।
- बाहरी सर्विसेज़ का सहारा लिए बिना किसी सर्टिफ़िकेट की वैलिडिटी पीरियड और जारीकर्ता जाँचना।
- mTLS, क्लाइंट सर्टिफ़िकेट या DSC-आधारित सिस्टम के साथ काम करते समय सर्टिफ़िकेट की संरचना समझना।
स्व-हस्ताक्षरित सर्टिफ़िकेट
किसी सर्टिफ़िकेट पर किसी भी CA की बजाय ख़ुद उसकी अपनी प्राइवेट की से हस्ताक्षर हो सकते हैं — संरचना में यह "असली" X.509 जैसा ही दिखता है, वही फ़ील्ड्स के साथ, लेकिन इसमें Issuer और Subject एक जैसे होते हैं। यह उसी ट्रस्ट सवाल का सबसे चरम रूप है — चेन कहीं नहीं पहुँचती, इसलिए आपके अपने कॉन्फ़िगरेशन के बाहर किसी के पास इस पर भरोसा करने की कोई वजह नहीं होती, इसीलिए यह इंटरनल टेस्टिंग के लिए ठीक है पर बाक़ी हर जगह अविश्वसनीय दिखाया जाता है।