কোড-সাইনিং ট্রাস্ট উইন্ডো ৪৬০ দিনে সংকুচিত হয়েছে

কোড-সাইনিং সার্টিফিকেটের আয়ু শীঘ্রই অনেক কমে যাবে। ১৭ নভেম্বর ২০২৫-এ অনুমোদিত একটি নতুন শিল্প নিয়ম তাদের সর্বোচ্চ বৈধতা ৩৯ মাস থেকে ৪৬০ দিনে কমিয়ে আনে, যা ১ মার্চ ২০২৬ থেকে কার্যকর হবে। এই পরিবর্তনটি আপডেট করা Code Signing Baseline Requirements v3.10.0-এ প্রদর্শিত হয়।

কর্মদল গোষ্ঠীর সকল প্রধান CA এই পরিবর্তনকে সমর্থন করেছে: ৭টি “হ্যাঁ” ভোট দিয়েছে, ২টি সংযুক্তি ছাড়াই ছিল, কোনোটিই বিরোধিতা করেনি। প্ল্যাটফর্ম পক্ষে, একমাত্র অংশগ্রহণকারী বিক্রেতা Microsoft-ও “হ্যাঁ” ভোট দিয়েছে। এই স্পষ্ট সর্বসম্মতি কঠোর সার্টিফিকেট স্বাস্থ্যবিধির দিকে ব্যাপক শিল্প সারিবদ্ধতার ইঙ্গিত দেয়।

কী সংক্ষিপ্ত সার্টিফিকেট জীবনকালের জন্য এই ঠেলাকে চালিত করছে?

২০২৪ সালের শেষে, HarfangLab-এর গবেষকরা Hijack Loader অপারেশন আবিষ্কার করেছেন, এমন একটি প্রচারাভিযান যেখানে অপরাধীরা বৈধ কোড-সাইনিং সার্টিফিকেট ব্যবহার করে ম্যালওয়্যার স্বাক্ষর করেছিল যা Lumma তথ্য চুরির সরঞ্জাম স্থাপন করার জন্য তৈরি। ফাইলগুলি বৈধ স্বাক্ষর বহন করার কারণে, ম্যালওয়্যার অনেক নিরাপত্তা পরীক্ষা অতিক্রম করেছে এবং একটি স্বাক্ষরবিহীন পেলোডের চেয়ে অনেক বেশি শিকারের কাছে পৌঁছেছে।

ডিজিটাল বিশ্বাসে একটি বিস্তৃত পরিবর্তনও ঘটছে। SSL সার্টিফিকেট ইতিমধ্যে বহু-বছরের বৈধতা থেকে সংক্ষিপ্ত রোটেশন চক্রে স্থানান্তরিত হয়েছে। কোড-সাইনিং এখন একই পথ অনুসরণ করছে। পোস্ট-কোয়ান্টাম ক্রিপ্টোগ্রাফি কাছাকাছি আসার সাথে সাথে, শিল্পের দ্রুত টার্নওভার, পরিষ্কার কী ব্যবস্থাপনা এবং আরও ঘন ঘন যাচাইকরণ প্রয়োজন। দীর্ঘস্থায়ী সার্টিফিকেট সেই রূপান্তরকে ধীর করে এবং নীরব আপস করার জন্য অনেক বেশি জায়গা রেখে যায়।

ডেভেলপারদের জন্য কী পরিবর্তন হয়?

নতুন বৈধতার জানালা সরাসরি উন্নয়ন, রিলিজ এবং বিক্রেতা প্রক্রিয়াগুলিতে অবতরণ করে। এই পরিবর্তন চেইন জুড়ে নতুন অভ্যাস জোরপূর্বক করে:

• দীর্ঘমেয়াদী কীগুলির উপর নির্ভরশীল সিস্টেমগুলির পুনর্গঠন প্রয়োজন হবে: বছরের জন্য সার্টিফিকেট সংরক্ষণকারী বিল্ড সার্ভারগুলি সংক্ষিপ্ত চক্র সহ্য করবে না। দলগুলিকে অবশ্যই সময়সূচী অনুযায়ী কীগুলি ঘোরাতে হবে, বিল্ড কনফিগ আপডেট করতে হবে এবং রিলিজের মাঝে অপ্রত্যাশিত মেয়াদ উত্তীর্ণ রোধ করতে হবে।
• বায়ু-গ্যাপযুক্ত স্বাক্ষর পরিবেশ আরও কঠোর লজিস্টিকের সম্মুখীন হবে: শিল্প নিয়ন্ত্রণ, স্বাস্থ্যসেবা এবং সরকারের মতো সেক্টরগুলি প্রায়শই সার্টিফিকেটগুলি বিচ্ছিন্ন নেটওয়ার্কে হাতে তুলে দেয়। তাদের এখন অনুমানযোগ্য আমদানি চক্র এবং নবীকরণ ট্র্যাকিং প্রয়োজন যাতে স্বাক্ষরিত সফটওয়্যার একটি তাজা সার্ট অপেক্ষা করে থেমে না থাকে।
• লিগেসি স্বাক্ষর সরঞ্জাম আপডেট না হলে বিরতি হবে: পুরানো স্ক্রিপ্টগুলি যা সার্টিফিকেট পথগুলিকে হার্ডকোড করে বা একটি দীর্ঘস্থায়ী কী প্রত্যাশা করে তা সেই কীটি মেয়াদ উত্তীর্ণ হলে ব্যর্থ হবে। পাইপলাইনগুলির স্ট্যাটিক ফোল্ডারের পরিবর্তে গতিশীল সার্টিফিকেট নির্বাচন এবং স্বয়ংক্রিয় পুনরুদ্ধার প্রয়োজন।
• কী-ফাঁস ঘটনাগুলি নিয়ন্ত্রণ করা সহজ হয়ে যায়: আক্রমণকারীরা একটি বহু-বছরের সার্ট নির্ভর করতে পারে না যা লঙ্ঘনের দীর্ঘ পরে বৈধ থাকে। সংস্থাগুলির এখনও দ্রুত প্রত্যাহার করতে হবে, কিন্তু বিস্ফোরণের ব্যাসার্ধ সংকুচিত হয়।
• সম্মতি এবং পরিচয় দলগুলি একটি কঠোর ঘড়িতে কাজ করবে: EV বা সংস্থার যাচাইকরণ পরিচালনা করে এমন দলগুলিকে অবশ্যই তাদের অভ্যন্তরীণ ক্যালেন্ডার সামঞ্জস্য করতে হবে যাতে নবীকরণ বিলম্ব পণ্য রিলিজগুলিকে অবরুদ্ধ না করে।

কোড সাইনিং সার্টিফিকেট উপলব্ধতা এবং HSM প্রয়োজনীয়তা

কোড-সাইনিং বিকল্পগুলি সার্টিফিকেট কর্তৃপক্ষের উপর নির্ভর করে এবং এটি সরাসরি প্রভাবিত করে যে আপনি আপনার কীগুলি কীভাবে পরিচালনা করেন:

• DigiCert এবং GoGetSSL শুধুমাত্র ১-বছরের কোড-সাইনিং সার্টিফিকেট অফার করে। আপনি CA-প্রদত্ত হার্ডওয়্যার নিরাপত্তা মডিউল (HSM) বা আপনার নিজস্ব HSM ব্যবহার করতে পারেন।
• Sectigo (Comodo) আপনাকে ৩ বছর পর্যন্ত সার্টিফিকেটের জন্য অর্ডার করতে দেয়, তবে সেটআপ পরিবর্তন হয়:
  • একটি ১-বছরের সার্টিফিকেটের জন্য, আপনি একটি CA-প্রদত্ত HSM বা আপনার নিজস্ব HSM ব্যবহার করতে পারেন।
  • ২- বা ৩-বছরের সার্টিফিকেটের জন্য, আপনাকে অবশ্যই আপনার নিজস্ব HSM ব্যবহার করতে হবে। কোনো CA হার্ডওয়্যার প্রদান করা হয় না।

যদি আপনি বহু-বছর যান তবে আপনি কী স্টোরেজ এবং নিরাপত্তার সম্পূর্ণ নিয়ন্ত্রণ নিন।

আপনি যে বিল্ডগুলি শিপিং করছেন তখন এর অর্থ কী?

৪৬০-দিনের জানালা একটি জিনিসের উপরে সবকিছু পরিবর্তন করে: সময়। স্বাক্ষর করা একটি বিরল কাজ হওয়া বন্ধ করে এবং আপনার রিলিজ ছন্দের অংশ হয়ে ওঠে। আপনি লক্ষ্য করেন শীঘ্রই যখন একটি সার্ট পুরনো হচ্ছে। এবং আপনার পাইপলাইন পরিষ্কার থাকে কারণ ঘূর্ণন প্রবাহে নির্মিত হয়, জরুরি নয়।

SSL Dragon গ্রাহকদের জন্য, এই পরিবর্তন কীভাবে সবচেয়ে দলগুলি ইতিমধ্যে কাজ করে তার সাথে সারিবদ্ধ হয়। সংক্ষিপ্ত চক্র আধুনিক রিলিজ সময়সূচীর সাথে লাইন আপ হয়, তাই আপনি ডেলিভারির ঠিক আগে একটি মেয়াদ উত্তীর্ণ সার্ট দ্বারা অবাক হওয়ার সম্ভাবনা কম। যদি আপনি ক্লাউড স্বাক্ষর বা HSM-ভিত্তিক কীগুলির দিকে যান, রূপান্তর আরও মসৃণ অনুভব করে এবং ঘূর্ণন পটভূমিতে শান্তভাবে ঘটে।

প্রবণতা স্পষ্ট: সংক্ষিপ্ত বিশ্বাস, দ্রুত ঘূর্ণন

সংক্ষিপ্ত জীবনকাল প্রতিটি সরবরাহ-চেইন ঝুঁকি সমাধান করবে না, তবে তারা শিল্পকে স্বাস্থ্যকর অনুশীলনের দিকে ঠেলে দেয়। স্বাক্ষর কী আর বছরের জন্য অলক্ষিত হয়ে বসতে পারে না এবং রিলিজ ওয়ার্কফ্লোগুলিকে নতুন ছন্দের সাথে সারিবদ্ধ থাকতে হবে। মার্চ ২০২৬ দ্রুত আসছে এবং পাইপলাইনগুলি যা তাড়াতাড়ি খাপ খায় তা পরে স্ক্র্যাম্বল এড়াবে।

SSL Dragon-এর দৃষ্টিভঙ্গি

আমাদের পক্ষ থেকে, এই পরিবর্তনটি ভালো খবর। এটি পরিষ্কার অভ্যাস তৈরি করে এবং একটি হারিয়ে যাওয়া বা চুরি করা কী যে ক্ষতি করতে পারে তা হ্রাস করে। সার্টিফিকেট সমস্যাগুলির সাথে সবচেয়ে বেশি ভুগছেন এমন দলগুলি খুব কম সময়ে খারাপ অভিপ্রায়যুক্ত। তারা যারা একটি পুরানো বিল্ড মেশিনে একটি দীর্ঘ-বসবাসকারী সার্ট সমাধি করেছিল এবং সবচেয়ে খারাপ মুহূর্তে এটি সম্পর্কে জানতে পেরেছিল। একটি ৪৬০-দিনের জানালা সেই ঝুঁকিকে খোলা বাতাসে জোর করে।

আমাদের গ্রাহকদের জন্য, পরিবর্তনটি বেশিরভাগ সচেতনতা সম্পর্কে কাজের চেয়ে। সংক্ষিপ্ত জানালা সার্টিফিকেট ঘূর্ণনকে প্রাকৃতিক রিলিজের অংশ করে তোলে বরং একটি বিরল রক্ষণাবেক্ষণ কাজ নয়। দ্রুত চক্র এছাড়াও যেখানে পুরানো পাইপলাইন বা ভুলে যাওয়া মেশিনগুলি এখনও দীর্ঘ-বসবাসকারী সার্টিফিকেটের উপর নির্ভর করে তা উন্মোচন করে কেউ লক্ষ্য করে ছাড়াই, যা প্রায়ই যেখানে বিলম্ব বা নিরাপত্তা ব্যবধান উপস্থিত হয়।

যদি আপনি প্রথমবার কোড স্বাক্ষর পাচ্ছেন, এই আপডেটটি সঠিক প্রত্যাশা নির্ধারণ করে। বিশ্বাস কিছু নয় যা বছরের জন্য অস্পর্শিত বসে থাকে। এটি এটি যে সফটওয়্যার সুরক্ষা দেয় সঙ্গে চলে. নতুন জানালা সম্পূর্ণ সুরক্ষা এবং পূর্বাভাসযোগ্যতা সম্পর্কে এবং আমরা গ্রাহকদের সঠিক পণ্য এবং ওয়ার্কফ্লো নির্বাচন করতে সাহায্য করার জন্য এখানে আছি যাতে রূপান্তর মসৃণ অনুভব করে, বিঘ্নজনক নয়।

উৎস: CA/Browser Forum – Ballot CSC-31: Code Signing Certificate Lifetime Reduction