Code Signing Certificates

দুটি ভ্যালিডেশন স্তর বিদ্যমান, এবং ক্রেতার পছন্দ নির্ভর করে কে সাইন করছেন এবং কী সাইন করছেন তার উপর।

• OV (Organization Validation) হলো স্ট্যান্ডার্ড স্তর। CA একটি নিবন্ধিত ব্যবসার আইনি অস্তিত্ব যাচাই করে এবং সেই প্রতিষ্ঠানের নামে ইস্যু করে। Comodo এবং Sectigo যাচাইকৃত ব্যক্তিদের জন্যও OV-সমতুল্য সার্টিফিকেট ইস্যু করে, যাকে কখনো কখনো Individual Validation (IV) বলা হয়, নিবন্ধিত কোম্পানি ছাড়া একক ডেভেলপারদের জন্য। SSL Dragon-এর OV অপশনগুলো $219/বছর থেকে শুরু।
• EV (Extended Validation) CA/Browser Forum-এর EV গাইডলাইনের অধীনে গভীরতর ব্যবসায়িক যাচাইয়ের প্রয়োজন। শুধুমাত্র নিবন্ধিত প্রতিষ্ঠানগুলো যোগ্য; ব্যক্তিরা নয়। EV হলো একমাত্র স্তর যা Windows kernel-mode ড্রাইভার সাইনিংয়ের জন্য গ্রহণযোগ্য, এবং অনেক এন্টারপ্রাইজ প্রকিউরমেন্ট ও অডিট নীতি এটি বাধ্যতামূলক করে। SSL Dragon-এর EV অপশনগুলো $287/বছর থেকে শুরু।

SmartScreen সম্পর্কে একটি নোট: Microsoft Trusted Root Program-এ ২০২৪ সালের একটি আপডেট পরিবর্তন করেছে কীভাবে রেপুটেশন জমা হয়। SmartScreen রেপুটেশন এখন সার্টিফিকেটের ধরন নির্বিশেষে ফাইল হ্যাশ এবং ডাউনলোড ভলিউম অনুযায়ী তৈরি হয়। EV আর তাৎক্ষণিক SmartScreen বিশ্বাস প্রদান করে না। OV এবং EV উভয় সাইন করা বাইনারি একইভাবে রেপুটেশন তৈরি করে একবার সেগুলো প্রচলিত হলে।

OV বেছে নিন যদি আপনি user-mode অ্যাপ্লিকেশন সাইন করেন এবং কম মূল্যের স্তর চান। EV বেছে নিন যদি আপনি Windows kernel-mode ড্রাইভার সাইন করেন, সর্বোচ্চ পরিচয় নিশ্চিতকরণ প্রয়োজন, অথবা আপনার প্রকিউরমেন্টে স্পষ্টভাবে EV উল্লেখ থাকে।

১ জুন, ২০২৩ থেকে, CA/Browser Forum প্রতিটি পাবলিকলি-ট্রাস্টেড সার্টিফিকেটের প্রাইভেট কী FIPS 140-2 Level 2 বা Common Criteria EAL 4+ পূরণকারী হার্ডওয়্যারে তৈরি এবং সংরক্ষণ করার প্রয়োজন করে। ডাউনলোডযোগ্য .pfx ফাইল আর ইস্যু করা হয় না। ক্রেতারা তিনটি ডেলিভারি পদ্ধতির মধ্যে একটি বেছে নেন:

1. CA-প্রেরিত USB টোকেন। CA অর্ডারের যাচাইকৃত ঠিকানায় একটি প্রি-লোডেড FIPS 140-2 Level 2 USB টোকেন (সাধারণত একটি YubiKey) মেইল করে।
2. নিজের সামঞ্জস্যপূর্ণ ডিভাইস আনুন। যদি আপনার টিম ইতিমধ্যে একটি FIPS 140-2 Level 2 বা Common Criteria EAL 4+ HSM বা টোকেন পরিচালনা করে, CA সেই ডিভাইস থেকে একটি অ্যাটেস্টেশনের বিপরীতে ইস্যু করে।
3. Cloud HSM সাইনিং সার্ভিস। প্রাইভেট কী CA-পরিচালিত cloud HSM যেমন DigiCert KeyLocker, Sectigo cloud signing, বা SSL.com eSigner-এ তৈরি এবং সংরক্ষিত হয়। পাঠানোর জন্য কোনো ফিজিক্যাল টোকেন নেই, এবং সাইনিং CI/CD পাইপলাইনে সহজে ফিট করে।

মাঝে মাঝে ম্যানুয়াল সাইনিংয়ের জন্য USB টোকেন সবচেয়ে সহজ; স্বয়ংক্রিয় বিল্ডের জন্য cloud signing বেশি উপযুক্ত। তিনটি পদ্ধতিই একই Public Key Infrastructure (PKI) শেয়ার করে: সার্টিফিকেট আপনার যাচাইকৃত পরিচয়কে একটি পাবলিক কী-এর সাথে বাঁধে, হার্ডওয়্যার প্রাইভেট কী সুরক্ষিত রাখে, এবং ফলস্বরূপ ডিজিটাল স্বাক্ষর হলো যা Windows যাচাই করে।

সেটআপের ধাপগুলো আমাদের কোড সাইনিং টিউটোরিয়ালে রয়েছে।

১ মার্চ, ২০২৬ থেকে, পাবলিকলি-ট্রাস্টেড সার্টিফিকেটের সর্বোচ্চ বৈধতা ৪৬০ দিন (প্রায় ১৫ মাস), আগের ৩৯ মাসের সর্বোচ্চ থেকে কমানো হয়েছে। পরিবর্তনটি CA/Browser Forum Ballot CSC-31 থেকে এসেছে। মাল্টি-ইয়ার অর্ডার এখনো বিক্রি হয়, কিন্তু সার্টিফিকেটটি নিজেই ক্রয়কৃত মেয়াদের মধ্যে পুনরায় ইস্যু করা হয়, পুরো মেয়াদ জুড়ে নয়।

অর্ডার স্তরে এর অর্থ কী:

• একটি নতুন সার্টিফিকেট সর্বোচ্চ ~১৫ মাসের বৈধতায় সীমাবদ্ধ
• ২-বছর এবং ৩-বছরের অর্ডার পাওয়া যায়, মেয়াদের মধ্যে পুনরায় ইস্যু সহ
• HSM-ইনস্টল করা অর্ডারগুলো পুরো ক্রয়কৃত মেয়াদ কভার করতে পারে কিন্তু বার্ষিক পুনরায় ইস্যু প্রয়োজন
• ১ মার্চ, ২০২৬-এর আগে ইস্যু করা সার্টিফিকেটগুলো তাদের মূল মেয়াদ পর্যন্ত বৈধ থাকে

সঠিকভাবে টাইমস্ট্যাম্প করা কোড সার্টিফিকেটের মেয়াদ শেষ হওয়ার পরেও বিশ্বস্ত থাকে, তাই আপনি ইতিমধ্যে সাইন করে পাঠানো সফটওয়্যার প্রভাবিত হয় না। শুধুমাত্র নবায়নের সময়সূচি পরিবর্তিত হয়।

SSL Dragon চারটি Certificate Authority থেকে অপশন সংরক্ষণ করে। এখানে OV এবং EV অপশনগুলো শুরুর মূল্য, হার্ডওয়্যার ডেলিভারি এবং ইস্যুর সময় অনুযায়ী কীভাবে সাজানো আছে তা দেখুন।

Comodo এবং Sectigo OV উভয়ই $219/বছর থেকে শুরু এবং এই পেজে সবচেয়ে সস্তা পাবলিকলি-ট্রাস্টেড অপশন। DigiCert প্রিমিয়াম প্রান্তে রয়েছে, OV-এর জন্য $400 এবং EV-এর জন্য $685, এবং সাধারণত এমন ক্রেতারা বেছে নেন যাদের চুক্তি বা কমপ্লায়েন্স ফ্রেমওয়ার্কে বিশেষভাবে DigiCert উল্লেখ থাকে। GoGetSSL হলো EV স্তরে $369/বছরে মূল্য-সাশ্রয়ী পছন্দ। চারটি CA-ই হার্ডওয়্যার টোকেন পাঠায়, DigiCert HSM-মুক্ত ওয়ার্কফ্লোর জন্য KeyLocker cloud signing-ও অফার করে।

২০২৬ সাল পর্যন্ত কোনো পাবলিকলি-ট্রাস্টেড Certificate Authority বিনামূল্যে কোড সাইনিং অফার করে না।

দুটি বাস্তব খরচ এটিকে অকার্যকর করে তোলে:

1. CA-কে প্রকাশকের পরিচয় যাচাই করতে হবে (প্রতিষ্ঠান বা ব্যক্তি)
2. জুন ২০২৩ থেকে প্রাইভেট কী অবশ্যই FIPS-সামঞ্জস্যপূর্ণ হার্ডওয়্যারে থাকতে হবে যার জন্য কাউকে অর্থ দিতে হবে

Self-signed সার্টিফিকেট OpenSSL দিয়ে তৈরি করা যায় এবং কোনো খরচ নেই, কিন্তু Windows, macOS, এবং ব্রাউজারগুলো সেগুলো বিশ্বাস করে না, তাই “Unknown Publisher” সতর্কতা বহাল থাকে। যদি মূল্য নির্ধারক বিষয় হয়, তাহলে Comodo Code Signing এবং Sectigo Code Signing OV (বা একক ডেভেলপারদের জন্য Individual Validation) হলো $219/বছরে এন্ট্রি-লেভেল SKU।

SSL Dragon বহন করে যেকোনো CA থেকে একটি সার্টিফিকেট সাইন করতে পারে:

• Windows বাইনারি এবং ইনস্টলার: Microsoft Authenticode-এর মাধ্যমে সাইন করা .exe, .dll, .cab, .ocx, .msi, এবং .xap ফাইল
• Windows ড্রাইভার: user-mode ড্রাইভার (OV বা EV) এবং kernel-mode ড্রাইভার (শুধুমাত্র EV)
• Java অ্যাপ্লিকেশন: jarsigner দিয়ে সাইন করা .jar ফাইল
• স্ক্রিপ্ট এবং ম্যাক্রো: PowerShell স্ক্রিপ্ট, VBScript, এবং Microsoft Office VBA ম্যাক্রো
• অন্যান্য ফরম্যাট: Adobe AIR প্যাকেজ, Mozilla অবজেক্ট ফাইল, এবং Microsoft Silverlight (লিগ্যাসি কিন্তু এখনো বৈধ)
• ফার্মওয়্যার এবং IoT সফটওয়্যার
• কন্টেইনার এবং সফটওয়্যার প্যাকেজ

একই সার্টিফিকেট উপরের তালিকার বেশিরভাগ কভার করে; kernel-mode ড্রাইভারের ক্ষেত্রেই EV স্তর বাধ্যতামূলক।

একটি SSL/TLS সার্টিফিকেট একটি ব্রাউজার এবং একটি ওয়েবসাইটের মধ্যে সংযোগ এনক্রিপ্ট করে। একটি কোড সাইনিং সার্টিফিকেট সফটওয়্যারে ডিজিটালি স্বাক্ষর করে যাতে অপারেটিং সিস্টেম যাচাই করতে পারে কে এটি প্রকাশ করেছে এবং ফাইলটি পরিবর্তিত হয়নি।

দুটি পরস্পর বিনিময়যোগ্য নয়: একটি একটি ডোমেইন সুরক্ষিত করে, অন্যটি একটি এক্সিকিউটেবলের উৎস প্রমাণ করে। উভয়ই Certificate Authority দ্বারা ইস্যু করা X.509 সার্টিফিকেট, যে কারণে এগুলো নিয়ে বিভ্রান্তি হয়।