CSR ডিকোডার

নিচে একটি Certificate Signing Request পেস্ট করুন, আর এই CSR ডিকোডার দেখিয়ে দেবে এর মধ্যে আসলে কী আছে: Common Name এবং বাকি Distinguished Name, পাবলিক কী ও তার কী সাইজ, সিগনেচার অ্যালগরিদম, এবং রিকোয়েস্টে থাকা প্রতিটি Subject Alternative Name।

এই ফিল্ডগুলো পড়তে কয়েক সেকেন্ড লাগে। এগুলো এড়িয়ে গেলে আপনাকে পুনরায় ইস্যু করাতে হবে। একটি Certificate Authority আনন্দের সাথেই ভুল টাইপ করা ডোমেইনসহ একটি CSR-এ স্বাক্ষর করে দেবে, আর আপনি তখনই বুঝবেন যখন ব্রাউজারগুলো আপনার ইতিমধ্যে টাকা দিয়ে ইনস্টল করা সার্টিফিকেটে নেম মিসম্যাচ এরর দেখাতে শুরু করবে।

আপনার CSR ফাইল ডিকোড করুন

বক্সে আপনার CSR-এর পুরো টেক্সট পেস্ট করুন, হেডার ও ফুটার লাইনসহ:

একটি বৈধ CSR শুরু হয় —–BEGIN CERTIFICATE REQUEST—– দিয়ে এবং শেষ হয় —–END CERTIFICATE REQUEST—– দিয়ে।

IIS চালানো Windows সার্ভারগুলো শুরুর লাইনটি লেখে —–BEGIN NEW CERTIFICATE REQUEST—– আকারে। উভয় ফর্মই এখানে কাজ করে। ফাইলটি .csr, .pem অথবা .txt এক্সটেনশন নিয়ে আসতে পারে; শুধু এর ভেতরের টেক্সটটাই গুরুত্বপূর্ণ। এই বিনামূল্যের অনলাইন CSR ডিকোডার PEM পড়ে, যা Base64 ফরম্যাট এবং প্রায় প্রতিটি সার্ভার ও হোস্টিং প্যানেল যা তৈরি করে থাকে।

এখনও CSR নেই? আমাদের CSR জেনারেটর দিয়ে একটি তৈরি করুন, অথবা আপনার প্ল্যাটফর্মের জন্য CSR গাইড অনুসরণ করুন।

CSR ডিকোডার আপনাকে যা দেখায়

প্রতিটি CSR-এ দুটি জিনিস থাকে যা একটি Certificate Authority-র প্রয়োজন হয়: আপনি নিজেকে কে বলে দাবি করছেন, এবং আপনি কোন পাবলিক কী সার্টিফাই করাতে চান। পরিচয়ের অংশটিকে বলা হয় Subject, বা Distinguished Name, এবং এটি একটি লম্বা স্ট্রিং না হয়ে বরং লেবেলযুক্ত ফিল্ডের একটি সেট। ডিকোডার Distinguished Name-কে তার অংশগুলোতে ভাগ করে এবং সাথে কী সংক্রান্ত বিস্তারিত তথ্যও রিপোর্ট করে।

নিচের টেবিলে এই CSR ডিকোডার যে সব ফিল্ড ফেরত দেয় তা কভার করা হয়েছে, একটি বৈধ মান কেমন দেখতে হয়, এবং ভুল হলে কী সমস্যা হয়।

একটি CSR-এ ঐচ্ছিক অ্যাট্রিবিউট এবং অনুরোধকৃত এক্সটেনশনও থাকতে পারে, যা বেশিরভাগ ডিকোডার এড়িয়ে যায়। একটি চ্যালেঞ্জ পাসওয়ার্ড হলো একটি ঐচ্ছিক স্ট্রিং যা কিছু CA একসময় বাতিলকরণ অনুমোদনের জন্য ব্যবহার করত; আপনার CA না চাইলে এটি খালি রাখুন। keyUsage, extendedKeyUsage এবং basicConstraints-এর মতো অনুরোধকৃত এক্সটেনশনগুলো বর্ণনা করে সার্টিফিকেটকে কী করার অনুমতি দেওয়া উচিত, যদিও চূড়ান্ত মান নির্ধারণ করে CA।

CSR ডিকোডিং কীভাবে কাজ করে

একটি CSR হলো একটি PKCS#10 সার্টিফিকেশন রিকোয়েস্ট, RFC 2986 দ্বারা সংজ্ঞায়িত একটি ফরম্যাট। এর বিষয়বস্তু ASN.1-এ বর্ণনা করা হয়, DER-এ সিরিয়ালাইজ করা হয়, যা বাইনারি, এরপর Base64-এনকোড করে PEM হেডার এবং ফুটার লাইনে মুড়ে দেওয়া হয় যাতে রিকোয়েস্টটি ইমেইল এবং কপি-পেস্টে নষ্ট না হয়ে বেঁচে থাকে।

ডিকোডিং সেই চেইনটিকে উল্টো দিকে চালায়। টুলটি PEM র‍্যাপার সরিয়ে ফেলে, Base64-কে আবার DER-এ পরিণত করে, ASN.1 কাঠামো পার্স করে, এবং প্রাপ্ত প্রতিটি মানের লেবেল দেয়।

কোনো পর্যায়েই কোনো ডিক্রিপশন হয় না, কারণ CSR-এ কিছুই এনক্রিপ্ট করা থাকে না। একটি CSR আপনার পাবলিক কী ধারণ করে। প্রাইভেট কী সেই সার্ভারেই থেকে যায় যা এটি তৈরি করেছিল এবং কখনোই রিকোয়েস্টে যায় না। কেউ CSR ইন্টারসেপ্ট করলে সে এটি পড়তে পারে, ঠিক এই কারণেই একজন Certificate Authority-কে এটি ইমেইল করা নিরাপদ।

একটি CSR যা বহন করে তা হলো একটি স্বাক্ষর। রিকোয়েস্টটি এর ভেতরের পাবলিক কী-র সাথে মিলে যাওয়া প্রাইভেট কী দিয়ে স্বাক্ষরিত, যা প্রমাণ করে আপনি সেই কী-টির অধিকারী। একে বলা হয় Proof of Possession, এবং এভাবেই একটি CA জানতে পারে যে সার্টিফিকেটের জন্য অনুরোধকারী ব্যক্তি সেই কী নিয়ন্ত্রণ করেন যা সার্টিফাই করা হচ্ছে।

একবার CA রিকোয়েস্ট যাচাই করলে, এটি আপনার পাবলিক কী এবং যে Subject ফিল্ডগুলো যাচাই করতে পেরেছে সেগুলো ধারণ করে একটি X.509 সার্টিফিকেট ইস্যু করে।

আপনার CSR জমা দেওয়ার আগে যা যাচাই করবেন

রিকোয়েস্টটি কোনো Certificate Authority-র কাছে যাওয়ার আগে ডিকোড করা আউটপুটটি এই তালিকার বিপরীতে যাচাই করে নিন। এই পর্যায়ে ডিকোডারকে CSR চেকার হিসেবে ব্যবহার করলে আপনার এক মিনিট সময় লাগে। ইস্যু হয়ে যাওয়ার পর একই ভুল ধরা পড়লে পুনরায় ইস্যু ও পুনরায় ডিপ্লয় করার খরচ পড়ে।

1. Common Name আপনার সম্পূর্ণভাবে যোগ্যতাসম্পন্ন ডোমেইন নামের সাথে হুবহু মিলছে, আপনার উদ্দেশ্য অনুযায়ী www সহ বা বাদ দিয়ে। example.com এবং www.example.com দুটি ভিন্ন নাম।
2. আপনার প্রয়োজনীয় প্রতিটি ডোমেইন SAN তালিকায় আছে, শুধু Common Name-এ নয়।
3. দেশটি ঠিক দুই অক্ষরের। নিশ্চিত না হলে ISO 3166-1 alpha-2 তালিকার সাথে মিলিয়ে দেখুন।
4. State এবং locality সম্পূর্ণভাবে বানান করে লেখা, সংক্ষিপ্ত নয়।
5. Organization আপনার নিবন্ধিত আইনি নাম, যদি আপনি একটি OV বা EV সার্টিফিকেট কিনছেন। Domain Validated সার্টিফিকেট এই ফিল্ড উপেক্ষা করে।
6. কী হলো 2048-বিট RSA বা তার বেশি, অথবা 256-বিট ECDSA বা তার বেশি।
7. সিগনেচার অ্যালগরিদম হলো SHA-256 বা তার চেয়ে শক্তিশালী।
8. ওয়াইল্ডকার্ড সিনট্যাক্স হলো *.example.com, যা শুধুমাত্র একটি লেভেল কভার করে। এটি shop.eu.example.com কভার করে না।
9. আপনার কাছে এখনও সেই প্রাইভেট কী আছে যা থেকে এই CSR তৈরি করা হয়েছিল। অর্ডার করার আগে Certificate Key Matcher দিয়ে এটি নিশ্চিত করুন।

একটি ডিকোডার যেসব সাধারণ CSR সমস্যা প্রকাশ করে

নেম মিসম্যাচ। Common Name বা SAN তালিকা সার্ভার আসলে যে ডোমেইনে সাড়া দেয় তার সাথে মেলে না। এটিই সবচেয়ে সাধারণ কারণ যার জন্য একটি সার্টিফিকেট ইনস্টল হওয়ার পরও ব্রাউজারে ব্যর্থ হয়।

মিসিং SAN। সার্টিফিকেট ইস্যু হয়েছে, Common Name ঠিকই দেখাচ্ছে, কিন্তু একটি হোস্টনেম তবুও এরর দেখাচ্ছে। CSR ডিকোড করুন এবং যাচাই করুন সেই হোস্টনেমটি কখনো SAN তালিকায় ছিল কিনা। যদি না থেকে থাকে, তাহলে এটি কখনোই কভার করা হয়নি।

একটি প্রত্যাখ্যাত কান্ট্রি কোড। দুইয়ের বদলে তিনটি অক্ষর। CA রিকোয়েস্টটি প্রত্যাখ্যান করে, সাধারণত এমন একটি বার্তা দিয়ে যা ফিল্ডের নাম উল্লেখ করে না।

একটি সংক্ষিপ্ত state। California -এর বদলে CA, New York -এর বদলে NY। Domain Validated অর্ডার পাস করে। Organization Validated এবং Extended Validation অর্ডার আপনি পুনরায় জমা না দেওয়া পর্যন্ত ভ্যালিডেশনে আটকে থাকে।

একটি অতি ছোট কী। 1024-বিট RSA বহু বছর ধরে পাবলিক CA-দের কাছে অগ্রহণযোগ্য। 2048-বিট বা তার বেশি কী দিয়ে CSR পুনরায় তৈরি করুন; রিকোয়েস্ট এডিট করে এটি ঠিক করা যায় না।

OU ফিল্ড হারিয়ে গেছে। আপনি Organizational Unit ফিল্ডে একটি ডিপার্টমেন্ট দিয়েছিলেন এবং এটি ইস্যু করা সার্টিফিকেটে নেই। এটি সেপ্টেম্বর ২০২২ থেকে প্রত্যাশিত আচরণ, CA-এর পক্ষ থেকে কোনো ভুল নয়। OU ফিল্ড কেন সরানো হয়েছিল তা পড়ুন।

একটি CSR যা আপনার প্রাইভেট কী-র সাথে মেলে না। সাধারণত এটি দ্বিতীয় একটি CSR তৈরি করার ফলাফল, যেখানে কোন কী পেয়ার কোন রিকোয়েস্টের সাথে গিয়েছিল তার হিসাব হারিয়ে গেছে। Certificate Key Matcher এটি এক ধাপেই সমাধান করে দেয়।

ভুল ফরম্যাটে একটি আন্তর্জাতিক ডোমেইন। নন-ASCII ডোমেইনগুলোকে নিজেদের নেটিভ স্ক্রিপ্টের বদলে Punycode, xn-- ফর্মে থাকতে হবে।

OpenSSL দিয়ে একটি CSR ডিকোড করুন

আপনার কাছে OpenSSL ইনস্টল করা থাকলে, ব্রাউজার ছাড়াই একটি CSR পড়তে পারবেন:

openssl req -in example.csr -noout -text

একইসাথে রিকোয়েস্টের নিজস্ব স্বাক্ষর যাচাই করতে -verify যোগ করুন, যা নিশ্চিত করে যে CSR তৈরি হওয়ার পর থেকে পরিবর্তিত হয়নি:

openssl req -in example.csr -noout -text -verify

আউটপুটে সম্পূর্ণ Distinguished Name-কে Subject: লাইনে রাখা হয়, আলাদা আলাদা ফিল্ড হিসেবে না রেখে বরং একটি কমা-বিভক্ত ধারায়, তাই এটি বাম থেকে ডানে পড়ুন: C, ST, L, O, OU, CN। তার নিচে, Public Key Algorithm RSA বা ECDSA নির্দেশ করে, এবং Public-Key: ব্র্যাকেটে বিট-দৈর্ঘ্য দেয়। Signature Algorithm দুইবার আসে, একবার উপরের দিকে এবং একবার নিচে স্বাক্ষর ব্লকের পাশে; উভয়ই CSR-এর নিজস্ব স্বাক্ষরকে নির্দেশ করে।

Subject Alternative Name সহজেই এড়িয়ে যাওয়ার মতো। এগুলো Subject লাইনের অংশ নয়। এর নিচে Requested Extensions ব্লক এবং তার নিচে X509v3 Subject Alternative Name এন্ট্রির জন্য আরও নিচে দেখুন। যদি সেই ব্লকটি না থাকে, তাহলে CSR-এ কোনো SAN নেই।

OpenSSL ইনস্টল না থাকলে, আপনি WSL ছাড়া Windows-এ থাকলে, বা CSR-টি একটি হোস্টিং প্যানেল থেকে এসেছে এবং শুধুমাত্র একটি ব্রাউজার ট্যাবে টেক্সট হিসেবে বিদ্যমান থাকলে, উপরের ওয়েব টুলটি দ্রুততর বিকল্প। আউটপুট একই তথ্য, শুধু সহজ ভাষায় লেবেল করা।

Sectigo, DigiCert বা অন্য যেকোনো CA-র জন্য CSR ডিকোড করা

একটি CSR হলো একটি PKCS#10 ফাইল, এবং কে এতে স্বাক্ষর করবে তার উপর ভিত্তি করে ফরম্যাট পরিবর্তিত হয় না। কোনো Sectigo-নির্দিষ্ট বা DigiCert-নির্দিষ্ট CSR ফরম্যাট নেই, তাই যেকোনো Certificate Authority-র উদ্দেশ্যে তৈরি রিকোয়েস্টের জন্য একটি ডিকোডারই কাজ করে।

CA-দের মধ্যে যা ভিন্ন হয় তা হলো কোন ফিল্ডগুলো যাচাই করা হয় এবং কতটা কঠোরভাবে। Domain Validated সার্টিফিকেট শুধুমাত্র ডোমেইনের নিয়ন্ত্রণ যাচাই করে এবং Organization ফিল্ডকে সম্পূর্ণভাবে উপেক্ষা করে। Organization Validated এবং Extended Validation সার্টিফিকেটে Organization, Locality, State এবং Country ফিল্ড পাবলিক রেকর্ডের সাথে মিলতে হবে, যে কারণে ভ্যালিডেশনের সিঁড়িতে যত উপরে উঠবেন, এই ফিল্ডগুলোর নির্ভুলতা তত বেশি গুরুত্বপূর্ণ হয়ে ওঠে।

সচরাচর জিজ্ঞাস্য