कोड-हस्ताक्षर विश्वास विंडो 460 दिनों तक सिकुड़ती है

कोड-साइनिंग सर्टिफिकेट को जल्द ही बहुत कम जीवनकाल मिलेगा। 17 नवंबर 2025 को स्वीकृत एक नया उद्योग नियम उनकी अधिकतम वैधता को 39 महीने से घटाकर 460 दिन कर देता है, जो 1 मार्च 2026 से प्रभावी है। परिवर्तन अद्यतन कोड हस्ताक्षर आधार रेखा आवश्यकताएँ v3.10.0 में प्रकट होता है।

कार्य समूह के सभी प्रमुख सीए ने बदलाव का समर्थन किया: 7 ने “हां” में मतदान किया, 2 ने मतदान नहीं किया, किसी ने भी विरोध नहीं किया। प्लेटफ़ॉर्म की ओर, एकमात्र भाग लेने वाले विक्रेता, Microsoft ने भी “हां” वोट दिया। स्पष्ट सहमति सख्त प्रमाणपत्र स्वच्छता की ओर व्यापक उद्योग संरेखण का संकेत देती है।

छोटे प्रमाणपत्र जीवनकाल के लिए धक्का क्या दे रहा है?

2024 के अंत में, HarfangLab के शोधकर्ताओं ने हाइजैक लोडर ऑपरेशन का खुलासा किया, एक अभियान जिसमें अपराधियों ने लुम्मा सूचना चोरी करने वाले को तैनात करने के लिए निर्मित मैलवेयर पर हस्ताक्षर करने के लिए वैध कोड-हस्ताक्षर प्रमाणपत्रों का उपयोग किया। क्योंकि फाइलों में वैध हस्ताक्षर थे, मैलवेयर कई सुरक्षा जांचों से आगे निकल गया और एक अहस्ताक्षरित पेलोड की तुलना में कहीं अधिक पीड़ितों तक पहुंच गया।

डिजिटल ट्रस्ट में भी एक व्यापक बदलाव हो रहा है। एसएसएल प्रमाणपत्र पहले ही बहु-वर्षीय वैधता से लघु रोटेशन चक्रों में चले गए हैं। कोड-साइनिंग अब उसी रास्ते का अनुसरण करता है। पोस्ट-क्वांटम क्रिप्टोग्राफी के करीब आने के साथ, उद्योग को तेजी से टर्नओवर, स्वच्छ कुंजी प्रबंधन और अधिक लगातार सत्यापन की आवश्यकता है। लंबे समय तक चलने वाले प्रमाण पत्र उस संक्रमण को धीमा कर देते हैं और मौन समझौते के लिए बहुत अधिक जगह छोड़ देते हैं।

डेवलपर्स के लिए क्या परिवर्तन?

नई वैधता विंडो सीधे विकास, रिलीज और विक्रेता प्रक्रियाओं के अंदर उतरती है। परिवर्तन श्रृंखला में नई आदतों को मजबूर करता है:

• दीर्घकालिक कुंजियों पर निर्भर करने वाले सिस्टम को पुनर्गठन की आवश्यकता होगी: ऐसे सर्वर बनाएं जो वर्षों तक प्रमाणपत्र संग्रहीत करते हैं, छोटे चक्र में जीवित नहीं रहेंगे। टीमों को शेड्यूल पर कुंजियों को घुमाना चाहिए, बिल्ड कॉन्फ़िगरेशन को अपडेट करना चाहिए और अप्रत्याशित समाप्ति को मध्य-रिलीज़ को रोकना चाहिए।
• एयर-गैप्ड साइनिंग वातावरण को सख्त रसद का सामना करना पड़ेगा: औद्योगिक नियंत्रण, स्वास्थ्य सेवा और सरकार जैसे क्षेत्र अक्सर अलग-अलग नेटवर्क में प्रमाणपत्रों को हाथ से ले जाते हैं। उन्हें अब पूर्वानुमानित आयात चक्र और नवीनीकरण ट्रैकिंग की आवश्यकता है, इसलिए हस्ताक्षरित सॉफ़्टवेयर एक नए प्रमाणपत्र की प्रतीक्षा नहीं करता है।
• लीगेसी साइनिंग टूल तब तक टूट जाएंगे जब तक कि अपडेट न किया जाए: पुरानी स्क्रिप्ट जो हार्डकोड प्रमाणपत्र पथ या एकल, लंबे समय तक रहने वाली कुंजी की अपेक्षा करती है, उस कुंजी की समय सीमा समाप्त होने के बाद विफल हो जाएगी। पाइपलाइनों को स्थिर फ़ोल्डरों के बजाय गतिशील प्रमाणपत्र चयन और स्वचालित पुनर्प्राप्ति की आवश्यकता होती है।
• कुंजी-रिसाव की घटनाओं को रोकना आसान हो जाता है: हमलावर एक बहु-वर्षीय प्रमाणपत्र पर भरोसा नहीं कर सकते हैं जो उल्लंघन के बाद लंबे समय तक वैध रहता है। संगठनों को अभी भी जल्दी से रद्द करने की आवश्यकता है, लेकिन विस्फोट त्रिज्या सिकुड़ जाती है।
• अनुपालन और पहचान दल एक सख्त घड़ी पर काम करेंगे: EV या संगठन सत्यापन का प्रबंधन करने वाली टीमों को अपने आंतरिक कैलेंडर को समायोजित करना होगा ताकि नवीनीकरण में देरी उत्पाद रिलीज़ को अवरुद्ध न करे।

कोड साइनिंग प्रमाणपत्र उपलब्धता और एचएसएम आवश्यकताएँ

कोड-हस्ताक्षर विकल्प प्रमाणपत्र प्राधिकारी पर निर्भर करते हैं, और यह सीधे प्रभावित करता है कि आप अपनी कुंजियों को कैसे प्रबंधित करते हैं:

• DigiCert और GoGetSSL केवल 1 साल के कोड-साइनिंग सर्टिफिकेट प्रदान करते हैं। आप या तो CA-प्रदान किए गए हार्डवेयर सुरक्षा मॉड्यूल (HSM) चुन सकते हैं या अपने स्वयं के HSM का उपयोग कर सकते हैं।
• सेक्टिगो (कोमोडो) आपको 3 साल तक के लिए प्रमाणपत्र ऑर्डर करने देता है, लेकिन सेटअप बदल जाता है:
  • 1 साल के प्रमाणपत्र के लिए, आप सीए-प्रदान किए गए एचएसएम या अपने स्वयं के एचएसएम का उपयोग कर सकते हैं।
  • For 2- or 3-year certificates, you must use your own HSM. No CA hardware is provided.

यदि आप बहु-वर्ष जाते हैं, तो आप कुंजी भंडारण और सुरक्षा पर पूर्ण नियंत्रण रखते हैं।

जब आप शिपिंग बनाता है तो इसका क्या मतलब है?

460-दिन की विंडो सबसे ऊपर एक चीज बदलती है: समय। हस्ताक्षर करना एक दुर्लभ काम बनना बंद कर देता है और आपकी रिहाई लय का हिस्सा बन जाता है। आप जल्दी ही नोटिस करते हैं जब कोई प्रमाणपत्र पुराना हो रहा है। और आपकी पाइपलाइन साफ रहती है क्योंकि रोटेशन प्रवाह में बनाया गया है, आपात स्थिति नहीं।

एसएसएल ड्रैगन ग्राहकों के लिए, यह बदलाव इस बात के अनुरूप है कि अधिकांश टीमें पहले से ही कैसे काम करती हैं। छोटे चक्र आधुनिक रिलीज शेड्यूल के साथ लाइन अप करते हैं, इसलिए आपको डिलीवरी से ठीक पहले एक समाप्त हो चुके प्रमाणपत्र से अंधा होने की संभावना कम होती है। यदि आप क्लाउड साइनिंग या एचएसएम-आधारित कुंजियों की ओर बढ़ रहे हैं, तो संक्रमण और भी आसान लगता है, और पृष्ठभूमि में रोटेशन चुपचाप होता है।

प्रवृत्ति स्पष्ट है: कम विश्वास, तेज रोटेशन

कम जीवनकाल हर आपूर्ति-श्रृंखला जोखिम को ठीक नहीं करेगा, लेकिन वे उद्योग को स्वस्थ प्रथाओं की ओर धकेलते हैं। हस्ताक्षर कुंजियाँ अब वर्षों तक किसी का ध्यान नहीं जा सकता है, और रिलीज़ वर्कफ़्लो को नई लय के साथ संरेखित रहना चाहिए। मार्च 2026 तेजी से आ रहा है, और जो पाइपलाइनें जल्दी अनुकूल हो जाती हैं, वे बाद में हाथापाई से बचेंगी।

एसएसएल ड्रैगन का टेक

बाड़ के हमारे पक्ष से, यह बदलाव अच्छी खबर है। यह साफ-सुथरी आदतें बनाता है और खोई हुई या चोरी हुई चाबी से होने वाले नुकसान को कम करता है। जो टीमें प्रमाणपत्र संबंधी समस्याओं से सबसे अधिक पीड़ित होती हैं, वे शायद ही कभी बुरे इरादों वाली होती हैं। वे वही हैं जिनके पास एक पुरानी बिल्ड मशीन में दफन एक लंबे समय तक चलने वाला प्रमाणपत्र था और सबसे खराब संभव क्षण में इसके बारे में पता चला। 460 दिन की खिड़की उस जोखिम को खुले में ले जाती है।

हमारे ग्राहकों के लिए, बदलाव ज्यादातर काम के बोझ के बजाय जागरूकता के बारे में है। छोटी विंडो एक दुर्लभ रखरखाव कार्य के बजाय प्रमाणपत्र रोटेशन को प्राकृतिक रिलीज का हिस्सा बनाती है। तेज़ चक्र यह भी उजागर करता है कि पुरानी पाइपलाइनें या भूली हुई मशीनें अभी भी बिना किसी को देखे लंबे समय तक चलने वाले प्रमाणपत्रों पर निर्भर करती हैं, जहां अक्सर देरी या सुरक्षा अंतराल दिखाई देते हैं।

अगर आपको पहली बार कोड पर हस्ताक्षर मिल रहे हैं, तो यह अपडेट सही अपेक्षाएं सेट करता है. विश्वास कोई ऐसी चीज नहीं है जो वर्षों तक अछूती रहती है। यह उस सॉफ़्टवेयर के साथ चलता है जिसकी वह सुरक्षा करता है। नई विंडो सुरक्षा और पूर्वानुमेयता के बारे में है, और हम ग्राहकों को सही उत्पाद और वर्कफ़्लो चुनने में मदद करने के लिए यहां हैं ताकि संक्रमण सुचारू लगे, विघटनकारी नहीं।

स्रोत: CA/Browser Forum – बैलट CSC-31: कोड साइनिंग सर्टिफिकेट लाइफटाइम रिडक्शन