मुझे अपने स्वयं के प्रमाणन प्राधिकरण की आवश्यकता क्यों है

1) ट्रस्ट के एक खुले पदानुक्रम में एक इंटरमीडिएट सीए और 2) एक निजी पदानुक्रम है जो एक खुली पदानुक्रम से अलग है अपने मूल सीए के साथ

पब्लिक की इन्फ्रास्ट्रक्चर (पीकेआई) पारंपरिक रूप से पदानुक्रमित रही है। इसमें, प्रमाणीकरण प्राधिकरण (सीए) अधीनस्थ संबंधों द्वारा जुड़े हुए हैं। सभी उपयोगकर्ता एक ही रूट (हेड) सीए पर भरोसा करते हैं, और प्रत्येक निचला सीए पदानुक्रम में उच्चतर से अधीनस्थ होता है।

लेकिन क्या होगा यदि हम अपने स्वयं के सीए के साथ एक निजी पीकेआई बुनियादी ढांचा बनाना चाहते हैं? दरअसल, कुछ स्थितियों में, ऐसे मध्यवर्ती या आंशिक पदानुक्रम व्यवहार में बहुत सुविधाजनक होते हैं।

मध्यवर्ती या निजी पदानुक्रम बनाने के विशिष्ट कारण

• ग्राहक प्रमाणीकरण
  
  मध्यवर्ती CA के आधार पर प्रमाण पत्र के साथ ग्राहक प्रमाणीकरण करना सुविधाजनक है। यदि आपके पास एक विशिष्ट अधीनस्थ CA है, तो आप सिस्टम तक पहुँच प्रदान करने वाले प्रमाणपत्रों की संख्या को सीमित कर सकते हैं। इन मामलों में, निजी ट्रस्ट पदानुक्रम आमतौर पर उपयोग किए जाते हैं।
  
• ब्रांडिंग
  
  उन कंपनियों के लिए जो अपने ग्राहकों को प्रमाण पत्र प्रदान करती हैं या उन्हें प्रदान की गई सेवाओं के पैकेज में शामिल करती हैं, अपने स्वयं के समर्पित सीए की उपस्थिति आपको कुछ अतिरिक्त ब्रांडिंग के अवसरों की पेशकश करने की अनुमति देती है।
  
• एसएसएल / टीएलएस निरीक्षण / डिक्रिप्शन
  
  SSL सत्यापनकर्ता के लिए सामग्री को डिक्रिप्ट और पुनः एन्क्रिप्ट करने के लिए, उसे आवश्यकतानुसार प्रमाणपत्र जारी करने में सक्षम होना चाहिए। इसका मतलब है कि आपको ट्रस्ट के सार्वजनिक पदानुक्रम के बाहर अपने स्वयं के अधीनस्थ सीए की आवश्यकता है। इस स्थिति में, रूट CA GlobalSign पर स्थित है, और मध्यवर्ती CA क्लाइंट के प्रमाणपत्र सत्यापन उपकरण पर स्थित है।
  
• विशेष प्रयोजन प्रमाण पत्र
  
  निजी पदानुक्रमों के भीतर जारी किए गए प्रमाण पत्र विरासत अनुप्रयोगों और अद्वितीय कॉन्फ़िगरेशन का समर्थन कर सकते हैं, जैसे कि अब वैधता अवधि और छोटे कुंजी आकार, जिन्हें सीए / ब्राउज़र फ़ोरम की बुनियादी आवश्यकताओं के अनुसार सार्वजनिक विश्वसनीय प्रमाणपत्रों में अनुमति नहीं है। हालाँकि, यदि आपको पूर्ण निजी प्राइवेट CA के बिना केवल निजी एसएसएल / टीएलएस प्रमाणपत्रों की आवश्यकता है, तो आप इंट्रानेटएसएसएल सेवा का उपयोग कर सकते हैं।
  
• कस्टम प्रोफाइल
  
  आप अपनी आवश्यकताओं के लिए प्रमुख विस्तार नीतियों, प्रमाणपत्र नीतियों, वितरण निरूपण सूचियों (CRL) के वितरण बिंदु को बदलकर, अल्पकालिक प्रमाण पत्र, आदि बनाकर विशिष्ट कार्यों के लिए अधीनस्थ सीए को कॉन्फ़िगर कर सकते हैं।

आवास और समर्थन

एक कंपनी अपने स्वयं के सीए को होस्ट या रखरखाव कर सकती है या इसे आउटसोर्स कर सकती है। कई कंपनियां इसके लिए आवश्यक संसाधन न होने पर अपने दम पर (बड़े पैमाने पर) PKI सिस्टम की तैनाती का काम करती हैं। चूंकि प्रक्रिया में निवेश की आवश्यकता होती है, इसलिए अपने भौतिक संसाधनों और वित्तीय क्षमताओं का मूल्यांकन करना बेहतर होता है और आने वाले वर्षों में, नई तकनीक का उपयोग करने का आर्थिक प्रभाव, प्रारंभिक लागत और सिस्टम की लागत।

इस तरह के मूल्यांकन का संचालन करने के बाद, कुछ संगठन इस निष्कर्ष पर पहुंच सकते हैं कि उन्हें सार्वजनिक कुंजी बुनियादी ढांचे की आवश्यकता नहीं है, और उनके मामले में अन्य सुरक्षा उपकरणों का उपयोग करना बेहतर है: उदाहरण के लिए, वीपीएन या फ़ाइल एन्क्रिप्शन प्रोग्राम। पूरे पीकेआई बुनियादी ढांचे के बजाय, कभी-कभी केवल एक सर्टिफिकेट सर्वर चलाना आसान होता है, जो वेब सामग्री (अनट्रैटएसएसएल, ऊपर देखें) तक अनधिकृत पहुंच की समस्या को हल करता है।

मध्यवर्ती या निजी पदानुक्रम

एक खुली पदानुक्रम में, सभी CA रूट CA के अधीनस्थ होते हैं, जिनकी सार्वजनिक कुंजी एक सार्वजनिक अनुप्रयोग में अंतर्निहित होती है, जैसे कि वेब ब्राउज़र। इस मामले में, ब्राउज़र पूरी तरह से पूरे पदानुक्रम में सभी सीए द्वारा जारी किए गए प्रमाण पत्र की वैधता की जांच कर सकता है, साथ ही साथ उनके प्रकाशक, जो एक निर्विवाद लाभ है।

खुले पदानुक्रम आमतौर पर उन मामलों में उपयोग किए जाते हैं जहां गैर-संबद्ध पक्षों के साथ सूचना का आदान-प्रदान या उनके प्रमाणीकरण की आवश्यकता होती है। इस मामले में तीसरी विश्वसनीय पार्टी आउटसोर्सिंग सीए है।

एक निजी पदानुक्रम के मामले में, अंतिम उपयोगकर्ता मैन्युअल रूप से आवेदन में एम्बेडेड विश्वसनीय कुंजी की सूची में कॉर्पोरेट रूट CA की सार्वजनिक कुंजी जोड़ता है। इस मामले में, कुंजी का उपयोग करने के लिए सभी जिम्मेदारी उपयोगकर्ता के साथ है। निजी पदानुक्रम बंद समुदायों के लिए अधिक उपयुक्त हैं, उदाहरण के लिए, एक कॉर्पोरेट पोर्टल के उपयोगकर्ता।

ठेठ इंटरमीडिएट या निजी पदानुक्रम उदाहरण

• समर्पित निजी रूट CA और पदानुक्रम (निजी PKI)
  GlobalSign रूट और इंटरमीडिएट सहित निजी पदानुक्रम बना और होस्ट कर सकता है। वे उसी सुरक्षित बुनियादी ढाँचे पर बनाए जाते हैं जिसका उपयोग खुले पदानुक्रम में अपने स्वयं के मूल सीए का समर्थन करने के लिए किया जाता है।
  
• कॉर्पोरेट निजी इंटरमीडिएट सीए, प्रमाणपत्र जारी करने वाला केंद्र
  ब्रांड मध्यवर्ती CA विशेष रूप से एक विशेष क्लाइंट के लिए बनाए जाते हैं, जिसमें एक खुली पदानुक्रम में रूट CA पर विश्वास की एक श्रृंखला होती है। इन मध्यवर्ती नोड्स को GlobalSign द्वारा होस्ट और रखरखाव भी किया जा सकता है, जो आंतरिक टीमों के लिए PKI और विशेषज्ञ ज्ञान के प्रबंधन के बोझ को कम करता है।
  
• साझा रूट CA (प्रबंधित PKI प्लेटफ़ॉर्म)
  हालांकि कुछ स्थितियों में समर्पित रूट सीए और पदानुक्रम की आवश्यकता होती है, अधिकांश संगठन पीकेआई (प्रबंधित पीकेआई) प्रबंधन मंच पर विशेष सेवाओं का उपयोग करके प्रमाण पत्र के लिए नियामक आवश्यकताओं को पूरा कर सकते हैं। सभी में एक प्रमाण पत्र प्रबंधन पोर्टल उन्नत बिलिंग, उपयोगकर्ता प्रबंधन, रिपोर्टिंग और बहुत कुछ प्रदान करता है।
  
• साझा रूट रूट CA (इंट्रानेटएसएसएल)
  इंट्रानेटएसएसएल , पीकेआई प्रबंधन मंच के माध्यम से उपलब्ध है, आंतरिक सर्वर और अनुप्रयोगों के लिए एसएसएल / टीएलएस प्रमाणपत्र जारी करने और प्रबंधित करने के लिए एक लागत प्रभावी तरीका प्रदान करता है। ये प्रमाणपत्र किसी GlobalSign सार्वजनिक, गैर-सार्वजनिक प्रमाणन प्राधिकरण से जारी किए जाते हैं, इसलिए वे ऐसे कॉन्फ़िगरेशन शामिल कर सकते हैं जो CA / ब्राउज़र फ़ोरम सार्वजनिक प्रमाणपत्र (उदाहरण के लिए, तीन साल से अधिक समय तक वैध, आंतरिक सर्वर नाम या आरक्षित आईपी पते) के उपयोग से प्रतिबंधित करता है।
  
• IoT ट्रस्ट रूट
  IoT ट्रस्ट जड़ों में पारंपरिक ट्रस्ट जड़ों के समान लचीलापन है, लेकिन IoT की विशिष्ट आवश्यकताओं के अनुरूप हैं। समर्पित निजी पदानुक्रम, मालिकाना सार्वजनिक रूप से सुलभ इंटरमीडिएट सीए, एक खुले या निजी पदानुक्रम में रूट केंद्रों का उपयोग IoT डिवाइस, प्लेटफॉर्म, गेटवे और नेटवर्क की सुरक्षा के लिए किया जा सकता है, जो आवश्यक विश्वास के स्तर पर निर्भर करता है।
  
• ट्रस्ट के विशेष पदानुक्रम
  GlobalSign लगभग किसी भी पदानुक्रम कॉन्फ़िगरेशन का समर्थन करता है। यदि आपको ऊपर वर्णित एक के अलावा एक मॉडल की आवश्यकता है, या यह तुरंत स्पष्ट नहीं है कि कौन सा आर्किटेक्चर किसी विशेष पारिस्थितिकी तंत्र के लिए सबसे उपयुक्त है, तो एक ट्रस्ट आर्किटेक्चर के लिए विशेषज्ञ और सलाहकार के साथ चर्चा करना सबसे अच्छा है जो विशिष्ट आवश्यकताओं को पूरा करता है।

उपरोक्त किसी भी उदाहरण के लिए, CA समर्थन को आउटसोर्स किया जा सकता है। ब्रांडिंग अभी भी संभव है, लेकिन पदानुक्रमों को ग्लोबल हार्डवेयर द्वारा होस्ट किया गया और प्रबंधित हार्डवेयर और सॉफ्टवेयर के साथ सुरक्षित डेटा केंद्रों में प्रबंधित किया जाता है। गैर-मानक परिदृश्यों को एस्कॉर्ट इंजीनियरों द्वारा मदद मिलेगी।

ऐसा लगता है कि आउटसोर्सिंग के लिए अपने विश्वास के पदानुक्रम को देते हुए, आप सुरक्षा के स्तर को कम करते हैं, लेकिन व्यवहार में यह चारों ओर का दूसरा तरीका है। यह सुनिश्चित करता है कि सभी सीए घटकों को नवीनतम उद्योग सर्वोत्तम प्रथाओं के अनुसार ठीक से संरक्षित और कॉन्फ़िगर किया गया है। एक अतिरिक्त लाभ PKI का समर्थन करने के लिए आंतरिक टीमों पर लागत और संसाधन भार की बचत है। केवल कुछ दुर्लभ मामलों में (उदाहरण के लिए, एसएसएल सत्यापन / डिक्रिप्शन) मध्यवर्ती लिंक क्लाइंट पर स्थित होना चाहिए।

---