ነጻ መሣሪያ

የእልፍ ሰርተፊኬት መሣሪያ፦ ቁልፎች እና ሰርተፊኬቶች ያለ OpenSSL

ለማንኛውም ሰርተፊኬት ሰጪ የግል ቁልፍ እና CSR ያዘጋጁ፣ የሰርተፊኬት ፋይሎችን ያንብቡ እና ይቀይሩ፣ ይፈርሙ እና ያመስጥሩ፤ በዚህ ገጽ ወይም ለ Windows፣ Mac እና Linux በነፃ መተግበሪያ። ለኢትዮጵያ የገቢዎች ኤሌክትሮኒክ ደረሰኝ፣ ለፋይዳ፣ ለቴሌብር እና ለባንክ ውህደቶች የተዘጋጀ፣ ለማንኛውም ሰርተፊኬት የሚጠቅም። ቁልፎችዎ በኮምፒውተርዎ ይቆያሉ።

በቀላል ቋንቋ

• የግል ቁልፍ፦ ሚስጥርዎ ነው። ስለእርስዎ ይፈርማል። የያዘው ሰው እንደ እርስዎ መሥራት ይችላል፤ ስለዚህ ለማንም አይላክም።
• የአደባባይ ቁልፍ፦ ማንም ሊያየው የሚችል ተጓዳኝ ክፍል። የግል ቁልፉ የፈረመውን ያረጋግጣል።
• CSR፦ የሰርተፊኬት ጥያቄ። ዝርዝርዎን እና የአደባባይ ቁልፍዎን ይይዛል፤ የግል ቁልፉን በጭራሽ አይይዝም። ለሰጪው አካል የሚሰጡት ይህ ነው።
• ሰርተፊኬት፦ ሰጪው አካል የሚመልስልዎት። ይህ የአደባባይ ቁልፍ የእርስዎ መሆኑን እስከ ተወሰነ ቀን ያረጋግጣል።
• የሰርተፊኬት ሰጪ (CA)፦ ሰርተፊኬት የሚሰጥ አካል። ለገቢዎች ኤሌክትሮኒክ ደረሰኝ INSA ነው።
• ሰንሰለት፦ ሰርተፊኬትዎ እና የሰጡት አካላት ሰርተፊኬቶች በአንድ ላይ።
• የፋይል ቅርጸቶች፦ PEM ጽሑፍ ነው፤ DER ያው በባይነሪ ነው፤ Base64 ባይነሪን እንደ ጽሑፍ መጻፊያ ነው። PFX (ወይም P12) ቁልፍ እና ሰርተፊኬቶችን በአንድ የይለፍ ቃል ይይዛል። P7B ሰርተፊኬቶችን ብቻ ይይዛል። JWK በ JSON የተጻፈ ቁልፍ ነው።

የገቢዎች ኤሌክትሮኒክ ደረሰኝ፣ ደረጃ በደረጃ

• የድርጅትዎን ስም፣ TIN፣ የሲስተም ቁጥርና ኢሜይል ያስገቡ፣ ከዚያም ያዘጋጁ።
• የግል ቁልፉን አውርደው በደህና ያስቀምጡ። ሌላ ቦታ የለም።
• CSRን አውርደው ከሰርተፊኬት ጥያቄ ቅጽ ጋር ወደ INSA (ica@insa.gov.et) በኢሜይል ይላኩ።
• ሰርተፊኬቱ ሲደርስ በደረጃ 3 ይምረጡትና Base64ን ይቅዱ።
• ለእድሳት፣ ሲስተሞችዎ ያንኑ ቁልፍ እንዲቀጥሉ «ያለኝን ቁልፍ ልጠቀም» ይምረጡ።
• የኤሌክትሮኒክ ደረሰኝ ሥርዓትዎ የትም ይሁን፣ በራስዎ አገልጋይ፣ በሆስቲንግ ኩባንያ ወይም በኮምፒውተርዎ ላይ እንደ ወኪል፣ የቁልፍ ፋይሉ ያ ሥርዓት በሚያስቀምጠው ቦታ ብቻ፣ በእርስዎ ቁጥጥር ይሆናል።

ፋይዳ፣ ብሔራዊ መታወቂያ

• መመሪያው private_key_jwt ከ RS256 ጋር ይጠቀማል። ሚስጥራዊ የደንበኛ ኮድ የለም፤ ሥርዓትዎ በ RSA የግል ቁልፍ ይፈርማል።
• የሙከራ ደንበኛ፦ እዚህ አዲስ RSA 2048 ቁልፍ ያዘጋጁ እና የአደባባይ JWK ያስመዝግቡ።
• እውነተኛ አጠቃቀም፦ የአጋር ሰርተፊኬትዎን የግል ቁልፍ ይጠቀሙ። መሣሪያው መመሳሰላቸውን ያረጋግጣል፤ የተለየ ቁልፍ invalid_client ያስከትላል።
• ባለ አንድ መስመር Base64 እሴቱን ወደ አገልጋይዎ PRIVATE_KEY ቅንብር ይቅዱ። ከኮድ እና ከኢሜይል ያርቁት።

ሥርዓትን በ eSignet በኩል ከፋይዳ ጋር ለሚያገናኙ ድርጅቶች። በፋይዳ ፕሮግራም አባል የታተመውን የ VeriFayda 2.0 ውህደት መመሪያ ይከተላል፤ ስለዚህ ዝርዝሮቹን ከፋይዳ ቡድን ጋር ያረጋግጡ። ይህ መሣሪያ የመታወቂያ ካርድ አያነብም፤ የማንንም የመታወቂያ መረጃ አይይዝም።

ቴሌብር እና ባንኮች

• ቴሌብር፦ ክፍት ምንጭ ውህደቶች የ RSA ቁልፍ ጥንድን ይገልጻሉ። የአደባባይ ቁልፍዎን፣ ብዙ ጊዜ በአንድ መስመር Base64 ያለ ራስጌ፣ ለቴሌብር ይሰጣሉ፤ በግል ቁልፍዎ ይፈርማሉ። አንዳንዶቹ በ RSA-PSS፣ አንዳንዶቹ በ PKCS#1 ይፈርማሉ፤ ስለዚህ የቴሌብር የገንቢዎች ፖርታልን ይከተሉ።
• ባንኮች እና የክፍያ ሥርዓቶች፦ እያንዳንዱ የራሱ ሕግ አለው። የቁልፍ ዓይነቱን እና መጠኑን፣ የ CSR መስኮች ምን መያዝ እንዳለባቸው እና እንዴት እንደሚላክ የውህደት ቡድኑን ይጠይቁ።
• አቅራቢው ማንም ይሁን የግል ቁልፉ ከእርስዎ ጋር ይቆያል። ወደ እነሱ የሚሄደው CSR ወይም የአደባባይ ቁልፍ ብቻ ነው።

እነዚህ ውህደቶች እርስዎ የሚያዘጋጁትን የቁልፍ ጥንድ ወይም CSR ይጠቀማሉ። ይህ መሣሪያ ይፋዊ የቴሌብር ወይም የባንክ ሰነድን አይከተልም፤ ስለዚህ ዝርዝሩን ከአቅራቢው ጋር ያረጋግጡ።

ሌሎች ሰጪ አካላት እና ድረ ገጾች

“ድረ ገጽ” ወይም “ሌላ ሰጪ አካል” ይምረጡ፣ ሰጪው የሚጠይቀውን ይሙሉ እና ያዘጋጁ። እያንዳንዱ ሰጪ ለቁልፍ ዓይነት፣ መጠን እና አመልካከት የራሱ ሕግ አለው፤ ብዙዎቹ CSRን በኢሜይል ሳይሆን በድረ ገጻቸው ቅጽ ይቀበላሉ፤ መመሪያቸውን ይከተሉ። እንደ teleSign ያሉ ሌሎች የኢትዮጵያ አገልግሎቶች የራሳቸው አሠራር አላቸው። ሰጪዎ ኢሜይል የሚቀበል ከሆነ መሣሪያው CSR የተያያዘበት መልእክት ያዘጋጃል፤ የኮምፒውተር መተግበሪያው በራስዎ የኢሜይል አገልጋይ መላክም ይችላል።

የትኛው የ OpenSSL ትእዛዝ የት አለ

• openssl genpkey, genrsa, ecparam: Key and CSR
• openssl req -new: Key and CSR
• openssl req -x509, openssl x509 -req -CA: Own certificates
• openssl x509 -text, req -text, verify: Read a file
• openssl pkcs12, pkcs8, pkey, rsa, x509 -outform, crl2pkcs7, certutil -encode: Convert
• openssl dgst, dgst -sign, dgst -verify, enc, rand: Sign and encrypt
• openssl s_client: Check a server (desktop app)

የማይሠራው

• የታመነ ሰርተፊኬት አይሰጥም፦ ያንን መስጠት የሚችለው ሰጪ አካል ብቻ ነው። በራስዎ የፈረሙት ለራስዎ ሥርዓቶች እና ለሙከራ ነው።
• የትእዛዝ መስመር ወይም ስክሪፕት የለውም፦ በአገልጋይ ላይ አውቶማቲክ ለማድረግ OpenSSL ይቀራል።
• USB ቶከን ወይም ስማርት ካርድ አይጠቀምም፦ ቁልፉ ፋይል መሆን አለበት።
• S/MIME፣ CMS፣ CRL፣ OCSP፣ secp256k1 እና MD5 የሉትም።
• በአሮጌው OpenSSL የይለፍ ቃል የተጠበቁ PEM ቁልፎች (Proc-Type መስመር ያላቸው) አይከፈቱም። በ PKCS#8 ቅርጸት ያሉት ይከፈታሉ።

የግል ቁልፍዎን በደህና ይያዙ

ይህን ቁልፍ የያዘ ማንኛውም ሰው በስምዎ ደረሰኝ መፈረም ይችላል። የሚያምኑትን ኮምፒውተር ይጠቀሙ፣ ምትኬውን በደህና ቦታ ያስቀምጡ፣ ቁልፉን በኢሜይል ወይም በቻት አይላኩ፣ ለእያንዳንዱ የሲስተም ቁጥርም አንድ ቁልፍ ይጠቀሙ።

የግል ቁልፌ ወደ እልፍ ይሄዳል?

አይሄድም። አሳሽዎ ቁልፉን በራሱ አብሮ በተሠራ ክሪፕቶግራፊ ያዘጋጃል፤ ይህ ገጽም ወደ የትም አይልከውም። ለማረጋገጥ ገጹን ከፍተው ኢንተርኔት ያቋርጡና ያዘጋጁ፤ አሁንም ይሠራል።

ከOpenSSL ይልቅ ይህን መጠቀም እችላለሁ?

አዎ። የMoR የሰርተፊኬት መመሪያ የOpenSSL ትእዛዞችን በምሳሌነት ይጠቀማል፣ ሌሎች መሣሪያዎችም መጠቀም እንደሚቻል ይገልጻል። ይህ ገጽ ተመሳሳይ የ3024 ቢት RSA ቁልፍ በተመሳሳይ መደበኛ ቅርጸት፣ መመሪያው የሚጠይቃቸውን መስኮች የያዘ CSRም ያዘጋጃል።

ወደ INSA ምን እልካለሁ?

የCSR ፋይሉንና የተሞላውን የሰርተፊኬት ጥያቄ ቅጽ ብቻ፣ በኢሜይል ወደ ica@insa.gov.et። የግል ቁልፉን በፍጹም አይላኩ።

አንድ ሰርተፊኬት በቂ አይደለም የሚለው ለምንድነው?

የMoR የተፈረመ መግቢያ ብቻውን ያለ ሰርተፊኬትን በስህተት 67012 አይቀበልም። INSA የሚሰጠውን ሙሉ ሰንሰለት ይፈልጋል፦ የእርስዎን ሰርተፊኬትና የሰጡትን ሰርተፊኬቶች።

ከETEIMS እና ከሌሎች ሲስተሞች ጋር ይሠራል?

አዎ፣ ፋይሎቹ መደበኛ ናቸው። ራስዎ በሚያስተዳድሩት ሰርቨር ላይ ቁልፉንና ሰርተፊኬቱን ወደ ሲስተምዎ ያስገቡ። እልፍ በሚያስተናግደው ሲስተም ላይ፣ ቁልፍዎ ከፊርማ ኤጀንቱ ጋር በራስዎ ማሽን ላይ ሊቆይ ይችላል፤ ኤጀንቱ የራሱን ቁልፍም ማዘጋጀት ይችላል። ወደ ተስተናጋጅ ሲስተም መጫን ማስረከብ ስለሆነ የተመዘገበ ፈቃድዎን ይፈልጋል።

የፋይዳ ቁጥሬን ወይም መታወቂያዬን እዚህ መጠቀም እችላለሁ?

አይ፣ አያስፈልግም። ይህ መሣሪያ ሥርዓታቸውን ከፋይዳ ጋር ለሚያገናኙ ድርጅቶች ነው። ቁልፎቻቸውን ያዘጋጃል እና ይቀይራል። የመታወቂያ ቁጥር፣ ካርድ ወይም የጣት አሻራ በጭራሽ አይጠይቅም።

መሣሪያው CSRዬን እንዴት ይልካል?

በዚህ ገጽ CSR የተያያዘበት የኢሜይል ረቂቅ ያዘጋጃል፤ በኢሜይል ፕሮግራምዎ ይከፈታል። የኮምፒውተር መተግበሪያው ራሱ መላክ ይችላል፦ የኢሜይል አገልጋይዎን ዝርዝር አንድ ጊዜ ያስገቡ። ኢሜይሉ ከመለያዎ በአገልጋይዎ ይሄዳል፤ በእልፍ በኩል አያልፍም፤ የይለፍ ቃልዎም አይቀመጥም። የግል ቁልፍ የያዘ አባሪ አይላክም።

Windows ወይም Mac ስለ መተግበሪያው ለምን ያስጠነቅቃል?

መተግበሪያው ገና የኮድ ፊርማ ሰርተፊኬት የለውም፤ ስለዚህ ሥርዓትዎ አሳታሚውን አያውቀውም። ቅጂዎ ትክክል መሆኑን ለማረጋገጥ SHA-256ን በዚህ ገጽ ባለው የሃሽ መሣሪያ ከታተመው ዝርዝር ጋር ያወዳድሩ።

የኮምፒውተር መተግበሪያው ምን ይልካል?

እርስዎ የጠየቁትን ብቻ፦ ኢሜይልዎን በአገልጋይዎ፣ እና እንዲፈትሽ ከጠየቁት አገልጋይ ጋር ግንኙነት። ክትትል እና የማሻሻያ ፍተሻ የለውም፤ ቁልፎችዎ ከገጹ አይወጡም። የሚሠራበት አድራሻ ከራስዎ ኮምፒውተር ብቻ ነው የሚደረስበት።

ቴሌብር CSR ይፈልጋል?

ክፍት ምንጭ ውህደቶች ከ CSR ይልቅ የአደባባይ ቁልፍዎ ለቴሌብር የሚሰጥበትን የቁልፍ ጥንድ ይገልጻሉ። መሣሪያው ሁለቱንም ያዘጋጃል፤ ስለዚህ ለማንኛውም ዝግጁ ይሆናሉ። በቴሌብር የገንቢዎች ፖርታል ያረጋግጡ።

ኤሌክትሮኒክ ደረሰኝ ማስጀመር ይፈልጋሉ? ያነጋግሩን