Let’s Encrypt ने अमेरिकी प्रतिबंधित क्षेत्रों में सर्टिफिकेट उपयोग पर रोक लगाई [PDF]
(letsencrypt.org)- Let’s Encrypt सर्टिफिकेट ISRG द्वारा जारी किए जाने वाले SSL/TLS डिजिटल सर्टिफिकेट हैं, और सब्सक्राइबर सर्टिफिकेट का अनुरोध, स्वीकृति और उपयोग करते समय इस अनुबंध के अधिकारों और दायित्वों का पालन करेंगे
- सब्सक्राइबर को सर्टिफिकेट के identifiers पर अधिकार, जानकारी की शुद्धता, और private key के स्वामित्व व सुरक्षा की गारंटी देनी होगी, साथ ही अमेरिकी प्रतिबंध और export control नियमों का पालन करना होगा
- जो व्यक्ति या संगठन व्यापक अमेरिकी प्रतिबंधों वाले देश/क्षेत्र में स्थित हैं, वहां के कानूनों के तहत स्थापित हैं, या सामान्यतः वहीं निवास करते हैं, वे सर्टिफिकेट और ISRG द्वारा दी जाने वाली सेवाओं का उपयोग नहीं कर सकेंगे
- key leak, सर्टिफिकेट जानकारी में त्रुटि, दुरुपयोग, expiration/revocation, या अवैध गतिविधियों में उपयोग जैसी कुछ स्थितियों में सब्सक्राइबर या ISRG को सर्टिफिकेट revocation करना होगा
- यह अनुबंध मुफ्त सार्वजनिक सेवा के रूप में दिए जाने वाले सर्टिफिकेट पर ISRG की वारंटी को सीमित करता है, और liability limitation, governing law, jurisdiction, तथा contract change प्रक्रिया को निर्धारित करता है
अनुबंध का स्वरूप और मूल परिभाषाएँ
- Let’s Encrypt Subscriber Agreement सब्सक्राइबर और Internet Security Research Group(ISRG) के बीच कानूनी रूप से बाध्यकारी अनुबंध है
- यह अनुबंध ISRG द्वारा जारी SSL/TLS डिजिटल सर्टिफिकेट के प्राप्ति और उपयोग से जुड़े दोनों पक्षों के अधिकारों और दायित्वों को कवर करता है
- यदि आप किसी कंपनी, संगठन या अन्य इकाई की ओर से कार्य कर रहे हैं, तो आपको यह गारंटी देनी होगी कि आपको उस इकाई को इस अनुबंध से बाध्य करने का अधिकार है
- ACME Client Software वह software application है जो ACME protocol का उपयोग करके Let’s Encrypt सर्टिफिकेट का अनुरोध, स्वीकृति, उपयोग और प्रबंधन करता है
- Certificate एक computer-based record या electronic message है जो public key को एक या अधिक identifiers से जोड़ता है और जिसे जारीकर्ता डिजिटल रूप से sign करता है
अनुबंध की प्रभावशीलता, अवधि और शेष रहने वाले प्रावधान
- यह अनुबंध उस समय से प्रभावी हो जाता है जब ISRG से Let’s Encrypt सर्टिफिकेट जारी करने का अनुरोध किया जाता है
- प्रत्येक सर्टिफिकेट उस पर दर्ज validity period तक वैध रहता है, हालांकि इसे उससे पहले revoke किया जा सकता है
- जब तक आपके पास कोई वैध सर्टिफिकेट है, तब तक यह अनुबंध लागू रहेगा, और इसमें automatic renewal सहित renewal period भी शामिल हैं
- जब आपके पास कोई वैध Let’s Encrypt सर्टिफिकेट नहीं रहेगा, तब अनुबंध समाप्त हो जाएगा
- गोपनीयता, indemnity, warranty disclaimer, liability limitation, governing law, jurisdiction selection, ISRG के विरुद्ध दावों की सीमा, तथा गलत तरीके से प्राप्त या expired सर्टिफिकेट के उपयोग-निषेध जैसी धाराएं अनुबंध समाप्ति या expiry के बाद भी लागू रहेंगी
सब्सक्राइबर की गारंटी और जिम्मेदारियाँ
- सब्सक्राइबर को यह गारंटी देनी होगी कि वह प्रत्येक सर्टिफिकेट के अंतर्गत आने वाले identifier का वैध registrant, assignee, या उनका अधिकृत प्रतिनिधि है
- सब्सक्राइबर को यह भी गारंटी देनी होगी कि उसने identifier पर नियंत्रण किसी seizure के परिणामस्वरूप प्राप्त नहीं किया, या seizure के समय उस identifier का कोई जारी वैध उपयोग नहीं था
- सब्सक्राइबर यह गारंटी देगा कि सर्टिफिकेट में मौजूद सब्सक्राइबर/identifier जानकारी और ISRG को दी गई सारी जानकारी सही, अद्यतन, विश्वसनीय, पूर्ण और भ्रामक नहीं है
- सब्सक्राइबर को सर्टिफिकेट की public key से संबंधित private key का वैध स्वामित्व रखना होगा, और उस private key तथा उससे संबंधित activation data या device को नियंत्रित, सुरक्षित, संरक्षित और गोपनीय रखना होगा
- सब्सक्राइबर ऐसा व्यक्ति या संगठन नहीं होना चाहिए जो व्यापक अमेरिकी प्रतिबंध वाले देश/क्षेत्र में स्थित हो, वहां के कानूनों के तहत स्थापित हो, या सामान्यतः वहीं निवास करता हो
- सब्सक्राइबर अमेरिका या अन्य लागू प्रतिबंध/निर्यात नियंत्रण कानूनों के तहत निषिद्ध या प्रतिबंधित व्यक्ति नहीं होना चाहिए
- सब्सक्राइबर ऐसा व्यक्ति या संगठन भी नहीं होना चाहिए जो किसी प्रतिबंधित/निषिद्ध पक्ष के स्वामित्व या नियंत्रण में हो, या उसकी ओर से कार्य करता हो
- सब्सक्राइबर को Let’s Encrypt सर्टिफिकेट और ISRG या ISRG की ओर से दी जाने वाली सेवाओं का उपयोग लागू अमेरिकी export control और प्रतिबंध कानूनों के अनुरूप करना होगा
सर्टिफिकेट जारी करना, उपयोग और revocation दायित्व
- सर्टिफिकेट की सामग्री सब्सक्राइबर या ACME Client Software द्वारा ISRG को भेजी गई जानकारी पर आधारित होती है
- यदि ISRG सर्टिफिकेट अनुरोध स्वीकार करता है, तो वह सर्टिफिकेट बनाकर ACME protocol के माध्यम से सब्सक्राइबर को उपलब्ध कराता है
- यदि ISRG अनुरोध की वैधता सत्यापित नहीं कर पाता, तो अनुरोध अस्वीकार किया जा सकता है
- ISRG अनुबंध में उल्लिखित या अनुल्लिखित किसी भी वैध कारण से, अपने एकमात्र विवेकाधिकार पर, सर्टिफिकेट अनुरोध अस्वीकार कर सकता है
- key pair सब्सक्राइबर या ACME Client Software द्वारा सब्सक्राइबर के सिस्टम पर बनाया जाता है, और ISRG को private key तक पहुंच नहीं होती
- ISRG तकनीकी तरीकों और protocols के माध्यम से लक्षित identifier पर नियंत्रण की पुष्टि करता है; यह प्रक्रिया सर्टिफिकेट जारी करने का निर्णय लेने में सहायता के लिए है
- सब्सक्राइबर को सर्टिफिकेट की सामग्री की तुरंत जांच करनी चाहिए, और यदि कोई अशुद्धि, त्रुटि, दोष या अन्य समस्या पता चले तो तुरंत revocation का अनुरोध करना चाहिए
- सर्टिफिकेट का पहला उपयोग, या संबंधित private key का पहला उपयोग, सर्टिफिकेट की स्वीकृति माना जाएगा
- प्रारंभिक जांच के तुरंत बाद revocation का अनुरोध न करना भी सर्टिफिकेट की स्वीकृति माना जाएगा
- ISRG सर्टिफिकेट की प्रतिलिपि बनाने और वितरित करने के लिए, तथा अनुबंध के अनुपालन की शर्त पर, non-exclusive और royalty-free license देता है
- सर्टिफिकेट का उद्देश्य इंटरनेट संचार का authentication और encryption करना है
- सब्सक्राइबर को सर्टिफिकेट केवल उन servers पर install करना चाहिए जो सर्टिफिकेट के subjectAltName में दर्ज हैं, और इसका उपयोग सभी लागू कानूनों और अनुबंधों के अनुरूप होना चाहिए
- सब्सक्राइबर को ऐसे software या hardware architecture में सर्टिफिकेट का उपयोग नहीं करना चाहिए जो encrypted communication में हस्तक्षेप करने की क्षमता देता हो
- निषिद्ध उदाहरणों में active eavesdropping, man-in-the-middle attacks, और ऐसे domain name या IP address के traffic को संभालना शामिल है जिनका स्वामित्व या नियंत्रण सब्सक्राइबर के पास नहीं है
- यदि private key के दुरुपयोग या key leak की वास्तविक या संदिग्ध घटना हो, तो संबंधित सर्टिफिकेट के revocation का तुरंत अनुरोध करना होगा
- यदि सर्टिफिकेट की जानकारी भ्रामक, अशुद्ध या गलत हो जाए, तो संबंधित सर्टिफिकेट के revocation का तुरंत अनुरोध करना होगा
- revocation reason code देने से पहले Let’s Encrypt दस्तावेज़ में “Revoking Certificates” निर्देशों की समीक्षा करनी चाहिए
- यदि ISRG को लगे कि कोई अन्य revocation reason code अधिक उपयुक्त है या industry standard के अनुसार आवश्यक है, तो वह सब्सक्राइबर द्वारा दिए गए reason code को संशोधित कर सकता है
- यदि सर्टिफिकेट की जानकारी भ्रामक, अशुद्ध या गलत हो, या सर्टिफिकेट revoke या expire हो गया हो, तो उसका उपयोग तुरंत बंद करना होगा
- यदि सर्टिफिकेट key compromise के ज्ञात या संदिग्ध होने के कारण revoke किया गया हो, तो उस public key से संबंधित सभी private keys का उपयोग तुरंत बंद करना होगा
ISRG के अधिकार, liability limitation और अतिरिक्त शर्तें
- सब्सक्राइबर द्वारा ISRG को भेजी गई जानकारी और सर्टिफिकेट सार्वजनिक रिकॉर्ड बन सकते हैं
- ISRG द्वारा जानकारी का संग्रह, भंडारण, उपयोग और प्रकटीकरण Let’s Encrypt Privacy Policy के अधीन है
- यदि ISRG को यह सूचना मिलती है कि सर्टिफिकेट अमान्य है या compromise हो चुका है, तो वह उसे तुरंत revoke कर सकता है
- ISRG अपने एकमात्र विवेकाधिकार से तय करता है कि सर्टिफिकेट revoke किया जाए या नहीं
- यदि सब्सक्राइबर या उसका एजेंट सर्टिफिकेट revocation का अनुरोध करता है, तो ISRG यथाशीघ्र उस सर्टिफिकेट को revoke करेगा
- private key से signed revocation request को स्वतः वैध अनुरोध माना जाएगा
- यदि सर्टिफिकेट गलत तरीके से जारी किया गया हो, या false statement, concealment, या fraud के जरिए प्राप्त किया गया हो, तो ISRG बिना पूर्व सूचना के उसे तुरंत revoke कर सकता है
- यदि सर्टिफिकेट अविश्वसनीय हो गया हो या ऐसा प्रतीत होता हो, तो ISRG बिना पूर्व सूचना के उसे तुरंत revoke कर सकता है
- यदि private key की सुरक्षा चोरी, गुम, क्षतिग्रस्त, या unauthorized use के जोखिम में हो सकती है, तो ISRG बिना पूर्व सूचना के उसे तुरंत revoke कर सकता है
- यदि सर्टिफिकेट phishing, fraud, malware distribution जैसी आपराधिक गतिविधियों को सक्षम करने में उपयोग हुआ हो या हो रहा हो, तो ISRG बिना पूर्व सूचना के उसे तुरंत revoke कर सकता है
- यदि सर्टिफिकेट किसी अन्य के traffic को intercept करने के लिए उपयोग हुआ हो या हो रहा हो, तो ISRG बिना पूर्व सूचना के उसे तुरंत revoke कर सकता है
- Let’s Encrypt सर्टिफिकेट और ISRG द्वारा प्रदान की जाने वाली सेवाएँ, जहां स्पष्ट रूप से कुछ और न कहा गया हो, “as is” आधार पर दी जाती हैं, और ISRG title, non-infringement, merchantability, या किसी विशेष उद्देश्य के लिए suitability की implied warranty से इनकार करता है
- चूंकि Let’s Encrypt सर्टिफिकेट एक मुफ्त सार्वजनिक सेवा के रूप में जारी किए जाते हैं, ISRG सर्टिफिकेट से संबंधित किसी भी हानि, नुकसान, दावे, या attorney fees के लिए जिम्मेदार नहीं होगा
- इस अनुबंध पर California राज्य का कानून लागू होगा, और अनुबंध से जुड़े दावे, मुकदमे या कार्यवाही California के San Jose स्थित राज्य या संघीय अदालतों में दायर किए जाने चाहिए
- ISRG के विरुद्ध अनुबंध से संबंधित कोई भी दावा, मुकदमा या कार्यवाही कथित हानि, नुकसान या अवैध कृत्य की तारीख से 1 वर्ष के भीतर शुरू करनी होगी
- ISRG समय-समय पर अनुबंध में संशोधन कर सकता है, और संशोधित अनुबंध प्रभावी होने से कम से कम 14 दिन पहले letsencrypt.org पर प्रकाशित किया जाएगा
- महत्वपूर्ण बदलाव ACME protocol में नए Subscriber Agreement version number के रूप में दिखाए जाएंगे, और ACME Client Software को ऐसे बदलावों की सूचना देने के लिए कॉन्फ़िगर किया जा सकता है
- सर्टिफिकेट अनुरोध के समय ISRG सर्टिफिकेट अनुरोध/उपयोग, सर्टिफिकेट revocation, और सेवा समाप्ति से संबंधित ईमेल भेज सकता है
- यदि ACME API के माध्यम से ईमेल पता दिया जाता है, तो ISRG अतिरिक्त communication subscription options का प्रस्ताव देने वाला एक अतिरिक्त ईमेल भेज सकता है
1 टिप्पणियां
Hacker News की राय
Let’s Encrypt का मिशन एक अधिक सुरक्षित और privacy का सम्मान करने वाला web बनाना है, लेकिन लगता है कि इसमें वही लोग बाहर रह जाते हैं जिन्हें इसकी सबसे ज़्यादा ज़रूरत है
हालांकि, यह शायद अमेरिका की उस बेतुकी कानूनी मांग से पैदा हुआ मामला है जिसमें शत्रु देशों को SSL technology export न करने की बात है। कुछ लोगों को वह दौर याद होगा जब web browser के “international-friendly” versions सिर्फ 40-bit encryption support करते थे, और “advanced security” versions 128-bit encryption support करते थे
sanctions से जुड़े ज़्यादातर blocks सिर्फ खास sanctioned देशों की governments पर लागू होते हैं, आम नागरिकों पर नहीं
subscriber agreement का यह update कानूनी आवश्यकताओं को बेहतर ढंग से दर्शाने के लिए था, यह दी जा रही service में कोई बड़ा बदलाव नहीं है। compliance programs समय के साथ बदलते हैं, और terms में उसे बेहतर तरह से बताना भी उसी का हिस्सा है। यहां की टिप्पणियाँ देखकर साफ़ लगता है कि wording को और समझने लायक बनाने की ज़रूरत है, और हम उस हिस्से में सुधार करेंगे
और यह “शत्रु देशों को SSL technology export न करने वाले अमेरिकी कानून” की वजह से नहीं है
विदेश में लोगों ने उन printed pages को scan करके source restore किया और कानूनी रूप से PGP build किया
https://ofac.treasury.gov/ofac-license-application-page
अमेरिका-आधारित कई Linux distributions पहले से कुछ समय से इसी दिशा में चल रही हैं, और RedHat भी Let’s Encrypt जैसी ही सूचना देता रहा है
अगर कोई open project सचमुच मायने रखता है, तो अंततः उसे RISC-V की तरह स्थानांतरित होने या Let’s Encrypt और दूसरे projects की तरह अलगाव लागू करने के बीच रास्ता चुनना पड़ सकता है
http://www.cypherspace.org/adam/uk-shirt.html
यह एक T-shirt थी जिस पर Perl script छपी थी, जो इतनी मजबूत RSA encryption implement करती थी कि अगर उसे अमेरिका से export किया जाता तो तकनीकी रूप से वह गैरकानूनी होती
अफ़सोस, 90 के दशक के आख़िर में मैं इतना लापरवाह या बहादुर नहीं था कि वह T-shirt पहनकर अमेरिका चला जाता
क्या Let’s Encrypt यूरोप या अमेरिका और उसके अधीनस्थ सहयोगी क्षेत्रों के बाहर कोई शाखा नहीं बना सकता था?
यह उसके About page में बताए गए लक्ष्यों के उलट है। वहां कहा गया है: “जनहित के लिए संचालित service”, “domain name रखने वाला कोई भी व्यक्ति मुफ्त में trusted certificate पा सकता है”, और “किसी एक organization के control से परे community के हित के लिए एक संयुक्त प्रयास” — लेकिन अब वे मान रहे हैं कि वे राजनीतिक संगठनों के नियंत्रण में हैं
2026-06-04 को subscriber agreement में जोड़ा गया पाठ कहता है कि व्यक्ति या संस्था किसी व्यापक अमेरिकी sanctions वाले देश या क्षेत्र में स्थित न हो, वहां के कानून के तहत स्थापित न हो, वहां का सामान्य निवासी न हो, अमेरिका या अन्य लागू sanctions/export control laws के तहत निषिद्ध या प्रतिबंधित न हो, और न ही ऐसे किसी पक्ष के स्वामित्व, नियंत्रण या प्रतिनिधित्व में हो; साथ ही Let’s Encrypt certificates और ISRG services का उपयोग अमेरिकी export control और sanctions laws के अनुरूप होना चाहिए
बेहतर होगा कि इसे Singapore या Uruguay जैसे तटस्थ देशों में ले जाया जाए
कोई alternative route बनाना तकनीकी रूप से domain name या IP address system जितना लगभग मामूली काम है, लेकिन उस alternative route को दुनिया के बाकी भागीदारों से स्वीकार्य trust दिलाना कहीं ज़्यादा कठिन है
मान लीजिए किसी ने Russian version of Let’s Encrypt बना लिया। certificate request करने और ACME challenge के जरिए उसे पाने वाला technical हिस्सा मौजूदा LE जैसा ही हो सकता है। लेकिन कोई browser उसे valid नहीं मानेगा, और कोई operating system भी नहीं। Russian government अपने सरकारी computers में नए LE को trusted root के रूप में जोड़ सकती है, लेकिन असली काम दुनिया के बाकी भागीदारों को भी ऐसा करने के लिए राज़ी करना है। समस्या technology की नहीं, trust पर बनी एक social problem की है
जब Russia ने Ukraine पर आक्रमण किया था, तब IANA/ICANN को Russia को domain names और IP addresses से काट देना चाहिए या नहीं, इस पर बड़ी बहस हुई थी। निष्कर्ष यह था कि ऐसा नहीं करना चाहिए, क्योंकि उसका प्रतीकात्मक लाभ कम और पूरे system को होने वाला नुकसान — खासकर युद्ध के बाद भी — बहुत बड़ा होता। अगर दो roots हो जाएँ, तो domain name या IP address अचानक दो जगहों की ओर इशारा कर सकते हैं, और बाद में उसे ठीक करना बेहद दर्दनाक हो जाता है। certificate authorities में यह गुण नहीं होता, इसलिए लगभग अनंत संख्या में roots साथ रह सकते हैं और hash collision न होने की स्थिति में वे आपस में टकराते भी नहीं। अगर Russia नई certificate authority शुरू करे, तो जो लोग चाहें वे आज से उसका उपयोग कर सकते हैं, और युद्ध खत्म होने के बाद भी करते रह सकते हैं
Iran कई महीनों से इंटरनेट बंद कर रहा है, और अमेरिका सुरक्षित कनेक्शन बनाना ही प्रतिबंधित कर रहा है, सच में कितना “effective” है।
रूस के अर्ध-सरकारी संगठन रूस के निवासियों पर नज़र रखने के लिए सेंसरशिप सिस्टम TSPU पर खगोलीय मात्रा में ruble खर्च कर रहे हैं, और अमेरिका सुलभ encryption पर रोक लगाकर उनकी मदद ही कर रहा है ताकि वे मौजूदा encrypted traffic तक भी झाँक सकें
यह सिर्फ terms update है ताकि यह साफ किया जा सके कि वे संबंधित क़ानून का पालन कर रहे हैं, इससे इन दोनों देशों की स्थिति में कोई बदलाव नहीं आया है
नतीजा यह हुआ कि लोग और कंपनियाँ सरकार-समर्थित local cloud services पर चली गईं, और सरकार के लिए bank, e-commerce, online taxi hailing, food delivery जैसी ज़रूरी सेवाएँ बंद किए बिना जब चाहे तब इंटरनेट access काटना बहुत आसान हो गया
और Roskomnadzor स्पष्ट रूप से सरकार का हिस्सा है
यह बात उस सहज धारणा को मज़बूत करती है कि digital certificates आख़िरकार certificate authority के मालिकों की ओर से बहिष्कार लागू करने का साधन हैं
चाहे software हो, firmware हो, hardware हो, या इस मामले की तरह SSL/TLS, यह लोगों को उन चीज़ों पर पूर्ण स्वामित्व और नियंत्रण से वंचित करने का उपकरण है जो digital certificates से प्रभावित होती हैं। भेष बदला हुआ digital tyranny है
कम से कम अभी तक उपयोगकर्ता भी certificate authorities को जोड़ या हटा सकते हैं। Smartphone जैसे devices में यह नियंत्रण थोड़ा कम स्पष्ट है
software packages पर sign करने वाले digital certificates का इस्तेमाल कुछ manufacturers बहिष्कार लागू करने के लिए करते हैं। मेरी जानकारी में Let’s Encrypt उस क्षेत्र में नहीं है, लेकिन उस स्थिति में मालिक के पास यह तय करने का अधिकार नहीं होता कि किस certificate authority पर भरोसा किया जाए, और आमतौर पर केवल manufacturer ही trusted party के रूप में शामिल होता है। तकनीकी रूप से देखें तो package-signing root certificate का मालिक होने पर भी, ऐसे पक्ष को certificate authority कहना चाहिए या नहीं, यह भी विवाद का विषय है
ज़्यादातर simple services को शायद TLS की ज़रूरत न हो, लेकिन जब ISP संचार में झाँक रहा हो, तब सुरक्षित communication का तरीका चाहिए, और फिलहाल सबसे अच्छा समाधान trust chain बनाना ही है
अगर आपको trust के बिना सिर्फ encryption चाहिए, तो self-signed certificate इस्तेमाल करें
जैसे ही आप किसी sanctioned entity के साथ लेन-देन करते हैं, ऐसा लगता है कि आप पूरा contract तोड़ देते हैं और सारे certificates revoke होने का जोखिम पैदा हो जाता है, जिसमें non-sanctioned देशों के certificates भी शामिल हैं
शुरुआत से ही इसे “Subscriber Agreement” कहा गया है, जो ऐसा नाम नहीं है जिससे लगे कि इसका दायरा सिर्फ एक certificate तक सीमित है। और “Certificates” बहुवचन में अधिकारों और दायित्वों से जुड़े contract की बात भी की गई है
2.1 “Term” में कहा गया है कि agreement “आपके किसी भी certificate की पूरी validity period” तक लागू रहता है, और 3.1 “Warranties” में लिखा है “Let’s Encrypt certificate को request, accept, या use करके”, इसलिए इसका दायरा काफ़ी व्यापक लगता है
यह सच में बुरा है। लगभग सबसे बुरा। अगर sanctioned देशों में सभी local services रुकने लगें, तो वहाँ की सरकारें सभी users को root certificate install करने के लिए मजबूर करेंगी या local services और websites की access ही काट देंगी
फिर उस root certificate का इस्तेमाल man-in-the-middle attacks के लिए किया जा सकेगा। सबसे बुरी स्थिति में ज़्यादातर users root certificate install कर लेंगे, और फिर state deep packet inspection equipment सारे traffic पर man-in-the-middle attack कर सकेगा और जिस traffic पर ऐसा न हो सके उसे पूरी तरह block कर देगा
क्या यह canary है?
अगर Greenland, Cuba, EU जैसी जगहों में कोई Let’s Encrypt certificate नया इस्तेमाल करे या इस्तेमाल जारी रखे, तो क्या होगा?
क्या Let’s Encrypt को subpoena मिला है?
उन्हें जो बताया गया होगा, वह ऐसी जानकारी है जो public logs में दर्ज होती है और जिसे कोई भी देख सकता है, भले ही उसे “subpoena” की spelling न आती हो या वह उसे जारी करना न जानता हो
कुछ लोग कल्पना करते हैं कि certificate authorities के पास कोई secret होता है, और users ने वह secret बनाकर authority को भेजा, या authority ने secret बनाकर उसकी copy users को दी, इसलिए अमेरिकी सरकार subpoena से वह secret हासिल कर सकती है। लेकिन public key infrastructure का पूरा सार यही है कि यह public key cryptography का इस्तेमाल करता है। अगर हर जगह सबके पास secrets होने पर भी काम चल जाता, तो इस पूरी संरचना की ज़रूरत ही नहीं पड़ती
क्या यह सच में नई बात है? मुझे तो यह encryption technology पर सामान्य US export restrictions जैसा लगता है। ऐसी पाबंदियाँ 90 के दशक से हैं
अगर Let’s Encrypt एक अमेरिकी company है, या आप GitHub पर कुछ डालते हैं, या किसी बड़े app store पर कुछ publish करते हैं, तो आप अमेरिकी crypto export restrictions के दायरे में आते हैं। हर बार जब मैं Google Play पर app publish करता था, तो मुझे एक form जमा करना पड़ता था जिसमें अमेरिकी सरकार को बताना होता था कि वह app encryption का इस्तेमाल कैसे करता है
ऐसी पाबंदियाँ 1950 के दशक के उत्तरार्ध से लागू हैं, और computer encryption के साथ इनका लंबा और जटिल इतिहास रहा है। यह wording अमेरिकी EAR export requirements का पालन करने के लिए ज़रूरी सामान्य commercial wording जैसी लगती है
उन numbers में तकनीकी रूप से कुछ खास नहीं है; वे उस सामाजिक अनुबंध के दायरे में आते हैं जहाँ trust chain ने उन्हें मान्यता दी है
“sanction” शब्द सच में काफ़ी पसंद आता है। यह खुद अपने ही विलोम जैसा है
“The committee sanctioned the new policy.” में इसका मतलब स्वीकृत किया, और “The committee sanctioned the rogue nation.” में इसका मतलब प्रतिबंध लगाया होता है
cleaveजैसे स्व-विलोम शब्द काफ़ी हैंवेब certificates के लगभग 60% को एक ही provider पर केंद्रित कर देना शायद गलती रही होगी