+ OpenSSL

警告!ここに書いてあるのは「オレオレ証明書」の発行手順です。私がオレオレ証明書を自分で使う目的は、特定のプロクシ(おそらく野良プログラム)のいやらしい挙動を回避することであって、本来の目的とは異なります。セキュリティ目的でオレオレ証明書のインストールを他人に薦めちゃだめですよ。

リンク	備考
オレオレ証明書をググる	Google

yum install openssl

役者(＝ホスト＝コンピュータ機)	備考
サイトサーバ	SSL通信上のサービス(https)を提供したいサイトのサーバホスト
認証局(CA)の作業ホスト	パブリックCAはベリサインなど。今回は自分がプライベートCAになって認証する（＝オレオレ認証する）ので、サイトサーバ機と同一
クライアント	httpsを利用したいホスト(WindowsXP機)

サイトサーバホスト上にあるべきもの、作るもの

ファイル	備考
秘密鍵ファイル	そのホストのIDを示すためのもの。PEM形式ファイル。ここでは拡張子.keyを使用
CSRファイル	CAに対し証明書の発行を依頼するためのもの。PKCS#10形式ファイル。ここでは拡張子.csrを使用

CAの作業ホスト上にあるべきもの、作るもの

ファイル	備考
秘密鍵ファイル	そのホストのIDを示すためのもの
証明書ファイル (PEM形式)	CAはCSRを受けて、そのサイトサーバを証明する証明書ファイルを発行する。ここでは拡張子.crtを使用

今回はサイトサーバホスト＝プライベートCA作業ホストなので、特にCA用秘密鍵ファイルは分けない。

クライアントホストにインストールするもの

ファイル	備考
証明書ファイル (DER形式)	Windows機にインストールするため、サイトサーバの証明書をPEM形式からDERに変換したもの。拡張子.derを使用

Fedora14 用の openssl パッケージに入ってた Makefile を利用した。
下準備:root になって、

mkdir ~/ssl
cd ~/ssl
ln -s /etc/pki/tls/certs/Makefile .

(1)秘密鍵ファイルを作成

make server.key

(実際に実行されるコマンドは下記)

umask 77 ;/usr/bin/openssl genrsa -aes128 2048 > server.key

パスフレーズを聞かれるので入力。

(2)秘密鍵ファイルのパスフレーズを取り除く

パスフレーズがあると安全性は高いが、Apacheの起動時にパスフレーズを聞かれる。
利便性を優先してパスフレーズを取り除いた。

openssl rsa -in server.key -out server.key

(旧)パスフレーズを聞かれるので入力。これでパスフレーズが空になった。

(3)サイトサーバ証明書の発行を依頼するCSRファイルを作成

make server.csr

(実際に実行されるコマンドは下記)

umask 77 ;/usr/bin/openssl req -utf8 -new -key server.key -out server.csr

いろいろ聞かれるが

欄	入力内容	備考
国	JP
州or県	Kanagawa
都市	Yokohama
会社名	flat7th	会社じゃないけどまぁよし
課	admin
ホスト名	*.flat7th.org	クライアントが指定するサーバホスト名
管理者メールアドレス	root＠flat7th.org
チャレンジパスワード	(空リターン)
オプション会社名	(空リターン)

と入力した。

ここで入力するホスト名についてメモ：
ホスト名は、クライアントソフト側で指定するサーバホスト名を入力するようだ。
サイトによっては、www.ドメイン名 と mail.ドメイン名 が実は同じホストであったりすると思う。あるいは内側では別でも外からは同じホストに見えるとか。
ひとつのサーバ機にいくつも鍵ファイルと証明書ファイルがあると管理が面倒、という場合、メールサーバでも同じ鍵ファイルを流用することもできるのだけど、その場合メールクライアントソフトで mail.ドメイン名 と指定するとホスト名が違うよ、と警告されてしまう。もちろんメールソフトで www.ドメイン名 と指定すれば回避できるけど、カッコ悪い。
mail.ドメイン名 と指定するためには鍵ファイル＆証明書ファイルは別にする...か、
証明書のホスト名をワイルドカード *.flat7th.org にすると、www.ドメイン名 も mail.ドメイン名 も1個でいけます。

(4)サイトサーバ証明書を作成

make server.crt

(実際に実行されるコマンドは下記)

umask 77 ;/usr/bin/openssl req -utf8 -new -key server.key -x509 -days 365 -out server.crt -set_serial 0

CSR作成時と同じ内容を入力する。

(5)各デーモンの設定ファイルで指定

(略)
httpd, postfix, dovecot それぞれで上記ファイルを参照するよう設定する。
apache用には mod_ssl のインストールが必要。

yum install -y mod_ssl

httpsでアクセスするときにダイアログが出ないようにする方法。
(略)
(フィンガープリントの内容が正しいことを目で確認する)

大変参考にさせていただいたページのメモ。

リンク	備考
OpenSSLのインストールとキーペアの生成
はじめての自宅サーバー構築 - 通信内容暗号化(OpenSSL & mod_SSL) ～ Webページ編～ -

ファイル形式について

リンク	備考
PEM形式のCSRのサポート終了について	CSRのPEM形式とPKCS#10形式について記述されている。今回の作業で普通にCSRを作ったらPKCS#10形式ファイルになっていた。
証明書のファイル形式について	DERはバイナリエンコーディングであって中身はいろいろ、ということがワカリマスタ
デジタル証明書の形式

その他

リンク	備考
CA（Certificate Authority）	@itのセキュリティ用語事典
素因数分解と暗号の話	素数を使った暗号のわかりやすい説明
こんな銀行は嫌だ	実運用でオレオレやると高木浩光氏やスラド住民に名指しされて信用ガタオチ、(以下略

警告!ここに書いてあるのは「オレオレ証明書」の発行手順です。私がオレオレ証明書を自分で使う目的は、特定のプロクシ(おそらく野良プログラム)のいやらしい挙動を回避することであって、本来の目的とは異なります。オレオレ証明書のインストールを他人に薦めちゃだめですよ。

リンク	備考
オレオレ証明書をググる	Google