[upki-odcert:11] Re: MirapointでCSR発行できません（＋CSRの制限についての要望）

[Kazunori Kawauchi <xxxx@xxxxxxxxxxxxxxxxxxxxx>]

国立情報学研究所　島岡様，

ご返答いただきありがとうございます．
清泉女子大学の河内です．

こちらの要望をきちんと一つの意見として受け止めていただいて感謝しております．

STの件は，多くはIIS側の問題であると私も思っています．分かっているのですがIISの
ウィザードが利用できないために申請操作が困難になってしまう人々が出てしまうので，
「できれば救っていただきたい」という思いを述べさせていただきました．
＃私のいる大学は文系単科大学という場所柄か，コンピュータに苦手な方が多く…
＃私どもの部署で（≒私が）一括で面倒を見ることになってしまうのです．
md5署名の件と合わせて，将来的に変更・改善される余地があることが（実現の可能性は
低いかもしれませんが）確認できて良かったと思っています．

Mirapointへ証明書のインストールができた際には，このMLで報告させていただきたいと
思います．

今後ともよろしくお願いいたします．

河内 一了 / kazunori kawauchi
清泉女子大学 情報環境センター 嘱託職員

Masaki SHIMAOKA さんは書きました:
> 河内様
> 
> 島岡@niiです。
> 
>> 2. CSRの制限が「キツイ」と感じることがあるのですが、セキュリティ上の脆
> 弱性などの
>> 根拠を示して我々を諭していただくか、ユーザの利便性をかんがみて制限をゆ
> るめていた
>> だけないでしょうか？
> 
> これは残念ながらセキュリティ的な話とかではなく、調達したシステムの名前
> 空間の制約によるものです。。。
> で、この制約を解消するには大幅な改修が必要になるようで、現状では手を入れ
> にくい、というのが正直なところです。
> 
>> 「STを省略する必要がなければ、IISのCSR発行ウィザードが使えたのに」
> 
> これについても多くの方々からご要望をいただいており、重要性の高い改善項目
> として認識しています。
> ただ、言い訳をするわけではないのですが、IISでSTを省略できないのは、必要
> のある制限ではなく、MS(AD?)の独自仕様であるように私も思います。
> ディレクトリ属性としてLとSTをセットで使うのは、慣例としてはよく見かけま
> すが、これが必須要件であることを謳っている標準というのは、私の知る限りは
> ないですね。
> もしどなたかご存知の方がいたら、ご教示いただけると私も嬉しいです。
> 
>> 「md5でも良ければMirapointでも問題なくCSRが生成できたのに」
> 
> すみません、これは内部でも議論になっていた点ですので、早急に対応させて
> いただきます。
> 対応でき次第改めてプロジェクトHPにてアナウンスさせていただきますので、
> もうしばらくお待ちください。
> 
> よろしくお願いいたします。
> 
> Masaki SHIMAOKA
> National Institute of Informatics
> 
> (2009/12/09 0:34), Kazunori Kawauchi wrote:
>> 皆様よろしくお願いいたします。
>> 清泉女子大学の河内と申します。
>>
>> 現在、（動作確認のとれていないことを承知で）Mirapointへ証明書を導入しようと画策
>> しております。導入した証明書を使ってWebメールへの通信を暗号化する予定です。
>>
>> ただ、Mirapointは、a)Webベースの管理サイト b)独自OSのコマンドラインの2つがあるの
>> ですが、どちらの場合も発行されたCSRの署名アルゴリズムがsha1ではなくmd5になってし
>> まいます。
>>
>> 1. Mirapointに対してSSL証明書を発行できる（できそうな）手順をご存じの方はいらっ
>> しゃらないでしょうか？
>>
>> なお、Mirapoint には別のマシンで作成した秘密鍵をインストールまたはインポートする
>> 機能は無いようです。
>> ＃ 以前、Windows上のIISに証明書をインストールしたときには、
>> ＃ Opensslのインストールが面倒だったために、
>> ＃ Linuxで作成した秘密鍵をPKCS#12形式に変換してインポートしました。
>>
>> 2. CSRの制限が「キツイ」と感じることがあるのですが、セキュリティ上の脆弱性などの
>> 根拠を示して我々を諭していただくか、ユーザの利便性をかんがみて制限をゆるめていた
>> だけないでしょうか？
>>
>> 要望と言うよりもほとんど愚痴に近いのですが…、「STを省略する必要がなければ、IISの
>> CSR発行ウィザードが使えたのに」「md5でも良ければMirapointでも問題なくCSRが生成で
>> きたのに」という思いがあります。
>> ＃ 特に前者は必要のある制限なのかよく理解できていません。
>>
>> ご返答いただければ幸いです。
>> よろしくお願いいたします。
>>
>