[upki-odcert:14] Re: Mac OS X 10.3 とルート証明書？

[Mitsuru Ogino <xxxxxxx@xxxxxxxxxxxxxxxx>]

荻野＠椙山女学園です。

Mitsuru Ogino said the following on 2009/12/14 9:10:
> Masaki SHIMAOKA said the following on 2009/12/13 1:17:
>>> 旧プロジェクトの Security Communication RootCA1 中間証明書を導入するとい
>>> う反則業で乗り切れないものかとちょっと悩みます。
>>
>> 非公式ではありますが、ケースによっては確かにこうした手も有効です。
> 
> あるホストで中間証明書の入れ替えがうまく行っていないものがあって、偶然気
> が付きました。

また話は変わりますが、みなさまは証明書のチェックをどのようにされています
か。当方は上記のようなトラブルがあったのですが、作業を行った業者が
Windows XP で確認して、私が Windows Vista で確認し、両者の結果が合わない
ことで初めて結構面倒なことに気が付きました。良いツール（サービス）があれ
ば教えてください。

自分のところでは、結局 openssl s_lient -showcerts を使うシェルスクリプト
を自作してチェックをしています。これを呼び出す CGI ラッパーも書いてみた
ので置いてみます。

  http://web.sugiyama-u.ac.jp/~m-ogino/check-cert/

実行結果をブックマークに入れておけば、毎回 form に記入する必要はありません。


有効期限のチェックを行うツールはいくつかあるようですが、中間証明書の表示
を行ってくれるものは openssl s_lient -showcerts 以外に見つかりませんでした。

そのとき確認した範囲では、一般のブラウザ（OS）では中間証明書をどのように
解釈するかという点ではかなりばらばらで、Windows XP 上の IE と Firefox 3
ではうまく確認ができませんでした。

・Windows XP 上では自分の信頼しているルート証明書で確認ができればサーバ
の送信する中間証明書を無視します。このため古い中間証明書（旧プロジェクト
のものとか）をサーバが送信していても気が付きません。

・Firefox 3 では中間証明書のキャッシュ？があり、サーバが送ってくる中間証
明書を無視してキャッシュされた証明書が使われます。（常にかどうかは不明）
このため正しく中間証明書を更新してもそれを判断できません。

今のところ Windows Vista 上の IE を使用して証明書チェーンを表示するのが
一番よさそうです。が、この組み合わせでもルート証明書をサーバが送信してい
る場合にこれを気がつくことができません。以下のような場合です。ルート証明
書は Subject と Issuer が同じためあっても無くても検証には差し支えなく、
実用上は問題にならないとは思いますが CPU パワーの無駄と思われます。（と
言いつつ放置していますが…）

0 s:/C=JP/L=Academe2/O=Sugiyama Jogakuen University/OU=Information
Technology Center/CN=pop.sugiyama-u.ac.jp
  i:/C=JP/L=Academe2/O=National Institute of Informatics/OU=UPKI/OU=NII
Open Domain CA - G2
1 s:/C=JP/L=Academe2/O=National Institute of Informatics/OU=UPKI/OU=NII
Open Domain CA - G2
  i:/C=JP/O=SECOM Trust.net/OU=Security Communication RootCA1
2 s:/C=JP/O=SECOM Trust.net/OU=Security Communication RootCA1
  i:/C=JP/O=SECOM Trust.net/OU=Security Communication RootCA1


apache+mod_ssl ではあまり有り得ないと思いますが、中間証明書のディレクト
リを指定するタイプのものや、アプライアンス機器では、チェックしてみると新
プロジェクトの中間証明書に正しく入れ替わっていないものが見つかるかもしれ
ません。


# 証明書発行時にポート番号を届け出るようにすれば、事務局側で一括して
# 監視して異常や期限切れ間近があれば通知するような仕組みもできなくは
# ないような…


ではでは。

-- 
荻野 充 (おぎの みつる) ... 「萩(はぎ)」にあらず
GPG Key fingerprint = 7F26 5414 1805 F31B 1617  10B7 C117 07AE 1691 9BD1