目的 †
apacheを利用して、サーバ認証とクライアント認証を実施する。
サーバにルートCAから発行されたサーバ証明書を配置、クライアントに中間CAから発行されたクライアント証明書を配置し、正常に通信が行えるかを確認する。
前提 †
OpenSSLによるPKI構築を利用してルート証明書、中間証明書を作成しておくこと。
サーバ証明書によるサーバの正当性確認 †
webサーバ証明書の作成（ルート認証局で発行） †
/ca/websvに作成するものとする。
[ubuntu@pki ~ca]$ mkdir ~/ca/websv
[ubuntu@pki ~ca]$ cd ~/ca/websv
- 署名要求を作成（同時に秘密鍵も生成）
秘密鍵の作成と同時にCSRを作成する方法だと、秘密鍵単独で作成する方法と違い、暗号化アルゴリズムが選択できない？ような気がする。
[ubuntu@pki ~websv]$ openssl req -config ../configs/openssl_req.cnf -new -newkey rsa:2048 -keyout private/websvkey.pem -out websvcsr.pem
Generating a 2048 bit RSA private key
..+++
................................................................+++
writing new private key to 'private/websvkey.pem'
Enter PEM pass phrase:
Verifying - Enter PEM pass phrase:
-----
You are about to be asked to enter information that will be incorporated
into your certificate request.
What you are about to enter is what is called a Distinguished Name or a DN.
There are quite a few fields but you can leave some blank
For some fields there will be a default value,
If you enter '.', the field will be left blank.
-----
Country Name (2 letter code) [JP]:JP
State or Province Name (full name) []:Tokyo
Organization Name (eg, company) []:Prosper2
Organizational Unit Name (eg, section) []:web server
Common Name (e.g. server FQDN or YOUR name) []:websv.prosper2.org
[ubuntu@pki ~websv]$
- ルートCAで署名要求にサイン
[ubuntu@pki ~websv]$ cd ../RootCA
[ubuntu@pki ~RootCA]$ openssl ca -config ../configs/openssl_sign.cnf -keyfile private/RootCA_key.pem -batch -days 30 -cert RootCA_crt.pem -extensions v3_server -in websvcsr.pem -out websvcrt.pem
Using configuration from ../configs/openssl_sign.cnf
Enter pass phrase for private/RootCA_key.pem:
Check that the request matches the signature
Signature ok
Certificate Details:
Serial Number: 3 (0x3)
Validity
Not Before: Jul 12 23:49:27 2013 GMT
Not After : Aug 11 23:49:27 2013 GMT
Subject:
countryName = JP
stateOrProvinceName = Tokyo
organizationName = Prosper2
organizationalUnitName = web server
commonName = websv.prosper2.org
X509v3 extensions:
X509v3 Subject Key Identifier:
5E:25:4E:08:B5:8E:42:EA:6C:4E:64:8E:1A:18:F5:5E:49:D1:5B:FF
X509v3 Authority Key Identifier:
keyid:B1:0F:66:B2:40:FD:F4:3E:12:31:03:E6:C7:2B:BE:C6:3A:1A:CB:03
X509v3 Basic Constraints:
CA:FALSE
X509v3 Key Usage:
Digital Signature, Non Repudiation, Key Encipherment
Certificate is to be certified until Aug 11 23:49:27 2013 GMT (30 days)
Write out database with 1 new entries
Data Base Updated
[ubuntu@pki ~RootCA]$ cp websvcrt.pem ../websv
[ubuntu@pki ~RootCA]$ cd ../websv
webサーバ設定 †
apache2の設定を実施する。
クライアント設定 †
前の手順で作成しておいたルート証明書をクライアント（ブラウザ）にインストールする
接続テスト †
実際にブラウザから接続してみて、セキュリティ警告がでないことを確認する。
ちなみに、上記のままのCSRだと、FQDNが正しくないと警告がでてしまうため、ローカルのIPアドレスなどを指定する。
クライアント証明書による接続クライアントの制限 †
クライアント証明書の作成（中間認証局で発行） †
/ca/clientに作成するものとする。
[ubuntu@pki ~ca]$ mkdir ~/ca/client
[ubuntu@pki ~ca]$ cd ~/ca/client
- 署名要求を作成（同時に秘密鍵も生成）
秘密鍵の作成と同時にCSRを作成する方法だと、秘密鍵単独で作成する方法と違い、暗号化アルゴリズムが選択できない？ような気がする。
[ubuntu@pki ~client]$ openssl req -config ../configs/openssl_req.cnf -new -newkey rsa:2048 -keyout private/clientkey.pem -out clientcsr.pem
Generating a 2048 bit RSA private key
................+++
..........................+++
writing new private key to 'private/clientkey.pem'
Enter PEM pass phrase:
Verifying - Enter PEM pass phrase:
-----
You are about to be asked to enter information that will be incorporated
into your certificate request.
What you are about to enter is what is called a Distinguished Name or a DN.
There are quite a few fields but you can leave some blank
For some fields there will be a default value,
If you enter '.', the field will be left blank.
-----
Country Name (2 letter code) [JP]:JP
State or Province Name (full name) []:Tokyo
Organization Name (eg, company) []:Prosper2
Organizational Unit Name (eg, section) []:Client Certificate
Common Name (e.g. server FQDN or YOUR name) []:Client Certificate
ubuntu@SVRootCA01:~/ca/client$ ls
- 中間CAで署名要求にサイン
[ubuntu@pki ~client]$ cd ../InterCA
[ubuntu@pki ~InterCA]$ openssl ca -config ../configs/openssl_sign.cnf -keyfile private/InterCA_key.pem -batch -days 30 -cert InterCA_crt.pem -extensions v3_client -in clientcsr.pem -out clientcrt.pem
Using configuration from ../configs/openssl_sign.cnf
Enter pass phrase for private/InterCA_key.pem:
Check that the request matches the signature
Signature ok
Certificate Details:
Serial Number: 1 (0x1)
Validity
Not Before: Jul 13 03:47:34 2013 GMT
Not After : Aug 12 03:47:34 2013 GMT
Subject:
countryName = JP
stateOrProvinceName = Tokyo
organizationName = Prosper2
organizationalUnitName = Client Certificate
commonName = Client Certificate
X509v3 extensions:
X509v3 Subject Key Identifier:
4C:E7:6B:0E:D0:8A:7D:48:15:FB:3D:9E:EA:97:61:98:03:09:77:0C
X509v3 Authority Key Identifier:
keyid:94:15:EC:04:A1:25:24:82:18:13:DF:07:A3:31:83:43:DA:08:16:BF
X509v3 Basic Constraints:
CA:FALSE
X509v3 Key Usage:
Digital Signature, Non Repudiation, Key Encipherment
X509v3 Extended Key Usage:
TLS Web Client Authentication
Certificate is to be certified until Aug 12 03:47:34 2013 GMT (30 days)
Write out database with 1 new entries
Data Base Updated
[ubuntu@pki ~InterCA]$ cp clientcrt.pem ../client
[ubuntu@pki ~InterCA]$ cd ../client
webサーバ設定 †
apache2の設定を実施する。
クライアント設定 †
前の手順で作成しておいた中間証明書をクライアント（ブラウザ）にインストールする
前の手順で作成しておいたクライアント証明書をクライアント（ブラウザ）にインストールする
接続テスト †
実際にブラウザから接続してみて、セキュリティ警告がでないことを確認する。
Counter: 4049,
today: 1,
yesterday: 0
![[PukiWiki]](image/pukiwiki.png "[PukiWiki]")
