HomeServer17B の履歴(No.3)

[ トップ ]   [ 新規 | 一覧 | 検索 | 最終更新 | ヘルプ ]

• 履歴一覧
• 差分 を表示
• 現在との差分 を表示
• ソース を表示
• HomeServer17B へ行く。
  • 1 (2019-09-15 (日) 13:56:22)
  • 2 (2019-09-16 (月) 03:12:32)
  • 3 (2019-09-16 (月) 06:54:05)

---

考え方†

• クライアント証明には（自己認証局であっても）CA の裏付けが必要
• クライアント用の証明書の作成（発行）には認証局の証明書、鍵が必要
• クライアント証明書には SSLCACertificateFile を追加で apache2 に指定する必要あり
• SSLCACertificateFile ＝ CA中間証明書 ＋ root証明書

• kgb.hmuna.com には第三者証明書が登録済み
  • サーバー証明書 [SSLCertificateFile]
  • 秘密鍵 [SSLCertificateKeyFile]
  • 中間証明書[SSLCertificateChainFile]

    # Server Certificate:
    SSLCertificateFile       /etc/ssl/official4/kgb_hmuna_com.crt
    
    # Server Private Key:
    SSLCertificateKeyFile    /etc/ssl/official4/wiki.hmuna.com.privatekey
    
    # Server Certificate Chain:
    SSLCertificateChainFile  /etc/ssl/official4/kgb_hmuna_com.ca-bundle
    
    # Client Certificate: (official CA (COMODO) to generate client certificate)
    SSLCACertificateFile     /etc/ssl/official4A_for_client_certificate/COMODO_root.crt
    SSLVerifyClient         none

• だが CA局の証明書と鍵は無い
  • 認証局の証明書() =
  • 認証局の鍵 () =
• 登録済みの公式 クライアント証明から 認証局の中間証明書、root証明書を取得する方法
  • 使えない、まだクライアント証明が入っていないのだから

• SSLCertificateChainFile と SSLCACertificateFile の違い
  • SSLCertificateChainFile ディレクティブ：サーバー証明書における中間証明書のパスを設定
    • Apache2.4.8以降はSSLCertificateChainFileディレクティブはない ----- のでコメントアウトしても OK だった
  • SSLCACertificateFile ディレクティブ：クライアント証明書における中間証明書のパスを指定

openssl バージョンの確認†

munakata@mvc:~$ openssl version -a

OpenSSL 1.1.1  11 Sep 2018
built on: Thu Jun 20 17:36:28 2019 UTC
platform: debian-amd64

options:  bn(64,64) rc4(8x,int) des(int) blowfish(ptr)
compiler: gcc -fPIC -pthread -m64 -Wa,--noexecstack -Wall -Wa,--noexecstack -g -O2 -fdebug-prefix-map=/build/openssl-cn9tZy/openssl-1.1.1=. 
-fstack-protector-strong -Wformat -Werror=format-security -DOPENSSL_USE_NODELETE -DL_ENDIAN -DOPENSSL_PIC -DOPENSSL_CPUID_OBJ - 
DOPENSSL_IA32_SSE2 -DOPENSSL_BN_ASM_MONT -DOPENSSL_BN_ASM_MONT5 -DOPENSSL_BN_ASM_GF2m -DSHA1_ASM -DSHA256_ASM -DSHA512_ASM -DKECCAK1600_ASM 
-DRC4_ASM -DMD5_ASM -DAES_ASM -DVPAES_ASM -DBSAES_ASM -DGHASH_ASM -DECP_NISTZ256_ASM -DX25519_ASM -DPADLOCK_ASM -DPOLY1305_ASM -DNDEBUG - 

Wdate-time -D_FORTIFY_SOURCE=2
OPENSSLDIR: "/usr/lib/ssl"
ENGINESDIR: "/usr/lib/x86_64-linux-gnu/engines-1.1"
Seeding source: os-specific

Apache バージョン確認†

munakata@mvc:~$ apache2 -v
Server version: Apache/2.4.29 (Ubuntu)
Server built:   2019-08-26T13:41:23

• Apache 2.4.8 から中間CA証明書を指定するSSLCertificateChainFile ディレクティブが廃止されました。中間CA証明書、およびクロスルート証明書(オプション)はサーバ証明書と一つの証明書ファイルとしてまとめて、SSLCertificateFileディレクティブに指定してください。(digicert の説明)

Apache mod-ssl の確認†

munakata@mvc:~$ sudo apache2ctl -M | grep ssl
 ssl_module (shared)

munakata@mvc:~$ cat /etc/apache2/mods-available/ssl.load
# Depends: setenvif mime socache_shmcb
LoadModule ssl_module /usr/lib/apache2/modules/mod_ssl.so

munakata@mvc:~$ file /usr/lib/apache2/modules/mod_ssl.so
/usr/lib/apache2/modules/mod_ssl.so: ELF 64-bit LSB shared object, x86-64, version 1 (SYSV), dynamically linked, BuildID[sha1]=683bb4e55c962655e5267000caad85252a63bfa3, stripped

kgb.hmuna.com 証明書情報†

• COMODO により発行されているもの
• 

COMODO の SSLCACertificateFile 対応†

• SSLCACertificateFileディレクティブの代替ディレクティブはありますか？
  • SSLCACertificateFileの代わりにSSLCertificateChainFileを使用できますが、Apple MACでは証明書の信頼性に関するエラーを表示することがあり、中間証明書をチェックしていない可能性があります。

クライアント証明書の作成†

クライアント証明書の作成に必要な情報、操作などから方針を決定†

• クライアント鍵（key）の作成（自己完結）

  openssl genrsa -des3 -out example_com-client1.key 1024

• 証明書への署名要求（csr）の作成（自己完結）

  openssl req -new -sha256 -key example_com-client1.key -out example_com-client1.csr

• openssl.cnf を一部変更した openssl-client.cnf を作成（自己完結）

  [my_ca_default]
  .
  .
  x509_extensions = usr_cert     # 追加
  .
  .
  [ usr_cert ]                                      # 追加
  basicConstraints=CA:FALSE         # 追加
  nsCertType = client, email            # 追加

• 作成した openssl-client.cnf を使用して CAで署名（CA局の情報が必要）

  sudo openssl ca -config ./openssl-client.cnf -md sha256 -cert myCA/myca.crt -keyfile myCA/private/myca.key -out example_com-client1.crt -in example_com-client1.csr

  • openssl-client.cnf（自己完結）
  • myCA/myca.crt（CA局の情報が必要 crt ファイルは既にある？）
    • 違う！ 既にあるのはサーバー証明書。 CA局の証明書は別に指定できる、つまり自己認証CA局を併存させる事ができるはず
  • myca.key（既に自分で作った秘密鍵がある ･･･ だから自己完結？）
  • example_com-client1.crt（生成するクライアント証明書）
  • example_com-client1.csr（自己完結）

オレオレ CA を使ったクライアント証明書の作成†

• Apache+openSSLでクライアント認証 - 闘うITエンジニアの覚え書き をほぼそのままフォローする形

• /etc/ssl/private_CA にファイルを生成していく

  munakata@mvc:/etc/ssl$ sudo mkdir private_CA
  munakata@mvc:/etc/ssl$ cd private_CA
  
  munakata@mvc:/etc/ssl/private_CA$ sudo mkdir private
  munakata@mvc:/etc/ssl/private_CA$ sudo mkdir newcerts
  munakata@mvc:/etc/ssl/private_CA$ sudo chmod 700 private/
  munakata@mvc:/etc/ssl/private_CA$ sudo sh -c 'echo 01>serial'
  
  munakata@mvc:/etc/ssl/private_CA$ cat serial
  0
  
  munakata@mvc:/etc/ssl/private_CA$ sudo touch index.txt
  
  munakata@mvc:/etc/ssl/private_CA$ ls -l
  合計 12
  -rw-r--r-- 1 root root    0  9月 16 15:08 index.txt
  drwxr-xr-x 2 root root 4096  9月 16 15:02 newcerts
  drwx------ 2 root root 4096  9月 16 15:02 private
  -rw-r--r-- 1 root root    3  9月 16 15:04 serial

• 自己認証 CA 局を作成

  munakata@mvc:/etc/ssl/private_CA$ sudo openssl req -new -x509 -newkey rsa:2048 -out myca.crt -keyout private/myca.key -days 3650 -sha256
  Generating a RSA private key
  ..........+++++
  ........................+++++
  writing new private key to 'private/myca.key'
  Enter PEM pass phrase:  <----------------- bobbob274mocha
  Verifying - Enter PEM pass phrase:
  -----
  You are about to be asked to enter information that will be incorporated
  into your certificate request.
  What you are about to enter is what is called a Distinguished Name or a DN.
  There are quite a few fields but you can leave some blank
  For some fields there will be a default value,
  If you enter '.', the field will be left blank.
  -----
  Country Name (2 letter code) [JP]:JP
  State or Province Name (full name) [Kanagawa]:Kanagawa
  Locality Name (eg, city) []:Yokohama
  Organization Name (eg, company) [Internet Widgits Pty Ltd]:hmuna
  Organizational Unit Name (eg, section) []:IT
  Common Name (e.g. server FQDN or YOUR name) []:kgb.hmuna.com
  Email Address []:

• 有効期間は 10年 とした
• パスフレーズは bobbob274mocha

• openssl.cnf ファイルを編集
  • &ref(): File not found: "openssl.cnf" at page "HomeServer17B";

補足情報†

参考 URL†

• CA 局作成関連
  • Ubuntu 18.04 LTS で OpenSSL を使ったプライベート認証局＆証明書を作る
  • https://server-setting.info/centos/private-ca-cert.html
  • OpenSSLで自己認証局を作る
• クライアント証明書関連
  • ☆ Apache+openSSLでクライアント認証
  • クライアント証明書を要求するサイトの構築（Apache+OpenSSL）その1
  • Apacheでのクライアント証明書利用設定入門
  • Client Authentication and Access Control　(mod_ssl マニュアル)
• 一般
  • RSA鍵、証明書のファイルフォーマットについて

     

Site admin: munakata

PukiWiki 1.5.4 © 2001-2022 PukiWiki Development Team. Powered by PHP 8.3.6. HTML convert time: 0.004 sec.