4月 2020

Home › Archives for 4月 2020

2020/04/27

2020/04/26

Chrome はコモンネームではなく SAN(Subject Alternative Name) をチェックしているからだそうです。（Chrome 58 以降）  そこで、以前 OpenSSL を使って自己署名証明書を作成しましたが、  - [OpenSSL を使って自己署名証明書を作成する](http://kuttsun.blogspot.com/2018/04/openssl.html)  今回はこれに SAN を加える方法です。  細かい説明は以前の記事（上記）に書いてあるので、ここでは実行するコマンドのみを載せたいと思います。  ## SAN 用のテキストファイルを用意  事前準備として、以下のように SAN の内容を記述したテキストファイルを用意します。   ファイル名は何でも構いません（今回は `san.txt` という名前で保存しました）。  ``` subjectAltName = DNS:*.example.com, IP:172.20.0.1 ```  DNS ではワイルドカードが使えますが、IP では使えません。   ## 自己署名証明書の作成手順  ### 秘密鍵の作成  以下のコマンドは公開鍵暗号方式として RSA を利用した 2048bit の秘密鍵 server.key を作成しています。  ```sh > openssl genrsa -out server.key 2048 ```  ### 証明書署名要求の作成  先ほど作成した秘密鍵 `server.key` を指定して証明書署名要求 `server.csr` を作成しています。  ```sh > openssl req -out server.csr -key server.key -new ```  いろいろ聞かれるので、適当に入力します。  ### サーバー証明書の作成  通常は上記で作成した証明書署名要求 `server.csr` を自分の秘密鍵 `server.key` で署名してサーバー証明書を作成します。  ここが前回と異なるところです。   SAN を付加するために `-extfile san.txt` が追加になっています。  ```sh > openssl x509 -req -days 3650 -signkey server.key -in server.csr -out server.crt -extfile san.txt ```  尚、上記は有効期限が 10 年間のサーバー証明書 `server.crt` を作成しています。   ## 確認  SAN が付加されているか確認します。  ```sh > openssl x509 -text -in sample.crt -noout ```  `X509v3 Subject Alternative Name:` にテキストファイルに記述した SAN が追加されていれば OK です。

OpenSSL で作成したサーバー証明書を IIS にインポートする

OpenSSL を使用したサーバー証明書（自己署名証明書）の作成方法については以下を参照してください。  - [OpenSSL を使って自己署名証明書を作成する](http://kuttsun.blogspot.jp/2018/04/openssl.html)  また、自己署名証明書を使用するとセキュリティ的に全く意味がなくなりますが、それについてもここでは議論しません。  ## 環境  - IIS 7 - OpenSSL 1.0.2  ## pfx 形式への変換  OpenSSL で作成したサーバー証明書 (crt) を IIS にインポートするには、PKCS#12 (pfx) 形式に変換する必要があります。  ```sh > openssl pkcs12 -export -inkey server.key -in server.crt -out server.pfx ```  パスワードの設定を聞かれるので、入力すると、pfx ファイルが作成されます。  ## IIS へのインポート  pfx ファイルを IIS へインポートします。  スタートメニューから IIS マネージャーを起動します。  コンピューター名を選択し、[サーバー証明書] をダブルクリックします。  <a href="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEhTUX6Qdg6ui4KGMvHQppwlv7mOYxF2ojEmoxcvwByDo9ZMojp5vk1mOd-AnBLzK6UC7-fe0hrwP8YyB8f9WT0q_qHHivZo7EJ3dmAnE3F5Fq5KJkYMaJ6soGxmKel3bp7P7Wf4Ufsi1uE/s1600/01.png" imageanchor="1" ><img border="0" src="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEhTUX6Qdg6ui4KGMvHQppwlv7mOYxF2ojEmoxcvwByDo9ZMojp5vk1mOd-AnBLzK6UC7-fe0hrwP8YyB8f9WT0q_qHHivZo7EJ3dmAnE3F5Fq5KJkYMaJ6soGxmKel3bp7P7Wf4Ufsi1uE/s320/01.png" width="320" height="246" data-original-width="972" data-original-height="746" /></a> [インポート] をクリックします。  <a href="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEjYULieHSx5KwVLdKXD1DLFnH7jT5vQ9dtyY7QlIWicjQ_iseZOO7OXPZcoT64exRTZ6RJmjCrdZiIC59XI_PvY3HCAGvMfNwcVnYS6p8erK-fX_dUNEUY8_qjHvuysDtKc3jwObtK5JYM/s1600/02a.png" imageanchor="1" ><img border="0" src="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEjYULieHSx5KwVLdKXD1DLFnH7jT5vQ9dtyY7QlIWicjQ_iseZOO7OXPZcoT64exRTZ6RJmjCrdZiIC59XI_PvY3HCAGvMfNwcVnYS6p8erK-fX_dUNEUY8_qjHvuysDtKc3jwObtK5JYM/s320/02a.png" width="320" height="217" data-original-width="1102" data-original-height="746" /></a> 作成した `server.pfx` を選択します。  <a href="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEjEyoABeyQguXmSWJJfDTIj9J9CGiDykLKHgmKW5AIDL7we4QmQtEray0NK_m6SL0s7vSflPbuBX04Du9qISI4NeAji1OOyNZSanbNyyxKPUksAvx0okVq_Wnw7ULkrV_E-A3NlYXdMvCw/s1600/03a.png" imageanchor="1" ><img border="0" src="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEjEyoABeyQguXmSWJJfDTIj9J9CGiDykLKHgmKW5AIDL7we4QmQtEray0NK_m6SL0s7vSflPbuBX04Du9qISI4NeAji1OOyNZSanbNyyxKPUksAvx0okVq_Wnw7ULkrV_E-A3NlYXdMvCw/s320/03a.png" width="320" height="268" data-original-width="364" data-original-height="305" /></a> ### サイトへのバインド  証明書をインポートしたら、サイトにバインドします。  IIS マネージャーでサイトを選択し、[バインド] をクリックします。  <a href="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEjzPd_Ii4Qh6JSvB1ofqb0jYDLWx9FiXsKzgiNPVrq7eKpRakq8D3nNp21kIi70p4B1FOV4kMN1ZDm0Ts6_s5kJRDaGY8f_agxNcHKdilXI_qNbDJR0OjjUs73MKS2okWT6xYHZ-xic4yQ/s1600/04.png" imageanchor="1" ><img border="0" src="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEjzPd_Ii4Qh6JSvB1ofqb0jYDLWx9FiXsKzgiNPVrq7eKpRakq8D3nNp21kIi70p4B1FOV4kMN1ZDm0Ts6_s5kJRDaGY8f_agxNcHKdilXI_qNbDJR0OjjUs73MKS2okWT6xYHZ-xic4yQ/s320/04.png" width="320" height="246" data-original-width="972" data-original-height="746" /></a> [追加] をクリックします。  <a href="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEhheBgUDHdi1T6vKw0YZwKehjJ3S3zA61-fikEEhioQyfcwxz3tQcpdB0Ds0O7psISmJN322QJUPsyoca4I9443hHIWzuHfhBWE0G3Kj0WMqcO-o6juuKGyURzHyDgE-Bu7x-e69pZA_Ew/s1600/05.png" imageanchor="1" ><img border="0" src="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEhheBgUDHdi1T6vKw0YZwKehjJ3S3zA61-fikEEhioQyfcwxz3tQcpdB0Ds0O7psISmJN322QJUPsyoca4I9443hHIWzuHfhBWE0G3Kj0WMqcO-o6juuKGyURzHyDgE-Bu7x-e69pZA_Ew/s320/05.png" width="320" height="175" data-original-width="576" data-original-height="315" /></a> [種類] で `https` を選択し、[SSL 証明書] から先ほどインポートした証明書を選択します。  <a href="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEj6N1Nb0pfR6QeyXj1ghP3qHjz8y45rdZsZnfEA26SouLTXqRkmNq0ZJ4BdDjfU0l_PtNXtq3v0BmpNGntSV-zInlMbxCRNtMLtCaO62st9HLqegkRG5sB4rBIYOsUv9YMJ8gpYg4XFQUQ/s1600/06.png" imageanchor="1" ><img border="0" src="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEj6N1Nb0pfR6QeyXj1ghP3qHjz8y45rdZsZnfEA26SouLTXqRkmNq0ZJ4BdDjfU0l_PtNXtq3v0BmpNGntSV-zInlMbxCRNtMLtCaO62st9HLqegkRG5sB4rBIYOsUv9YMJ8gpYg4XFQUQ/s320/06.png" width="320" height="202" data-original-width="473" data-original-height="298" /></a> 以上で完了です。  ブラウザから `https` でサイトにアクセスし、以下のような画面が表示されれば OK です。  <a href="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEgygLWgUVkF0g2pAjmmWPMnjM9NmoHXFehe4EL7Nacw-wPJWExB9SpdmbcZGIceZOVpN1AoMWOICtsv92mvgjmsmmf2sZydThEhj9rPE4ldRI2yikyXQmbL-FYGD8MUR-sWaqiHou_AR3Q/s1600/07.png" imageanchor="1" ><img border="0" src="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEgygLWgUVkF0g2pAjmmWPMnjM9NmoHXFehe4EL7Nacw-wPJWExB9SpdmbcZGIceZOVpN1AoMWOICtsv92mvgjmsmmf2sZydThEhj9rPE4ldRI2yikyXQmbL-FYGD8MUR-sWaqiHou_AR3Q/s320/07.png" width="320" height="120" data-original-width="914" data-original-height="342" /></a> ※上記は Firefox の画面です。  ## クライアントへのインストール  `server.pfx` をダブルクリックします。  ### Firefox の場合  私は普段 Firefox を使用していますが、Firefox の場合は上記の方法ではなく、個別に証明書をインポートする必要があります。   ## 参考 URL  - https://knowledge.geotrust.com/jp/support/knowledge-base/index?vproductcat=G&vdomain=GEOTRUST_JP&page=content&id=SO23603&locale=ja_JP&redirected=true - http://d.hatena.ne.jp/ozuma/20130511/1368284304 - https://blog.freedom-man.com/openssl-command/