テンプレートテスト

ラベル OpenSSL の投稿を表示しています。すべての投稿を表示

2020/04/26

OpenSSL で SAN 付きの自己署名証明書を作成する

Chrome はコモンネームではなく SAN(Subject Alternative Name) をチェックしているからだそうです。（Chrome 58 以降）  そこで、以前 OpenSSL を使って自己署名証明書を作成しましたが、  - [OpenSSL を使って自己署名証明書を作成する](http://kuttsun.blogspot.com/2018/04/openssl.html)  今回はこれに SAN を加える方法です。  細かい説明は以前の記事（上記）に書いてあるので、ここでは実行するコマンドのみを載せたいと思います。  ## SAN 用のテキストファイルを用意  事前準備として、以下のように SAN の内容を記述したテキストファイルを用意します。   ファイル名は何でも構いません（今回は `san.txt` という名前で保存しました）。  ``` subjectAltName = DNS:*.example.com, IP:172.20.0.1 ```  DNS ではワイルドカードが使えますが、IP では使えません。   ## 自己署名証明書の作成手順  ### 秘密鍵の作成  以下のコマンドは公開鍵暗号方式として RSA を利用した 2048bit の秘密鍵 server.key を作成しています。  ```sh > openssl genrsa -out server.key 2048 ```  ### 証明書署名要求の作成  先ほど作成した秘密鍵 `server.key` を指定して証明書署名要求 `server.csr` を作成しています。  ```sh > openssl req -out server.csr -key server.key -new ```  いろいろ聞かれるので、適当に入力します。  ### サーバー証明書の作成  通常は上記で作成した証明書署名要求 `server.csr` を自分の秘密鍵 `server.key` で署名してサーバー証明書を作成します。  ここが前回と異なるところです。   SAN を付加するために `-extfile san.txt` が追加になっています。  ```sh > openssl x509 -req -days 3650 -signkey server.key -in server.csr -out server.crt -extfile san.txt ```  尚、上記は有効期限が 10 年間のサーバー証明書 `server.crt` を作成しています。   ## 確認  SAN が付加されているか確認します。  ```sh > openssl x509 -text -in sample.crt -noout ```  `X509v3 Subject Alternative Name:` にテキストファイルに記述した SAN が追加されていれば OK です。

OpenSSL で作成したサーバー証明書を IIS にインポートする

OpenSSL を使用したサーバー証明書（自己署名証明書）の作成方法については以下を参照してください。  - [OpenSSL を使って自己署名証明書を作成する](http://kuttsun.blogspot.jp/2018/04/openssl.html)  また、自己署名証明書を使用するとセキュリティ的に全く意味がなくなりますが、それについてもここでは議論しません。  ## 環境  - IIS 7 - OpenSSL 1.0.2  ## pfx 形式への変換  OpenSSL で作成したサーバー証明書 (crt) を IIS にインポートするには、PKCS#12 (pfx) 形式に変換する必要があります。  ```sh > openssl pkcs12 -export -inkey server.key -in server.crt -out server.pfx ```  パスワードの設定を聞かれるので、入力すると、pfx ファイルが作成されます。  ## IIS へのインポート  pfx ファイルを IIS へインポートします。  スタートメニューから IIS マネージャーを起動します。  コンピューター名を選択し、[サーバー証明書] をダブルクリックします。  <a href="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEhTUX6Qdg6ui4KGMvHQppwlv7mOYxF2ojEmoxcvwByDo9ZMojp5vk1mOd-AnBLzK6UC7-fe0hrwP8YyB8f9WT0q_qHHivZo7EJ3dmAnE3F5Fq5KJkYMaJ6soGxmKel3bp7P7Wf4Ufsi1uE/s1600/01.png" imageanchor="1" ><img border="0" src="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEhTUX6Qdg6ui4KGMvHQppwlv7mOYxF2ojEmoxcvwByDo9ZMojp5vk1mOd-AnBLzK6UC7-fe0hrwP8YyB8f9WT0q_qHHivZo7EJ3dmAnE3F5Fq5KJkYMaJ6soGxmKel3bp7P7Wf4Ufsi1uE/s320/01.png" width="320" height="246" data-original-width="972" data-original-height="746" /></a> [インポート] をクリックします。  <a href="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEjYULieHSx5KwVLdKXD1DLFnH7jT5vQ9dtyY7QlIWicjQ_iseZOO7OXPZcoT64exRTZ6RJmjCrdZiIC59XI_PvY3HCAGvMfNwcVnYS6p8erK-fX_dUNEUY8_qjHvuysDtKc3jwObtK5JYM/s1600/02a.png" imageanchor="1" ><img border="0" src="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEjYULieHSx5KwVLdKXD1DLFnH7jT5vQ9dtyY7QlIWicjQ_iseZOO7OXPZcoT64exRTZ6RJmjCrdZiIC59XI_PvY3HCAGvMfNwcVnYS6p8erK-fX_dUNEUY8_qjHvuysDtKc3jwObtK5JYM/s320/02a.png" width="320" height="217" data-original-width="1102" data-original-height="746" /></a> 作成した `server.pfx` を選択します。  <a href="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEjEyoABeyQguXmSWJJfDTIj9J9CGiDykLKHgmKW5AIDL7we4QmQtEray0NK_m6SL0s7vSflPbuBX04Du9qISI4NeAji1OOyNZSanbNyyxKPUksAvx0okVq_Wnw7ULkrV_E-A3NlYXdMvCw/s1600/03a.png" imageanchor="1" ><img border="0" src="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEjEyoABeyQguXmSWJJfDTIj9J9CGiDykLKHgmKW5AIDL7we4QmQtEray0NK_m6SL0s7vSflPbuBX04Du9qISI4NeAji1OOyNZSanbNyyxKPUksAvx0okVq_Wnw7ULkrV_E-A3NlYXdMvCw/s320/03a.png" width="320" height="268" data-original-width="364" data-original-height="305" /></a> ### サイトへのバインド  証明書をインポートしたら、サイトにバインドします。  IIS マネージャーでサイトを選択し、[バインド] をクリックします。  <a href="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEjzPd_Ii4Qh6JSvB1ofqb0jYDLWx9FiXsKzgiNPVrq7eKpRakq8D3nNp21kIi70p4B1FOV4kMN1ZDm0Ts6_s5kJRDaGY8f_agxNcHKdilXI_qNbDJR0OjjUs73MKS2okWT6xYHZ-xic4yQ/s1600/04.png" imageanchor="1" ><img border="0" src="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEjzPd_Ii4Qh6JSvB1ofqb0jYDLWx9FiXsKzgiNPVrq7eKpRakq8D3nNp21kIi70p4B1FOV4kMN1ZDm0Ts6_s5kJRDaGY8f_agxNcHKdilXI_qNbDJR0OjjUs73MKS2okWT6xYHZ-xic4yQ/s320/04.png" width="320" height="246" data-original-width="972" data-original-height="746" /></a> [追加] をクリックします。  <a href="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEhheBgUDHdi1T6vKw0YZwKehjJ3S3zA61-fikEEhioQyfcwxz3tQcpdB0Ds0O7psISmJN322QJUPsyoca4I9443hHIWzuHfhBWE0G3Kj0WMqcO-o6juuKGyURzHyDgE-Bu7x-e69pZA_Ew/s1600/05.png" imageanchor="1" ><img border="0" src="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEhheBgUDHdi1T6vKw0YZwKehjJ3S3zA61-fikEEhioQyfcwxz3tQcpdB0Ds0O7psISmJN322QJUPsyoca4I9443hHIWzuHfhBWE0G3Kj0WMqcO-o6juuKGyURzHyDgE-Bu7x-e69pZA_Ew/s320/05.png" width="320" height="175" data-original-width="576" data-original-height="315" /></a> [種類] で `https` を選択し、[SSL 証明書] から先ほどインポートした証明書を選択します。  <a href="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEj6N1Nb0pfR6QeyXj1ghP3qHjz8y45rdZsZnfEA26SouLTXqRkmNq0ZJ4BdDjfU0l_PtNXtq3v0BmpNGntSV-zInlMbxCRNtMLtCaO62st9HLqegkRG5sB4rBIYOsUv9YMJ8gpYg4XFQUQ/s1600/06.png" imageanchor="1" ><img border="0" src="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEj6N1Nb0pfR6QeyXj1ghP3qHjz8y45rdZsZnfEA26SouLTXqRkmNq0ZJ4BdDjfU0l_PtNXtq3v0BmpNGntSV-zInlMbxCRNtMLtCaO62st9HLqegkRG5sB4rBIYOsUv9YMJ8gpYg4XFQUQ/s320/06.png" width="320" height="202" data-original-width="473" data-original-height="298" /></a> 以上で完了です。  ブラウザから `https` でサイトにアクセスし、以下のような画面が表示されれば OK です。  <a href="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEgygLWgUVkF0g2pAjmmWPMnjM9NmoHXFehe4EL7Nacw-wPJWExB9SpdmbcZGIceZOVpN1AoMWOICtsv92mvgjmsmmf2sZydThEhj9rPE4ldRI2yikyXQmbL-FYGD8MUR-sWaqiHou_AR3Q/s1600/07.png" imageanchor="1" ><img border="0" src="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEgygLWgUVkF0g2pAjmmWPMnjM9NmoHXFehe4EL7Nacw-wPJWExB9SpdmbcZGIceZOVpN1AoMWOICtsv92mvgjmsmmf2sZydThEhj9rPE4ldRI2yikyXQmbL-FYGD8MUR-sWaqiHou_AR3Q/s320/07.png" width="320" height="120" data-original-width="914" data-original-height="342" /></a> ※上記は Firefox の画面です。  ## クライアントへのインストール  `server.pfx` をダブルクリックします。  ### Firefox の場合  私は普段 Firefox を使用していますが、Firefox の場合は上記の方法ではなく、個別に証明書をインポートする必要があります。   ## 参考 URL  - https://knowledge.geotrust.com/jp/support/knowledge-base/index?vproductcat=G&vdomain=GEOTRUST_JP&page=content&id=SO23603&locale=ja_JP&redirected=true - http://d.hatena.ne.jp/ozuma/20130511/1368284304 - https://blog.freedom-man.com/openssl-command/

2018/04/16

NO IMAGE

OpenSSL を使って自己署名証明書を作成する

OpenSSL

## 環境  - Windows 10 Pro 64bit  ## OpenSSL のインストール  [公式サイト](https://www.openssl.org/)には Windows 用のインストーラーがないので、以下からダウンロードします。  - http://slproweb.com/products/Win32OpenSSL.html  ウィザードに従ってインストールします。  インストールが完了したら、以下のコマンドを入力して確認します。  ```sh > openssl version ```  ## 自己署名証明書の作成  ### 秘密鍵の作成  以下のコマンドは公開鍵暗号方式として RSA を利用した 2048bit の秘密鍵 `server.key` を作成しています。  ```sh > openssl genrsa -out server.key 2048 ```  ### 証明書署名要求の作成  証明書署名要求 (CSR: Certificate Signing Request) は、認証局に対して自身のサーバーの公開鍵に電子署名（認証局の秘密鍵で署名）してもらうよう要求するメッセージだそうです。   以下のコマンドで、先ほど作成した秘密鍵 `server.key` を指定して証明書署名要求 `server.csr` を作成しています。 （秘密鍵から勝手に公開鍵を取り出して作成してくれるらしいです）  ```sh > openssl req -out server.csr -key server.key -new ```  するといろいろ聞かれるので、適当に入力します。  ```sh Country Name (2 letter code) [AU]: ```  国名です。日本の場合は `JP` と入力します。  ```sh State or Province Name (full name) [Some-State]: ```  都道府県名です。 `Tokyo` などと入力します。  ```sh Locality Name (eg, city) []: ```  市区町村名です。   ```sh Organization Name (eg, company) [Internet Widgits Pty Ltd]: ```  組織名です。会社名や団体名などを入力します。  ```sh Organizational Unit Name (eg, section) []: ```  部門名や部署名などです。  ```sh Common Name ```  サイトのURL（SSL/TLS接続の際のURL：FQDN）を入力します。 `https://hoge.example.jp/` の場合、`hoge.example.jp` と入力します。  ```sh Email Address []: ```  メールアドレスを入力します。  ```sh Please enter the following 'extra' attributes to be sent with your certificate request A challenge password []: ```  ```sh An optional company name []: ```  証明書署名要求ファイル (server.csr) が出力されます。  ### サーバー証明書の作成  通常は上記で作成した証明書署名要求 `server.csr` を VeriSign などの機関に送付して認証局の秘密鍵で電子署名してもらいますが、今回は自己署名証明書ということで、自分の秘密鍵 `server.key` で署名してサーバー証明書を作成します。  以下のコマンドは、有効期限が 10 年間のサーバー証明書 `server.crt` を作成しています。   ```sh > openssl x509 -req -days 3650 -signkey server.key -in server.csr -out server.crt ```  ## 参考 URL  - https://weblabo.oscasierra.net/openssl-gencert-1/ - http://d.hatena.ne.jp/ozuma/20130511/1368284304 - https://qiita.com/ll_kuma_ll/items/13c962a6a74874af39c6 - http://tech.sanwasystem.com/entry/2015/08/31/234131 - https://www.geotrust.co.jp/support/ssl/csr/apache_openssl_new.html

テンプレートテスト

2020/04/26

OpenSSL で SAN 付きの自己署名証明書を作成する

2020/04/24

OpenSSL で作成したサーバー証明書を IIS にインポートする

2018/04/16

OpenSSL を使って自己署名証明書を作成する

Translate

Popular Posts

Labels

Blog Archive