OpenSSL

FrontPage

SSL4つの機能 †

OpenSSLと直接関係ないけどメモ。

• サーバ証明
• クライアント証明
• 通信内容の暗号化
• 通信内容の改ざん防止（電子署名）

使い方 †

主にウェブサーバでのオペレーションメモ。

ランダムファイルの生成 †

opensslの機能ではないけどランダムファイルは必要なので。

$ cd /var/log
$ openssl md5 * > /some/where/rand.dat

秘密鍵の生成 †

rand.datは別途生成済みのランダムファイルを指定する。

$ openssl genrsa -rand rand.dat -out secret.key -des3 1024

秘密鍵は隠しておくべきなのでpermission change

$ chmod 600 secret.key

秘密鍵からパスフレーズを削除する †

$ openssl rsa -in secret.key -out secret.key-dist
(パスフレーズ入力)
$ mv secret.key secret.key-orig
$ mv secret.key-dist secret.key

パスフレーズを抜いた鍵も隠しておく。

$ chmod 600 secret.key

署名要求ファイル(CSR)の生成 †

Verisignなどの認証局に送る署名要求ファイル(CSR)を生成する。

$ openssl req -new -key secret.key -out server.csr

できあがったserver.csrを認証局に送る。平文でOK。

署名要求ファイルの内容確認 †

署名要求ファイル内容を確認する。

$ openssl req -text -in server.csr

x509証明書の確認 †

認証局からもらったx509証明書の確認。

$ openssl x509 -text -noout -in server.crt

Apache †

中間証明書のインストール †

中間証明書が必要ならインストールする。以下の例はVeriSign?のもの。

• 中間CA証明書を取得する[https://www.verisign.co.jp/repository/intermediate/2009_global.html]
• 中間CA証明書を保存する(/etc/httpd/ssl.key/ca.crt とか)
• httpd.confに以下を追加する

  SSLCertificateChainFile /etc/httpd/ssl.key/ca.crt

証明書のインストール †

httpd.confに以下をつけくわえる。

# 秘密鍵
SSLCertificateKeyFile /etc/httpd/ssl.key/secret.key
# サーバ証明書
SSLCertificateFile /etc/httpd/ssl.key/server.cer