5ちゃんねる ★スマホ版★ ■掲示板に戻る■ 全部 1- 最新50  

■ このスレッドは過去ログ倉庫に格納されています

■■■インチキCA(認証局)って・・■■■

1 :トホホ系インプリメンター:2001/04/28(土) 02:15
ここ3年間ほど、やれPKIだと言われ社内でも
インチキCA(厳密にはRA+プライベートCA)を
運用してきましたが、最近になってインチキCAを
ネコも杓子もOpenSSLで運用するスタイルが
流行っているので驚いています。みなさんの関心の具合は?

うちは、NT4+OPに付いてきたCAのローカルDBを
Crypt API経由でSQL6.5で極力厳密に運用しています。

2 :独占:2001/04/28(土) 03:40
ベリサイン高すぎ。ボッタクリもええかげんにせえよ

3 :ぼく、ようたろう!!!:2001/04/28(土) 04:02
オプションパックに付いてくるCAでSSL認証や
S/MIME 認証なんかもできるんですか?????>>1
だとしたら、評価用のベリサインで30日毎に申請
しなくて良いじゃん。マジレスきぼん

4 :名無しさん:2001/04/28(土) 06:17
社内用途だったらインチキCAでぜんぜんOKじゃん
社内用とじゃなくても、
某めっちゃ大手電器メーカー系通販サイトが、最初インチキCAで
運用してたことがあったけど、アクセスすると、
「この証明書は信頼されてません」みたいなメッセージ出してた
さすがに、数ヶ月したらVeriSign/RSA Secure Server CAになったけど

5 :名無しさん:2001/04/28(土) 06:18
日本だったら、VeriSignと、セコム経由のEntrustがおおいね
海外はThawteとか、ほかのメーカーもおおいけど

6 :anonymous@Verisign.com:2001/04/28(土) 08:57
>>5
Thawteは2年前にうちが買収しとるんじゃゴルァ


7 :ぼく、ようたろう!!!:2001/04/28(土) 16:29
どうすればインチキCAを構成できるんですか????
インチキCAのルートキーは公開できるのですか???
OpenSSL と LDAP 連携のメーリングリストを新規に
幾つか加入したんですけど、、さぱりわかりません。

やりたいこと:
www.hogehoge.co.jp を SSL で公開したい。
user01@hogehoge.co.jp 〜 user10@hogehoge.co.jp の
デジタル ID を hogehoge.co.jp がルートになるように
鍵を作りたい。暗号の長さはとりあえず40ビットでいいです。

8 :ぼく、ようたろう!!!:2001/04/28(土) 16:34
それと、やぱしLDAPは勉強しないとダメですか???
X.500とかX.509、てSSLに関係するんですか???
アクティブディレクトリでもできませんか???

質問ばかりですみませーーーん

9 :anonymous:2001/04/28(土) 16:46
質問するんなら名前ぐらい書き換えろよ
そんな名前で書いてたら誰も教えてくれないよ(ワラ

10 :名無しさん:2001/04/28(土) 16:50
>>7-8
Option Pack + IIS 4.0 が入ってる環境だったら
http://localhost/certsrv/ を叩いてみろ
で、何も無かったら IIS マネージャから certsrv インストール
ディレクトリをマッピングさせろ

LDAP 概念が無いと、ルートの説明がつかなくなるだろ
勉強しろとは言わないが知っとけ

11 :5:2001/04/28(土) 18:32
>>6
そうだったノカー
鬱だ、芯できます

12 :ぼく、ようたろう!!!:2001/04/29(日) 04:05
>>10
やってみました。そうしたら、証明書をインストールできたんですが
OU, L, S がデフォルトのままです。
OU・・・Your Unit
L・・・Your City
S・・・Your Prefecture

これを直す方法をきぼーーん


13 : トホホ系インプリメンター:2001/04/29(日) 06:02
>>12
その名前嫌いだから改名してね。(笑)

アプリの追加と削除から [OP追加と削除]→[Certificate Server] 削除
リブート
Certificate Server 構成データ共有ディレクトリを作成しておく ex.) C:\Sgared-Cert
アプリの追加と削除から [OP追加と削除]→[Certificate Server] インストール
Certificate Server 構成データ共有ディレクトリのマウント:C:\Sgared-Cert
暗号化サービスプロバイダ CSP から、以前の構成情報をすべて消去、証明機関の階層:ルートCA、ハッシュSSL3 SHAMD5
そうすると、次にお目当ての識別情報の入力画面が表示されない??

お約束だけど、SP4 以上を充て直してね。y2k パッチは充てなくても良いから。


14 :トホホ系インプリメンター:2001/04/29(日) 06:06
自己レス

ハッシュ関数として、SHA1、MD2、MD4、M-5、HMACなども選択できるけど
マシンパフォーマンスが高ければ、SSL3 SHAMD5 を推奨しとくよ。
理由?出力するハッシュ値のサイズが他の関数よりも長いから。
パフォーマンスがプアなら、MD5 程度で良いんじゃない。これだと、確かどんなに長い
データを入力しても、出力は16バイト一定だったように思う・・・。

15 :トホホ系インプリメンター@proxy2.netlaputa.ne.jp:2001/04/29(日) 06:13
とりあえず、このリモートホスト以外の
インプリメンターは偽ということで・・・。

16 :名無しさん:2001/05/01(火) 04:33
UniCertのCAアプリ本体を入手いたいです。
誰かワレズサイト教えて

17 :割れ物注意:2001/05/01(火) 19:04
>>16
UniCertじゃないけど、CAアプリあぷしときました
けされないうちにDLしてね
ftp://ftp.ring.gr.jp/pub/net/Crypto/OpenSSL/openssl-0.9.6a.tar.gz

18 :トホホ系インプリメンター@proxy2.netlaputa.ne.jp:2001/05/01(火) 23:12
>>16
UniCert / CA は買うしかないと思うよ。

>>17
あははは。ワレモノじゃないじゃん。
消されるどころか、常に最新のモノが置いてるし。


19 :割れ物注意:2001/05/01(火) 23:26
>>18
割れやろうには使いこなせないかもね
http://www.openssl.org/

20 :名無的発言者:2001/05/02(水) 00:14
>>16
http://210.154.102.109/support/downloads/brochure/key_archive_server_jp.pdf
偽装してあるから解除してね

21 :名無しさん:2001/05/02(水) 01:49
Baltimore から、PKI Cert Wizard というアプリを
ダウンロードしました。これだけで、PKI認証サービスが
できるんですか??

OpenSSLはUNIX使えないとダメなので
できれば Windows 2000 とかで動くやつを希望

22 :トホホ系インプリメンター@proxy2.netlaputa.ne.jp:2001/05/02(水) 03:04
>>21
PKI Cert Wizard はキーペアのみを作成するツールだったような。
Baltimore ツールキットに標準添付されてるやつね。
今、誰でもダウンロードできるようになったんだ。
それだけで、認証サービスを行うんではなくて、認証サービスを受けるための
キーペアを生成するものだけど。マニュアル読んでないの?(読めないの?)

ただのドキュンな管理者だったらPKIフレームワークを外注に出せば。
とうてい、自社内(自宅?)でプライベートCAを運用できないと思うな。


23 :名無しさん:2001/05/02(水) 04:31
結局はこうですか??

お金が無いがスキル(英語、UNIX)ある→OpenSSL
お金もスキルも無し→諦めろ
お金はあるがスキル無し→外注

じゃぁフレッツで固定IPをもらっても認証サービスを
お手軽 Windows2000 とかで運用しちゃいけないんですか????

24 :リスク計算:2001/05/02(水) 06:00
>>23
あと、達成するセキュリティレベルと、破られるリスクのコストも
計算しないと、って思うこのごろです。
自前CAをやるとすると、考えなくちゃいけないことが多いですよね。
この前は結局外注が安上がりという計算になったなぁ。
担当者変わったり、自社のセキュリティの心配であったり、知識のあるスタッフの
確保であったりとか、結構やっかいです。

あと、将来B2Bがめちゃめちゃ普及したときって信用保証どうするんでしょうね。
いまのVeriSignの資本金ぐらいじゃ買収できちゃいそうで心配な時代って
わりあい早くくるのかなぁ。

25 :名無しさん:2001/05/02(水) 22:04
>>24
ベリサインの資本金でベリサインは買収できないよ。
非上場の場合は特に。未公開株=額面なわけない。
実際にはその5倍程度を見積もっておくのが
企業買収の常識なんだけどさ。

それよりも、信用保証を問題にしていたけどさ
双方のルートキー(公開鍵)同士を交換するように
業界が再編成されれば済むだけのことじゃん。

26 :anonymous@tckw1213.ppp.infoweb.ne.jp:2001/05/02(水) 23:06
資本金と書いたのはおっしゃるとおり、阿呆をさらして
しまいました。ご指摘ありがとうございます。

B2Bの双方のルートキー(公開鍵)を証明する裏付けが、CA
やってる企業で、CA企業自体の時価総額が安いと心配、という
意図だったんですが、
業界再編成って、いうのはかつて銀行が企業グループのかなめと
なっていたように、企業グループが金だしあって、互いに手を出せない
ようなCAを維持運営し、それが結果として、ある程度の数の
グループに収斂されてくっていうことですか?

国が裏付けとなるCAとどっちがいいんだろう、と気になってます。

27 :テッドネルソン萌え:2001/05/02(水) 23:52
>>21
http://mars.elcom.nitech.ac.jp/Research/MM/security/
easycertで

28 :Five:2001/05/03(木) 01:16
>>23
OpenCA っていうのもあります。
http://openca.sourceforge.net/


29 :Five:2001/05/03(木) 02:08
>>26
ルート認証局相互のクロス証明のことを指しているのでしょう。
以下の資料が参考になります。
http://dev.baltimore.co.jp/resources/pki/path_validation.html

今はクライアントに複数のルート認証局の証明書をあらかじめ組み込んでおくという
手段で対応しています。


30 :無知を恥じハジ:2001/05/03(木) 05:08
>>29
ありがとございます。クロス証明なんて仕組みが考えられてる
なんて。ちゃんと勉強しなおします。

31 :ななしぃ:2001/05/03(木) 21:29
認証局の認証をユーザにとっては暗黙的にパスしているので、自前の認証局を云々
論議するのもある意味ナンセンス?

「ベリサイン社を認証局として認証しますか?」
「ベリサイン社を認証局として認証した日本国を認証しますか?」
二問目の警告メッセージにYesと安易に答えて良いものだろうか?

32 :ななし:2001/05/03(木) 23:21
ここでも無料で証明書発行してくれたりCAのパッケージ
を配布してたりする。
http://moca.wide.ad.jp/index.html

クロス証明は間に一個不信なCAが入ると駄目ですね。
「友達の友達は友達」という(当初の)PGPに近いですね。



33 :テッドネルソン萌え:2001/05/04(金) 03:10
>>32
ということは、ISP同士のピアリングで起こっているような階層化が、
今後CAの世界でも起こりそうだということですね。やっぱり最上位の
CAがTier1 CAと呼ばれて、定期的にTier1ミーティングを開いて
相互認証交渉とかをするのでしょうか。
歴史は繰り返すというけど、なんだかなぁ...

34 :テッドネルソン萌え:2001/05/04(金) 03:15
>>29
端末に複数のルート証明書を入れておくという現在のスキームは、端末で
デファクトを握っている企業(昔Netscape、今MS)がCAに対して事実上
の選別を行うという点で、個人的にはあまりフェアじゃないと思ってます。
SSLでカード番号を暗号化したいだけなのに、「この証明書の署名は信用
できない云々」というダイアログを出したくないがために、セルフ署名で
はなくベリサインから証明書を買った人も少なくないのでは?


35 :トホホ系インプリメンター:2001/05/05(土) 06:30
>>33
メジャーCA間で定期的に Tier1 MTG は行われていません。
それらがCAビジネスであるが故にです。マイナーな例えばインチキCAに
代表されるような企業間CAの場合であれば、ルート証明書の交換や
ポリシー(何をどこまで保証するのか)策定についての MTG は行われ
ています。以前、WIDE/CA の際にも下位CAやチェーンについては活発に
議論がなされていましたし。

>>34
これも、>>33 と関連しますが、
フェアかどうかはビジネスの営利関係に影響されると思います。
例えば、ドコモ i アプリ端末の場合では5つのルート証明書しか
持っていません。GTE/RSA/Versign 1/Verisign 2/Entrust

アプリそのものに署名を付けて配布する場合は、それらのルートを
持つCAからアプリ(ディジタル)署名を発行してもらわないといけなく
なる・・・というのが狙いでしょう。

個人的に勉強会でも多用する言葉ですが、CAを日本銀行と例えると
CA クロス証明は各国の通貨を受け入れるのと同じくらい慎重で重要な
政策です。信用のレベルも扱いの単位(ここでは為替レート)も受け入れる
すなわち相互運用に発展しかねませんから、非常に難しいと思います。



36 :トホホ系インプリメンター@proxy2.netlaputa.ne.jp:2001/05/05(土) 06:32
7月からPGPv7.0.3J も Verisign ルート運用が開始されるので
その利用動向が今一番の関心事です。

37 :テッドネルソン萌え:2001/05/06(日) 21:29
>>35
確かに、CPSの標準化なんて聞いたことないし、CA間の相互認証って難しそうですね。
GPKIのBridge CAも、役所間の見栄の張合いを収拾する手段にしか見えないし。

個人的には、Root CAを頂点にしたX.509スキーム自体が階層構造を持つ以上、運用も
中央集権的になるのは仕方ない気もします。だから、アンチ・メジャーCAの立場を取る
とすれば、それはインチキCAをでっち上げることではなく、X.509に変わるような分散
認証フレームワークを開発し、実際に運用するしかないでしょう。先の長い話ですが。

38 :のぶちゃんのハゲ:2001/05/14(月) 07:34
弊社では、RSA Keonを購入しこれをベースとした各種CAの
統合を図るフレームワーク構築ビジネスに参入する計画です。
これに伴いましてネットワークセキュリティPGを多数募集して
います。

15 KB
■ このスレッドは過去ログ倉庫に格納されています

★スマホ版★ 掲示板に戻る 全部 前100 次100 最新50

read.cgi ver 05.04.02 2018/11/22 Walang Kapalit ★
FOX ★ DSO(Dynamic Shared Object)