[data security showcase Sapporo 2015] D27:運用担当者のための OpenSSL 入門 by ユーザーサイド株式会社 志賀格
•
2 recomendaciones•1,603 vistas
Linux サーバー運用で SSL / TLS を必要とすることが当たり前の世の中になってきました。CentOS / Apache という構成での SSLサーバー証明書設定の基本について説明します。さらに、OpenSSLコマンドを使用して、問題になりやすい更新漏れや中間証明書設定ミスを防ぐ方法、CSR作成方法、暗号化方式の変更方法、更新結果の確認方法を解説します。
Recomendados
Más contenido relacionado
Destacado
Destacado (20)
Similar a [data security showcase Sapporo 2015] D27:運用担当者のための OpenSSL 入門 by ユーザーサイド株式会社 志賀格
Similar a [data security showcase Sapporo 2015] D27:運用担当者のための OpenSSL 入門 by ユーザーサイド株式会社 志賀格 (20)
Más de Insight Technology, Inc.
Más de Insight Technology, Inc. (20)
Último
Último (8)
[data security showcase Sapporo 2015] D27:運用担当者のための OpenSSL 入門 by ユーザーサイド株式会社 志賀格
- 2. Who is he? 自己紹介 名前 志賀 格（しが・ただす） 所属 ユーザーサイド株式会社 お仕事 お客様企業のネットワークインフラやサーバーの監視や障 害対応 お客様システム管理者のよろず相談 年齢 30歳 16進数で表記しています。 2
- 5. OpenSSLの入手方法（Linux編） サーバー系のOSとしてインストールするとたいてい OpenSSLは入っている。 便利な世の中になりました。 CentOS系であれば以下のコマンドにて # yum install openssl Debian系であれば以下のコマンドにて # apt-get install openssl しかし システム管理者は、自分の自由になるLinuxを持っていな いかもしれません。 5
- 9. OpenSSLの使い方 起動する。 コマンドプロンプトを起動 “cd c:¥program files(x86)¥stunnel¥bin” Openssl OpenSSL> プロンプトが出てくる。 終わらせるときは exit 9
- 10. OpenSSLではどんなことができるのか ヘルプを見るのが手っ取り早い Help でも ? でも打って enter キーを押す “req” CSR（証明書要求ファイル）の作成 “genrsa” RSA公開鍵を生成 “enc” 暗号化・複号 “dgst” メッセージダイジェスト（ハッシュ）を生成 10
- 11. 素数かどうかを教えてくれる “prime” というサブコマンドがある その名の通りで、ある数が素数なのかどうかを回答してく れる。 例 “prime 17 [Enter]” “11 is prime” （回答はなぜか16進数） これが「システム管理の何に役に立つのか」 役に立たないと思います。 11
- 12. 一番役に立つと思われる s_client “s_client” はSSL/TLSのクライアントとして、Web サーバーなどに接続して結果を得ることができます。 コマンドラインのSSLクライアントなら wget や curl もも ちろん使えます。 OpenSSLを使うメリットは、SSLやTLSに関する細かい情 報を得たり、制御できることです。 12
- 17. こんなときにOpenSSL SSL3.0しか使えないクライアントであるかのようにふる まう。 17 s_client –connect www.userside.co.jp:443 –ssl3
- 19. OpenSSLの使い方 今まで対話モードで使ってました。 直接コマンドプロンプトからオプションを使って機 能を利用できる。 19 openssl s_client –connect www.userside.co.jp:443
- 20. 証明書を取得する “s_client” の結果をよく見ると、サーバー証明書の情 報も表示されている。 20 --- Certificate chain 0 s:/C=JP/OU=Domain Control Validated/CN=www.userside.co.jp i:/O=AlphaSSL/CN=AlphaSSL CA - G2 1 s:/O=AlphaSSL/CN=AlphaSSL CA - G2 i:/C=BE/O=GlobalSign nv-sa/OU=Root CA/CN=GlobalSign Root CA --- Server certificate -----BEGIN CERTIFICATE----- MIIEvjCCA6agAwIBAgISESGzyXLt7MGw6If1kbfuxGjXMA0GCSqGSIb3DQEBBQUA MC4xETAPBgNVBAoTCEFscGhhU1NMMRkwFwYDVQQDExBBbHBoYVNTTCBDQSAtIEcy MB4XDTE0MDgyMDA4MTM1MVoXDTE1MDkyMDE5MjU0NVowTTELMAkGA1UEBhMCSlAx rzDH+VPevoeQYLtHGgyZF60theBexZ43JPrGEZBwmar/fH+fzkcEU1AoajX5LA3M LZqnZpnQAM5OLoGBpwp670xT -----END CERTIFICATE----- subject=/C=JP/OU=Domain Control Validated/CN=www.userside.co.jp issuer=/O=AlphaSSL/CN=AlphaSSL CA - G2
- 21. 証明書をOpenSSLで扱う 以下のようにリダイレクトしてファイルに落とす。 openssl s_client –connect www.userside.co.jp:443 > c:¥temp¥log.txt ファイルを開いて証明書部分だけ保存する。 証明書は “-----BEGIN CERTIFICATE-----” と “-----END CERTIFICATE-----” に挟まれた中にある。 ファイルに保存するときはこの、BEGINの行・ENDの行 を含めて保存する。 中身を見たいときはこうする。 openssl x509 –noout –text < c:¥temp¥cert.cer 21
- 22. OpenSSLの設定ファイル 設定しなくても使えるが、 Openssl起動時に /usr/local/ssl/openssl.cnf がないと 怒られる。 Windowsの場合、環境変数 OPENSSL_CONF を指 定してやるとよい。 “set OPENSSL_CONF=“C:¥Program Files(x86)¥stunnel¥conf¥openssl.cnf” 22
- 25. “dgst” コマンドを使ってみる 確認したいファームウェア “rtx1200.bin” 同じサイトで公開されているチェックサム “rtx1200.md5” 2a9ff798446a7fad3d2eeb14bd7b980f *rtx1200.bin MD5というアルゴリズム（方式）でハッシュをとっている。 “openssl dgst –md5 rtx1200.bin” “MD5(rtx1200.bin)= 2a9ff798446a7fad3d2eeb14bd7b980f ” 25
- 27. “openssl ciphers” をつかいます “openssl ciphers –v ALL” 利用できるすべての方式を出力します。 “openssl ciphers –v “ALL:!ADH:!SSLv2” 利用できるすべての方式から、ADHとSSLv2は除きます。 27
- 28. 実際に “ciphers” を使った結果 結果の見方 “AES128-SHA SSLv3 Kx=RSA Au=RSA Enc=AES(128) Mac=SHA1” 一番左側 CipherSuiteという「名前」 SSLv3 というのがプロトコルのバージョン Kx 鍵交換の方法 Au 認証の方式 Enc 暗号化の方式 Mac メッセージ真正性の方式 28
- 30. “s_client”コマンドでわかること オプションを変えてみるとつながらない場合が分か る。 openssl s_client –connect hogehoge.jp:443 –tls1 これはOK openssl s_client –connect hogehoge.jp:443 NG “Secure Renegotiation IS NOT supported” と表示さ れているサーバーが問題らしい。 30