【技術力】OpenSSLを使ったCAの構築【爆発】

112006/01/16(月) 22:17:16
OpenSSLの証明書絡みで、12月の半ばごろ、
ある会社にCSR作成の作業を依頼しました。
そして1か月ほど経った本日、依頼先から下記のメールが来ました。

メールには下記の文面とともに「csr1」というファイルが添付されており、
中身を確認したら突っ込みどころ満載でぶっとびました。

どう見てもCSRです。
本当にありがとうございました。

これみんなでやりませんか?
ちょっとした起爆剤になれば
もっと盛り上がると思いますよ
ブラウザから確認するためにもPHPでやりましょう。
講師もやりますよ。hatenaで聞いてきましょうか?

24名無しさん@お腹いっぱい。2007/07/05(木) 08:05:37
OpenSSL ってビルドに perl がいるんだね・・・・
Makefile 作るために perl がいるってことか?

25名無しさん@お腹いっぱい。2008/03/25(火) 02:33:56
ネト記事ごときに執拗に突っ込んでる痛い奴見つけたんでとりあえずここに貼っとく。
http://www.unixuser.org/%7Eharuyama/security/openssh/20071228.html

26名無しさん@お腹いっぱい。2008/03/25(火) 10:51:10
雑誌が減ってネット上の記事が頼りにされるようになってる時代だというのになー

27名無しさん@お腹いっぱい。2008/03/25(火) 15:46:16
ネット上の記事の重要度が上がってるなら、放置しないで突っ込むべきでは?

28名無しさん@お腹いっぱい。2008/07/09(水) 03:06:33
自己署名CAたてたんだが、いまいちうまくいかんがな。むずい

29名無しさん@お腹いっぱい。2008/07/14(月) 09:29:11
ここってCAの構築限定?
openssl ライブラリがらみ全般の話題ってどのスレいけばいいっすか?

質問)
openssl の rsa サブコマンドを使うとあらかじめ用意した公開鍵で
暗号化できますが、複数の公開鍵を用意してどれに対応する秘密鍵でも
復号できるようにはできないものでしょうか?

そもそも openssl の rsa サブコマンドでやるべきじゃなくて、
libopenssl を使ってツール作るべきなんでしょうか?

rsa サブコマンドでの暗号化の際にはたぶん何らかの共有鍵が
生成されていてそれを与えた公開鍵で暗号化しているのだと思うので、
複数の公開鍵を与えられればいいなぁと思ったのです。

利用例)
たとえば自分が死んだときでもあるファイル群は
嫁さん(が脳外にいたとして)が復号できるようにしておきたいとか。

30名無しさん@お腹いっぱい。2008/07/15(火) 00:31:07
>>29
その論理でいくと嫁さんが実体じゃなくてもいいってことになるな
電脳で構築された嫁か
悪くないな!

31名無しさん@お腹いっぱい。2008/07/15(火) 16:52:34
PGP などでメッセージ(なりファイルでもいいが)、暗号化して
送付する際に受取人が複数いる場合に、暗号化するには
次のようなステップをとる。

それと同じでは駄目?

1. メッセージを暗号化する鍵1(K1)を作成。
   これは普通 共通鍵暗号(例:AES )の鍵として利用して、
   メッセージを暗号。

2. 暗号化したメッセージの前に、 受取人がN 人いるとして、それぞれの秘密鍵で暗号化した
K1 をつける。
     K1 encrypted by 1st Private Key for the 1st person.
     K1  encrypted by 2nd Private Key for the 2nd person.
     ...
     K1  encrypted by the private key of the N-th person.

これに暗号化されたメッセージをつけて送る:

     K1 で暗号化されたメッセージ。

みたいな。




32名無しさん@お腹いっぱい。2008/07/15(火) 17:13:45
OpenSSLだけでやりたきゃsmimeコマンドでPKCS7バイナリを直接書き出すことも出来る。

pkcs7-smime ってのはつまりRSAで暗号化されたキーとそのキーで暗号化されたコンテンツを
まとめたバイナリの形式のことで、暗号化されたキーはいくつでも付加可能。
ただ、smimeを使うと、CAをでっちあげる必要があるだろう
生のRSA鍵ではなく、X.509証明書を使う必要があるので。


あと、rsaサブコマンドでは共通鍵は生成されない。たしか。

33名無しさん@お腹いっぱい。2008/07/23(水) 22:13:47
openssl version

と入力すると以下のようなエラーが出てしまい実行できない状態です。
どなたか解決方法ご存知の方、何卒ご教示お願い申し上げます。

環境:
Windows2003 Sever
Apache 1.3.33(Win32)
mod_ssl 2.8.22
OpenSSL 0.9.7f

表示されるエラーメッセージは「序数 3288がダイナミックライブラリ LIBEAY32.dllからみつかりませんでした」

です。

よろしくお願いいたします。更新まであと、1週間どうしよう…。

34名無しさん@お腹いっぱい。2008/07/23(水) 22:15:00
UNIX板なんですね…。
検索エンジンからきたので全く考慮しておりませんでした。すみません。
でもご教示いただけることございましたら何卒よろしくお願い申し上げます。

35名無しさん@お腹いっぱい。2008/07/23(水) 22:29:04
もうちょっとググり方考えればすぐ出てくるのにな。
ttp://blog.clouder.jp/archives/000708.html

36名無しさん@お腹いっぱい。2008/11/14(金) 23:00:18
保守

37名無しさん@お腹いっぱい。2009/04/02(木) 18:36:57
openssl-1.0.0-beta1.tar.gzが出てるんだが、
エイプリルフール?

38名無しさん@お腹いっぱい。2009/04/12(日) 01:46:22
まて、それは孔明の罠だ。
OpenSSLが1.0を名乗るなんて偽物に間違いない。

39名無しさん@お腹いっぱい。2009/12/02(水) 22:10:24
来年にはbetaがとれますように

40名無しさん@お腹いっぱい。2010/01/21(木) 00:13:02
RubyのOpenSSL情報少なすぎて死にたくなる。

41名無しさん@お腹いっぱい。2010/03/30(火) 17:28:11
1.0.0キタ━━━━(゚∀゚)━━━━!!

42名無しさん@お腹いっぱい。2011/03/11(金) 03:10:03.42
rsaのprivate keyは何bits以上にすればよかとですか

43名無しさん@お腹いっぱい。2011/08/22(月) 13:43:54.54
openssl 0.9.8eでプライベートCAを構築すると
証明書データベース(index.txt)ファイルの
有効期限や失効日時がASN.1 UTCTime形式のようで
Y2K問題と同様にまずい気がするんだが
1.0以降だと変更されてたりするのかな…?

44名無しさん@お腹いっぱい。2013/03/11(月) 11:22:03.34
保守

45名無しさん@お腹いっぱい。2014/04/08(火) 21:29:25.78
あげ

46名無しさん@お腹いっぱい。2014/04/11(金) 18:15:36.98
おわっている

47名無しさん@お腹いっぱい。2014/04/11(金) 18:30:41.08
OpenSSLの脆弱性対策で、バージョンアップしたり、証明書を再発行しているんだろうな。

48名無しさん@お腹いっぱい。2014/04/13(日) 20:56:29.67
発行済み証明書全部 revoke して再発行したけど CRL がアホみたいに巨大化したから
もうCA局から作り直したくなったよ

やれやれ

49名無しさん@お腹いっぱい。2014/04/15(火) 01:05:08.09
何万枚発行してたのよw

50名無しさん@お腹いっぱい。2014/04/16(水) 07:28:50.18
opensslの脆弱性が最近記事になってるやん

これ変な気がするんだよなぁ
メモリーをコピられてもさ、それってユーザー空間なわけじゃないのさ?
んで、ふつうさ、コネクション毎に別のプロセス立ち上げるだろ?
つまりね、別のユーザー空間にアクセスできるわけねえんだから
そもそもメモリーをコピーしたところでなんか見れるの?
ふつうcallocすりゃメモリは0で初期化されるだろ?
他のプロセスが使ってたメモリの内容がスタック領域とかに残ってるのか?

陰謀論なら、フリーソフトではなく商用ソフトを使わせたいとかいうことかもね
でも、スノーデンが正しいならむしろそっちのほうこそ仕込まれてる可能性があるわけで・・・・

51名無しさん@お腹いっぱい。2014/04/16(水) 07:32:23.32
というか、仮に1つのプロセスがすべてに対応する作りだと
そもそもそれ自体がセキュアーなアーキテクチャになってないという
ほんまにそういうつくりなのか?

52名無しさん@お腹いっぱい。2014/04/16(水) 07:57:47.01
Apacheだっていちいちforkしないだろ
そんなことしたらパフォーマンス下がる

53名無しさん@お腹いっぱい。2014/04/16(水) 09:13:47.01
>>50
「センシティブなデータ使い終わったらゼロクリアしろって言われてる」
って話はよく聞くけど、それを怠ってるんだろうね

>>52
Webアプリケーションといえば未だにCGIとPHPな2chで何を…
ここの住人にはprefork MPM以外の概念は通用しないよ

54名無しさん@お腹いっぱい。2014/04/16(水) 11:55:38.63
Googleが暗号化を推進したいとかいってるのがすげえ気になるんだわ
よくわからないけど、SSLにつかう公開鍵って常に同じだったりするのか?
仮にそうなら相手のコンピュータの識別IDとして使えるよな

55名無しさん@お腹いっぱい。2014/04/16(水) 12:56:00.04
ここCA構築スレな
スレチだから消えてくれ

56名無しさん@お腹いっぱい。2014/04/16(水) 21:52:59.11
>>50
それは設定によるだろ
1アクセスごとにforkしてアクセス終わったら終了する設定にしてるならそうだけど、
ふつうは、preforkして、かつ数百とか数千アクセスを処理すれば終了するような
設定にしてる人が多いんじゃね?

57名無しさん@お腹いっぱい。2014/04/16(水) 22:19:24.22
一部お客様のドメインに関しましてご報告とご協力のお願い
http://iis.jp/server/news/2014/20140416.html

これ良く分からん

58名無しさん@お腹いっぱい。2014/04/18(金) 17:40:19.93
うさんくさいレジストラ代行会社やうさんくさいネームサーバ管理会社を使うなってことだね

59名無しさん@お腹いっぱい。2014/04/19(土) 20:58:34.01
>>50
>んで、ふつうさ、コネクション毎に別のプロセス立ち上げるだろ?

さすがUNIX板
1990年くらいで時が止まってるな

60村井 ◆4.NMMMMMMM 2014/04/20(日) 11:05:19.60
あのぉ、これは、当日はいていく予定のTバックのことです。
Tバックというのは、あの部分が故意に、つまり意図的にですね、
そうゆう目的性と申しましょうか、方向性ていうかぁ、挿入のために、
破れているのれす!

61名無しさん@お腹いっぱい。2014/06/16(月) 14:19:56.57
またOpenSSLの深刻なバグがみつかって情報の盗聴や偽のユーザーにアクセスされる恐れがある
最悪の場合、証明書の再発行がまた必要だろうな

62名無しさん@お腹いっぱい。2014/07/14(月) 22:36:56.82
LibreSSLは20万行も削除して登場

63名無しさん@お腹いっぱい。2016/09/28(水) 15:24:50.08
SHA-2 の証明書は OpenSSL 0.9.8 から使えますが,
OpenSSL 0.9.8 では SHA-2 を使った TLS/SSL の
暗号プロトコルには対応していない


という文章の意味がわからないです
これ、結局サーバではSHA2の証明書は使えない
ということじゃないの?

64名無しさん@お腹いっぱい。2016/09/29(木) 19:04:58.61
証明書で使うハッシュ関数と、暗号化通信で使うハッシュ関数の違い。

65名無しさん@お腹いっぱい。2016/10/15(土) 22:29:40.43
まだ、OpenSSLとか使ってる情弱がいたのかよ。

66名無しさん@お腹いっぱい。2016/10/16(日) 11:30:44.08
>>65
時代はなに?

67名無しさん@お腹いっぱい。2016/10/16(日) 14:52:41.32
>>65
9月22日時点でOpenSSLがアップデートした修正版は、LibreSSLは同じ箇所を2年前に既に修正済み状態だった。

OpenSSL側はセキュリティに関してあまり関心がないか、修正できないか、自分たちのコードでさえどうなってるのか把握できないくらいぐちゃぐちゃになってるかのどっちかだろ。

たまから、OpenBSDは使われてない何万行ものコードを削除したんだろ。

68名無しさん@お腹いっぱい。2016/10/16(日) 17:37:12.89
なぜ65にその返し?

69名無しさん@お腹いっぱい。2016/10/16(日) 18:16:03.67
>>68
間違えた。
66ね

70名無しさん@お腹いっぱい。2016/10/16(日) 21:38:50.12
>>69
OpenSSL使ってるのが情弱なら、情強は何使ってんだ?って話だろ?

71名無しさん@お腹いっぱい。2017/01/17(火) 14:12:36.21
>>70
オマエは、OpenSSLでも使ってろw

72名無しさん@お腹いっぱい。2017/01/19(木) 01:50:05.98
ホント、スレタイ通り爆発したなw
OpenSSLオワタ\(^o^)/

73名無しさん@お腹いっぱい。2017/12/29(金) 10:54:11.99
誰でも簡単にパソコン1台で稼げる方法など
参考までに、
⇒ 『宮本のゴウリエセレレ』 というブログで見ることができるらしいです。

グーグル検索⇒『宮本のゴウリエセレレ』

45EAYK03MU

新着レスの表示
レスを投稿する