【技術力】OpenSSLを使ったCAの構築【爆発】

1 · 2006/01/16(月) 22:17:16

OpenSSLの証明書絡みで、12月の半ばごろ、
ある会社にCSR作成の作業を依頼しました。
そして１か月ほど経った本日、依頼先から下記のメールが来ました。

メールには下記の文面とともに「csr1」というファイルが添付されており、
中身を確認したら突っ込みどころ満載でぶっとびました。

どう見てもＣＳＲです。
本当にありがとうございました。

**メール本文** · 2006/01/16(月) 22:18:14

＊＊＊＊＊（会社名）鈴木（仮名）です
いつもお世話になります

CSR情報を送付いたします

リナックス用エディターで確認願います

**名無しさん＠お腹いっぱい。** · 2006/01/16(月) 22:19:02

え、これで終わり！？

**添付ファイルの中身（１）** · 2006/01/16(月) 22:19:18

[root@www bin]# openssl md2 *>rand.dat
Read Error in X11
11232:error:0200B015:system library:fread:Is a directory:bss_file.c:167:
11232:error:20082002:BIO routines:FILE_READ:system lib:bss_file.c:168:
[root@www bin]# openssl md5 * > rand.dat
Read Error in X11
11233:error:0200B015:system library:fread:Is a directory:bss_file.c:167:
11233:error:20082002:BIO routines:FILE_READ:system lib:bss_file.c:168:
[root@www bin]# openssl genrsa -rand flora.dat -des3 1024>key.pem
-bash: 1024: 不正なファイル記述子です
[root@www bin]# openssl genrsa -rand flora.dat -des3 1024 > key.pem
0 semi-random bytes loaded
Generating RSA private key, 1024 bit long modulus
.....................++++++
...........++++++
e is 65537 (0x10001)
Enter pass phrase:
Verifying - Enter pass phrase:
[root@www bin]# openssl req -new -key key.pem -out csr.pem
Enter pass phrase for key.pem:
unable to load Private Key
11236:error:06065064:digital envelope routines:EVP_DecryptFinal:bad decrypt:evp_enc.c:438:
11236:error:0906A065:PEM routines:PEM_do_header:bad decrypt:pem_lib.c:421:

**添付ファイルの中身（２）** · 2006/01/16(月) 22:20:17

[root@www bin]# openssl req -new -key key.pem -out csr.pem
Enter pass phrase for key.pem:
You are about to be asked to enter information that will be incorporated
into your certificate request.
What you are about to enter is what is called a Distinguished Name or a DN.
There are quite a few fields but you can leave some blank
For some fields there will be a default value,
If you enter '.', the field will be left blank.
-----
Country Name (2 letter code) [GB]:jp
State or Province Name (full name) [Berkshire]:tokyo
Locality Name (eg, city) [Newbury]:minatoku
Organization Name (eg, company) [My Company Ltd]:＊＊＊＊＊（伏せます）
Organizational Unit Name (eg, section) []:soumu service
Common Name (eg, your name or your server's hostname) []:＊＊＊＊＊（伏せます）
Email Address []:＊＊＊＊＊@＊＊＊＊＊.co.jp

Please enter the following 'extra' attributes
to be sent with your certificate request
A challenge password []:
An optional company name []:
[root@www bin]# gedit
[root@www bin]# gedit

1 · 2006/01/16(月) 22:21:09

以上です。

**名無しさん＠お腹いっぱい。** · 2006/01/16(月) 22:28:22

了解しました。
では削除依頼のほど、よろしくお願いいたします。

**名無しさん＠お腹いっぱい。** · 2006/01/17(火) 21:39:55

でもﾜﾗﾀ

**名無しさん＠お腹いっぱい。** · 2006/01/22(日) 09:03:04

でもﾜﾗﾀ

**名無しさん＠お腹いっぱい。** · 2006/01/22(日) 15:00:08

わろた

**名無しさん＠お腹いっぱい。** · 2006/01/22(日) 15:53:44

World Wide Web の root 様だから仕方が無いな。

1 · 2006/01/23(月) 12:50:54

というわけで、どう見ても作業履歴ログでした。

後日談があります。間に入っている会社によれば、
この彼は、これを送る以前に同様なものの

「スクリーンショット版」

を送ってきたそうです。

**名無しさん＠お腹いっぱい。** · 2006/03/07(火) 23:34:01

連鎖証明書がつくれなくて困ってます。
誰かたすけて。

**名無しさん＠お腹いっぱい。** · 2006/03/07(火) 23:58:23

keytoolとOpenSSL使いたいです。

①鍵作る
keytool -genkey -alias rsa -keystore KeyStore -keyalg RSA

②証明書要求書作る。
keytool -certreq -alias rsa -keystore KeyStore -file cert_req.csr

③CA作る。
./CA.pl -newca

④CSRを読み込んで、CA署名付き証明書発行
--ここで困ってます。

⑤連鎖証明書をインポート
keytool -import -alias rsa -keystore KeyStore -file ChainCert.cer

-----------------------------------------------------------------------

④でのopensslを使用した手順を教えてください。
keytoolのマニュアルには、
連鎖証明書をimportするにはPKCS7でないとダメと書いてあるのですが。。

ttp://java.sun.com/j2se/1.4/ja/docs/ja/tooldocs/solaris/keytool.html