PKIの基礎 (3) 階層型CAモデル (実習続き)

security

EasyCertを使って階層型CAモデルの認証パスが通った!

NGだった手順

File -> New CAで、証明書と秘密鍵を新規に作成する、を選択し、ウィザードに従って中間CAを作成
(しかし、なぜこれでNGだったかわからない。。既存のCAへのCA証明書が発行できなくて、相互認証モデルができない。。)

OKだった手順

証明書要求を作成し、それを上位CAにサインしてもらった後 CAを構築した。

  1. Top CAオブジェクト右クリックからNew Requestを選択。新規に証明書要求と秘密鍵を生成する。ou=AliceCA, o=TESTORG, c=JPとして作成。
  2. Top CAのRequest Listに中間CAの証明書要求がリストされるので、PKCS#10として保存
  3. 証明書要求から証明書を発行する。Cert Extentionsで、Basic Constraints(CA True), keyUsage(keyCertSign, cRLSignでいいのかな?) を設定しておくことを忘れずに。ツールバーから、CA -> Issueを選択、PKCS#10を選択する。これにより、Top CAにsignされる。(ここまでの作業は、CAメニューのNew Issueでもいいのかも?) Issued Listに中間CAのリストがあるので、PKCS#12として保存
    • keyCertSignは証明書の署名を検証するために必要。CA証明書のみ有効。-> AliceCAが発行した公開鍵証明書を検証するために必要。cRLSignも同様。
  4. ツールバーから、File -> New CAを選択、CAの名前を入力後、PKCS#12をインポートする、を選択する。Top CAでsignした、中間CAのPKCS#12を選択する。これで中間CAが構築できる。(このとき中間CAの自己署名証明書も作成される。)

次に、

  1. Program Files\EasyCert\Top CA\ca.cer(Top CAの自己署名証明書)をインストール
  2. 証明書要求から発行したAliceCAへの証明書(PKCS#12)を中間証明機関にインストール
  3. AliceCAで発行したAliceEEの証明書をインストール

する。

中間CAで作成したEnd Entity公開鍵証明書は、上位CAからの認証パスが通っていることを確認できた。

(メモ: 証明書で、どの証明書でどのkeyUsageをチェックすればよいかわからなくなったら、授業で配布されたPPTに付いている証明書の中身を見てみよう。)