サーバ管理者必見！ 失敗しないSSL サーバ証明書導入のキホン - 日本ジオトラスト株式会社

Transcription

1 サーバ管理者必見! 失敗しない SSL サーバ証明書導入のキホン 日本ジオトラスト株式会社

2 概要 SSL(Secure Sockets Layer) サーバ証明書には 証明書が発行されたサーバを特定しクライアント / サーバ間の通信内容を暗号化する機能と サーバ証明書 という名称が示すようにインターネット上のサーバを特定するという証明書の機能があります この機能を用いることで安全なウェブサイトを構築し ウェブサイトやウェブサービスの訪問者に安心して利用してもらうことができるようになります ただし SSL サーバ証明書のインストールが適切に行われていないとエラーメッセージや警告画面が表示され 逆にウェブサイトの訪問者やウェブサービスの利用者を不安にさせてしまいます SSL サーバ証明書の導入は決して難しい作業ではありません 作業内容と手順がわかっていれば 導入と検証に要する時間は短時間で済みます しかし SSL サーバ証明書の設定は多くても年に数回程度です 先回設定してから次に証明書を更新するまでの間に手順を忘れてしまったり 当時の手順書が見当たらなかったりして設定方法を調べ直し 内容を思い出すことから始めることもあります 結果 予想以上の時間がかかってしまい どうしても煩雑な作業になりがちです 当資料では このような問題を解決するためにサーバ管理者が見落としがちな点や注意しておくべき点をピックアップしてわかりやすく解説していきます 作業の前に一読しておくと 設定時に発生しやすいトラブルを回避して導入に関する時間の浪費を防ぐことができるでしょう また 巻末の付録には 各種チェックリスト およびトラブルシューティング集を掲載しています 作業をしながら必要な項目のみ確認していくのもよいでしょう SSL サーバ証明書の導入手順書 また設定後の確認書として是非ご活用ください 当資料は 日本ベリサイン株式会社が公開する SSL サーバ証明書資料 サーバ管理者必見! 失敗しない SSL サーバ証明書導入のキホン を元に同社からの許諾を得た上で日本ジオトラスト株式会社のウェブサイトに公開する資料として改編しています 原典については 日本ベリサイン株式会社のウェブサイトにて公開されています サーバ管理者必見! 失敗しない SSL サーバ証明書導入のキホン 2

3 SSL サーバ証明書設定 5つのキホン - これだけは確認しよう SSL サーバ証明書を申請してから SSL を利用可能にするまでの一連の作業における注意点を 5 つのポイントとしてまとめました 実際に作業にとりかかる前にそれぞれのポイントについて理解しておくと 作業をスムーズに行えます 1. 申請内容を確認する 2. 中間認証局証明書をインストールする 3. SSL を有効にする 4. 安全な SSL 通信を確保する 5. エラーは 2 種類に分けて対処する SSL サーバ証明書の申請からインストールまでの手順 およびインストール方法については当資料の巻末に添える付録を参照してください 1. 申請内容を確認する 1-1. 申請情報と書類の用意日本ジオトラストが発行する SSL サーバ証明書 ジオトラストクイック SSL プレミアム を申請する際は 下記の情報とデータが必要になります 1. 申請団体情報 2. 申請責任者情報 3. CSR SSL サーバ証明書の種類によっては 証明書を取得する企業 団体の身元やウェブサイトの管理権限について確認するために 上記以外にも内容を証明する書類の提出が要求されることがありますが ジオトラストクイック SSL プレミアムでは書類の提出は不要です 申請時に必要な情報 ( ジオトラストクイック SSL プレミアムの場合 ) 申請団体 申請責任者 CSR SSL サーバ証明書を導入するウェブサイトを運営している組織 団体 個人 SSL サーバ証明書の取得に際しての責任者 サーバを特定するための情報として コモンネームやウェブサイトの運営者 鍵情報を含むテキスト形式のデータ 1-2. CSR の生成 CSR(Certificate Signing Request) とは 認証局の電子署名がされた証明書を発行してもらうために認証局に提出するテキスト形式のデータです 認証局は各社が規定した発行審査が完了した後に提出された CSR に電子的な署名を行います 認証局によって電子署名されたデータが証明書となります CSR は SSL サーバ証明書をインストールするサーバから生成しますが CSR を生成する際 あらかじめディスティングイッシュネームを決めておく必要があります ディスティングイッシュネームは証明書のプロパティ> 詳細タブ>サブジェクトの項目に表示される情報です ウェブサイト利用者が閲覧するため 正確に記述する必要があ 3

4 ります 部門名 (OU = Organizational Unit) には お客様が指定した情報のほかに複数の追加情報が表示されることがありますのでご注意ください 証明書のプロパティ情報 証明書のプロパティ 詳細タブ サブジェクトの項目 ディスティングィッシュネームとして指定した情報 ディスティングイッシュネームの内 最も重要な情報はコモンネーム (CN = Common Name) です SSL サーバ証明書はホスト名を含む特定のドメイン名で使用するように設定されています CSR に含まれるコモンネームは 実際に運用するウェブサイトの FQDN(= Fully Qualified Domain Name) と一致している必要があります 間違えて設定するとウェブサイトの FQDN と一致していないという理由によって SSL 接続時にエラーが発生します この問題を解消するには CSR を生成し直し 別の新しい証明書を申請 取得しなければならないため CSR を生成する時は注意してください コモンネーム例 運営するウェブサイト コモンネーム storefront.geotrust.co.jp SSL サーバ証明書は ウェブサイトのページ単位ではなくウェブサーバに対して発行されます 例えば というウェブサーバで SSL サーバ証明書を取得している場合は../index.html や../register.html のようなページや../support/index.html 4

5 のようなディレクトリにおいて SSL 接続が行われるように設定可能です ただし storefront.geotrust.co.jp のように別のウェブサーバで SSL 接続を行うためには 発行対象が異なるため storefront.geotrust.co.jp の SSL サーバ証明書を取得する必要があります で取得した SSL サーバ証明書を storefront.geotrust.co.jp で利用するとウェブブラウザでアクセスした時に警告画面が表示されます 2. 中間認証局証明書をインストールする 2-1. 中間認証局証明書のインストールウェブブラウザ (HTTP 通信におけるクライアント ) は SSL サーバ証明書が設定されたサーバから送付された証明書の署名 中間認証局証明書 1 の署名 およびルート認証局証明書 2 を照合してその信頼性を検証します SSL サーバ証明書はルート認証局証明書をアンカートラストとする階層構造になっているため SSL サーバ証明書と最上位のルート認証局証明書までのパス ( またはチェーンと表される場合もあります ) を確立するためには 中間認証局証明書の設定が必要です SSL サーバ証明書をサーバにインストールする際は 中間認証局証明書のインストールも忘れないようにしてください 証明書のパス ルート認証局証明書 中間認証局証明書 発行された証明書 (End-Entity) のウェブサイトで利用されている SSL サーバ証明書 ( ジオトラストクイック SSL プレミアム ) の証明書階層構造 GeoTrust Global CA のルート証明書をアンカートラストとして 三階層目にある までのチェーンを確立している 上位に位置する認証局証明書は下位に位置する証明書を認証しており 下位に位置する証明書は上位に位置する認証局証明書を検証することでチェーンが確立される また 認証局事業者はセキュリティ対策の一環として新しい中間認証局証明書を発行 または入れ替える場合があります 証明書を更新する際は必ず発行された SSL サーバ証明書と中間認証局証明書の組み合わせが正しく設定されていることを確認してください 中間認証局証明書が正しく設定されていないと SSL 接続時にエラーが発生し クライアントのウェブブラウザに警告画面が表示されてしまいますので注意してください 階層以上の SSL サーバ証明書証明書が 4 階層で構成されている場合は 発行された SSL サーバ証明書に加えて 2 種類の中間認証局証明書をインストールする必要があります 5

6 サーバアプリケーションによっては 中間認証局証明書をインストールする順番が決まっていて 正しい手順で設定を行わないと 最上位のルート認証局証明書まで検証できない場合がありますので注意してください 3 ジオトラストクイック SSL プレミアムにおいては 旧い携帯電話端末による SSL 接続への対応率を高めるためにクロスルート方式を採用しています ジオトラストクイック SSL プレミアムのクロスルート方式では 2 種類の中間認証局証明書をインストールする必要があります 2-3. 正しくパスをたどれるか? SSL サーバ証明書をインストールした後は 必ず中間認証局証明書が正しく設定されているかどうかを確認してください 中間認証局が正しく設定されているかどうかを確認するためには Internet Explorer 以外のウェブブラウザで SSL サーバ証明書を設定したウェブサイトにアクセスをしてください Internet Explorer の幾つかのバージョンでは 中間認証局証明書を自動的にダウンロードし 証明書チェーンを補完する機能を備えているため 中間認証局証明書がウェブサーバにインストールされていない場合でも証明書の検証が完了する場合があります 最も望ましいことはサーバ側から設定を確認することですが サーバ側からの確認が難しいような場合は 複数の主要なウェブブラウザを利用しながらアクセスして確認すると ウェブサイトを利用するお客様と近い利用環境によって確認を行えるようになります 3. SSL を有効にする 3-1. サーバの設定 SSL サーバ証明書と中間認証局証明書をインストールした後はサーバの設定を確認してください サーバアプリケーションの種類によっては SSL を有効にする設定やサーバの再起動が求められることがあります サーバ設定方法の詳細は サーバアプリケーションの開発元が提供するマニュアルやユーザガイド またはサービスを提供する事業者が開設するサポートコンテンツを確認してください 3-2. HTTPS 専用ポートの指定一般的に HTTPS 接続 (SSL による暗号化通信がされる状態 ) の場合は HTTP と HTTPS の通信を判別するためにそれぞれに異なるポートを割当てます SSL 専用のポート番号 ( 標準 :443) を指定し ポート番号が正しく設定されていることを確認してください 4. 安全な SSL 通信を確保する SSL を設定すれば安全 SSL を設定したから通信の機密性は確保されている と思われていますが 実際には SSL サーバ証明書の秘密鍵が取得できれば SSL によって暗 6

7 号化された情報を復号化して情報を盗み取ることは可能です また SSL 接続時に使われている暗号技術は強度が保たれているものから脆弱なものまで様々存在します 以下では HTTPS 通信のセキュリティを最適化する方法について解説しています 4-1. 秘密鍵さえ取得できれば SSL を乗っ取ることができる!? SSL サーバ証明書を利用した通信では SSL 接続開始時に 公開鍵暗号 方式という暗号化技術が用いられています この方式では 公開鍵と秘密鍵が一対のペアとして作動し それぞれの鍵を用いて暗号化通信に用いる共通鍵データの暗号化 復号化を行っています 4 SSL サーバ証明書の場合 CSR を作成する際に公開鍵と秘密鍵のペア ( キーペア ) を生成します 秘密鍵はサーバ側に保存され 公開鍵は証明書に組み込まれて広く公開 ( 配布 ) されます 公開鍵を用いて暗号化されたデータは その対となる秘密鍵でのみ復号化することができます つまり 秘密鍵が漏洩すると安全な鍵情報の交換が行えなくなり 理論的には SSL による暗号化通信に欠陥が発生するため安全性が維持できなくなってしまいます 5 秘密鍵の保存場所 公開鍵暗号 方式を用いている場合 秘密鍵( プライベート鍵 ) は他の誰にも開示してはならず 安全に管理する必要があります しかし 厳重に保管しても運用の妨げになるようでは本末転倒になってしまいます 運用とセキュリティ対策を鑑みながら保管方法を選択してください バックアップしたキーペアは セキュリティ上非常に重要なデータであることに留意し 物理的なアクセス制限がなされた金庫に保管するなど 厳重に管理することを推奨します また ネットワークを経由して鍵の受渡しをしなければならないような場合には必ず鍵情報そのものを暗号化してください 秘密鍵の保管方法とメリット デメリット一覧 秘密鍵の保管方法安全性メリットデメリット 1 専用のハードウェア 高 ウェブサーバが侵入を受 専用のハードウェアを用い を用いて秘密鍵を暗 けた場合でも 秘密鍵に るため ハードウェア分の追 号化して保管する アクセスされることなく 加コストが必要になる 保護できる 2 ウェブサーバ上の 中 鍵がパスフレーズによ ウェブサーバを再起動し ファイルに鍵を暗号 って保護される た場合に都度パスフレー 化して保存する 追加コストは不要 ズの入力が要求される 暗号化されていない鍵を 容易に発見されてしまう 3 ウェブサーバ上の 低 運用が楽である 万が一 サーバに侵入された ファイルに鍵を保存 追加コストは不要 場合 通信内容を解読されて する しまう 7

8 4-2. 暗号化仕様 (Cipher Suite) の設定 SSL 通信中のクライアント / サーバ間で利用される 共通鍵暗号 の暗号化仕様の設定も行ってください クライアント ( ウェブブラウザ ) ではより多くのサーバとの接続を可能とするため SSL のプロトコルとしては弱いとされる暗号も含めて様々な暗号化仕様 (Cipher Suite) が実装されており それぞれの優先順位を決めています サーバ側でどの暗号化仕様を優先的に利用するかを設定しないと SSL 接続時に強度が十分でない暗号化仕様が選択されていることが起こり得ます より安全な通信環境を整備するためには 予めサーバ側で 弱い暗号は利用しない または 十分な強度が保たれた暗号化仕様の順に選択する など 適切な設定を行ってください 暗号はいつか解読される!? 暗号化アルゴリズムの安全性は コンピュータの性能向上や暗号解読技術の進歩によって徐々に低下していくため 常に安全な状態を保つために より強度の高い暗号化技術を取り入れていくことが求められています そしてそれは SSL サーバ証明書においても同じことが言えます SSL を導入しているから今もこれからも 安全 なのではなく 現在の技術による安全性はいつか 低下していく ことを認識しておくことが必要です SSL を導入する際には 毎年同じ鍵長で CSR を作成するのではなく 公開鍵長がより長いものを採用して CSR を作成することや中間認証局証明書やルート認証局証明書も含め対策を講じている認証局を選択することが望ましいと言えます より安全な暗号化技術を取り入れていくことが望まれている一方で SSL/TLS 通信に支えられている情報システムやネットワークインフラの可用性を維持し続けたまま移行していくことが重要であり ジオトラストも積極的に取り組んでいます 7 5. エラーは 2 種類に分けて対処する SSL サーバ証明書をインストールしたのに SSL 接続ができない あるいは接続した時にウェブブラウザに警告メッセージが表示されてしまう場合があります このようなエラーやトラブルの原因は大きく下記の 2 種類に切り分けて対応する必要があります エラーやトラブルの原因 1 サーバ側の設定に起因する事象 2 クライアント側の設定に起因する事象 SSL サーバ証明書の設定後にトラブルが発生した場合は それぞれの側面から何らかの設定不備がないかを確認してください 5-1. サーバ側の設定に起因する事象まず インストールの際に見落としていた点 もしくは手順を飛ばしてしまった点がなかったかを確認してください 巻末の付録を利用してもう一度正しくインストールされ 8

9 ているかチェックしてください また エラーには SSL 接続ができない場合と 警告画面が表示される場合の 2 パターンに分かれます 巻末の付録では 各種エラー内容とその原因 対処方法について紹介していますので トラブルシューティングを行う際に参考にしてください SSL サーバ証明書以外の要因 - HTTPS ページの構成要素このメッセージはウェブブラウザから HTTPS として表示しようとするページ内に HTTP(SSL でセキュリティ保護されていない ) と HTTPS(SSL でセキュリティ保護されている ) のディレクトリに置かれたファイルを参照している場合に表示されます メッセージウィンドウ内にある はい を選ぶと SSL での保護が効く状態になりますが 一部のコンテンツやファイルは読み込まれないため 画像が非表示となったり レイアウトが崩れたりするなど ウェブサイトの管理者が意図しない表示状態となります いいえ を選ぶとウェブページコンテンツが全て表示されますが SSL によるセキュリティ保護が不十分な状態になり SSL 通信が意味を成さなくなってしまいます この警告を回避するには サイト管理者が画像ファイル CSS JavaScript などのファイルや FLASH などを参照する <embed> タグ <object> タグに記述されている URL なども HTTPS の絶対パスから参照するファイルとして記述する必要があります または相対パスで記述すること つまりは SSL サーバ証明書が設定された同じウェブサーバにファイルを格納して読み込むということも一つの方法です エラーメッセージ はい (Y) を選択すると HTTPS のディレクトリにないファイルは読み込まれないため 画像の非表示やページのレイアウトが崩れて表示される状態になります 9

10 5-2. クライアント ( ブラウザ ) 側の設定 ルート認証局証明書 SSL 接続を確立するには SSL サーバ証明書の発行元であるルート認証局証明書が予めクライアントに 信頼されたルート認証局証明書 として登録されており 組み込まれている必要があります 信頼されたルート証明機関の表示 信頼されたルート証明機関 発行先 発行元ルート認証局証明書の有効期限 クライアントにルート認証局証明書が登録されていない場合は Windows Update の機能を利用するか または認証局事業者が公開しているディレクトリから必要なルート認証局証明書をインストールする必要があります クライアントの端末によって 搭載されているルート認証局証明書および証明書の登録方法は異なります SSL サーバ証明書を選定する際は ウェブサイトのアクセス解析データなどを利用しながら ウェブサイトにアクセスしているクライアントで SSL 接続が可能であることを確認してください 携帯電話端末など利用者自身が ルート認証局証明書を登録できない場合もありますので注意してください 巻末の付録では 代表的なウェブブラウザとして Internet Explorer と Firefox にて搭載されているルート認証局証明書の確認方法を紹介しています ブラウザのオプション設定 SSL 暗号化をより安全に利用するためには ウェブブラウザを正しく設定する必要があります また ウェブサイトのコンテンツとして利用者向けに設定方法について解説するコンテンツを掲載するという方法は安全にウェブサイトを利用するための有効な施策 10

11 となります インストール後に社内から SSL 接続テストを行う際の参考にしてください インターネットオプションの詳細設定画面 (Internet Explorer 8 の表示例 ) 以下に挙げる 5 つの項目は SSL 接続を確立し 安全に利用するためにチェックをオン状態にしておくことが推奨される項目です 1 SSL 3.0 を使用する 2 TLS 1.0 を使用する 3 サーバーの証明書失効を確認する * 4 証明書のアドレスの不一致について警告する * 5 発行元証明書の取り消しを確認する SSL サーバ証明書と直接的な関係性は低いものの 安全にインターネットを利用するに 11

12 あたっては更に以下に挙げる項目についてもチェックをオン状態にしておくことが望ましいと言えます 6 SmartScreen フィルター機能を有効にする 8 7 ダウンロードしたプログラムの署名を確認する また チェックを付けることによって十分な安全性が保たれなくなる可能性がある項目も存在します 以下に挙げる項目については できる限りチェックをオフ状態にしておくことが望ましいです 9 8 SSL 2.0 を使用する 9 署名が無効な場合でもソフトウェアの実行またはインストールを許可する 10 まとめ SSL サーバ証明書の導入は決して難しいものではありません 導入手順書やチェックリストを事前に準備しておくことで 時間をかけずに簡単に完了することができます 今回ご紹介した証明書インストール時の留意点やチェックリストを活用して より効率的な作業を実現してください 余分な時間をかけることなく SSL サーバ証明書を導入することができるだけでなく ウェブサーバに表示されるエラーを事前に解消しておくことで御社のウェブサイトを訪れるユーザに安心感を与えることができるようになるでしょう ジオトラストクイック SSL プレミアム日本ジオトラストが提供する SSL サーバ証明書製品 ジオトラストクイック SSL プレミアム は 年間 36,540~と安価ながら携帯電話端末を含めた多くのウェブブラウザに対してルート証明が組み込まれており 対応環境が幅広いことが特長になっています 証明書の申請 ( 取得手続き ) から発行までに要する時間が短く 書類手続きも不要なためクライアント / サーバ間通信以外にもサーバ / サーバ間通信のように実在性認証を必要としないが SSL 暗号化通信が必要とされるようなサービスにおいても多く採用されている実績があります ジオトラストクイック SSL プレミアムのライセンス体系はライセンスオプションフリーであり SSL サーバ証明書を利用する FQDN が同一であれば取得する証明書は 1ID だけで複数のサーバにインストールできるため ライセンス体系 費用面での優位性を備えています そのため 負荷分散処理を行うような大規模なウェブサイトの場合 投資収益率の改善に大きな期待ができます 日本ジオトラスト株式会社 12

13 付録 1 SSL サーバ証明書申請時のチェックリスト SSL サーバ証明書の申請とサーバへのインストールはじめに SSL サーバ証明書を取得する手順について確認します 次の表では ジオトラストクイック SSL プレミアムを例として証明書の申請からインストールまでの手順を紹介しています 申請プロセス プロセス内容作業区分 1 申請 申請の準備 SSL サーバ証明書を取得するために必要な情報を準備します サーバ管理担当者 申請団体名 申請責任者名 ディスティングィッシュネーム CSR の生成サーバから CSR(Certificate Signing Request: 証明書署名リクエスト ) を生成しますオンライン申請ジオトラストのオンライン申請ページ ( ジオトラストストアフロント ) で SSL サーバ証明書の申請をします 入金 SSL サーバ証明書の料金を入金します 2 認証ジオトラストが定める証明書の発行審査 11( 認証 ) を行いますジオトラスト 3 発行入金と発行審査が完了した後に 申請担当者宛に SSL サーバ証明書を発行 ジオトラスト します 4 SSL サーバ証 インストール 作業には主に下記の内容が含まれます サーバ管理担当者 明書の設定 発行された SSL サーバ証明書のインストール 中間認証局証明書のインストール キーペアのバックアップ SSL を有効にする設定 検証クライアント ( ウェブブラウザ 携帯ブラウザ ) で SSL 接続 ( ~ ) が確立しているか 鍵アイコンが表示されているか SSL サーバ証明書の プロファイルが正しいか検証します シールの設定 ウェブサイトに SSL サーバ証明書が導入されていることを視覚的に示すた めに ジオトラストスマートシール 12 を掲載します ( 任意 ) 13

14 作業内容のチェックリスト 1 作業内容チェック項目関連するトラブル 影響範囲 新規申請更新申請インストールサーバリプレイス CSR のコモンネームとして正しい FQDN を記載している CSR に正しい組織名を入力している特に K.K Ltd. を含め正式な英文表記であるか 入力ミスがないか確認する 秘密鍵をバックアップしている CSR 生成専用のディレクトリ配下 (Apache など ) もしくは仮サイト (Microsoft IIS) を作成してから 秘密鍵 公開鍵を生成しようとしている 発行された SSL サーバ証明書を正しくコピーしてインストールする SSL サーバ証明書の発行通知メールから コピー & ペーストする際に不要な改行やスペースが含まれていない サーバ側に SSL サーバ証明書に含まれる公開鍵と対になる秘密鍵が格納されている 秘密鍵 SSL サーバ証明書 中間認証局証明書を指定するファイルパスが誤っていない 必要な中間認証局証明書をインストールしている 秘密鍵のバックアップを行っている リプレイス先のサーバは エクスポートした証明書と秘密鍵のファイルをインポートできる仕様に対応している 秘密鍵のバックアップを行っている SSL 接続の際に ドメイン名の不一致 というエラーが発生するウェブサイトに発行された証明書とウェブサイトの運営元名称が異なるとエンドユーザの信頼性や 企業イメージを損なう原因となる SSL サーバ証明書をインストールする前にサーバトラブルで秘密鍵を破損したり キーペアの組み合わせを変更したりすると発行された SSL サーバ証明書をインストールできなくなる現在運用中の SSL サーバ証明書の秘密鍵を上書きしてしまうと サーバの SSL 接続が停止してしまう ウェブサーバに 証明書をインストールできない SSL の接続エラーが発生する秘密鍵をバックアップしておくことによって サーバ故障時や災害時 ハードウェアの変更時に新しいサーバ環境に移行できるようになりますバックアップがされていない場合は新しい SSL サーバ証明書の取得が必要になりますので バックアップを推奨します SSL サーバ証明書を新しい環境にインストールできない秘密鍵をバックアップしておくことによって サーバリプレイスの時に新しいサーバ環境に移行できるようになります 14

15 SSL サーバ証明書のインストール方法 SSL サーバ証明書のインストール方法はサーバアプリケーションによって異なります 日本ジオトラストでは 参考情報として主なウェブサーバアプリケーションのインストール手順を以下 URL にて紹介しています サーバ設定方法の詳細は サーバアプリケーションの開発元が提供するマニュアルやユーザガイド またはサービスを提供する事業者が開設するサポートコンテンツを確認してください ジオトラストクイック SSL プレミアムインストール方法 Web サーバへのインストール手順 付録 2 SSL サーバ証明書テスト 検証時のチェックリスト SSL サーバ証明書の動作検証インストールが完了したら必ずテスト 検証を実施して エラーや警告メッセージがクライアント ( ウェブブラウザや携帯ブラウザ またその他の電子機器類など ) で表示 発声しないかどうかを確認してください 警告メッセージが表示されたり 鍵アイコンが表示されなかったり SSL 接続が正しく確立できないといった事象は 利用者に対して不信感を与え 機会損失やウェブサイトのイメージが損なわれる原因となります またサーバ / サーバ間通信に SSL サーバ証明書を利用している場合には 通信が正しく行われないために金銭的な被害が発生してしまう可能性もあるため 必ずテストを行い正しく SSL 接続 通信がされていることを確認してください 次の表は テスト 検証項目の参考一覧です ウェブサイトの性質やアクセス解析などの情報も参考にしながら 必要に応じて項目を追加 変更して利用してください エラーが発生する場合は 次のセクションを参考にして問題を解決してください 作業内容のチェックリスト 2 作業内容チェック項目関連するトラブル 影響範囲 SSL サーバ証明書インストール後のテスト 検証 SSL サーバ証明書をインストールし SSL 接続ができない たウェブサイトに でアクセ クライアントからアクセスしている URL が ( スできるウェブブラウザや携帯ブラウザの画面に鍵アイコンが表示されている証明書のプロファイルが意図したとおりに表示されているウェブサービス利用の推奨環境とする一個または複数のウェブブラウザで正しく SSL 接続できている で始まっていれば SSL 通信が確立していることを確認できます また 一般的に SSL 通信中はウェブブラウザや携帯ブラウザに施錠した南京錠のアイコンが表示されますウェブサイトに設定されている鍵アイコンをクリックして SSL サーバ証明書の有効期間を確認してくださいブラウザにエラーや警告メッセージが表示される 13 15

16 付録 3 SSL 接続エラーの種別と解決方法 次の表では SSL サーバ証明書に関連するトラブルの原因と解決策について事象別にまとめています エラー発生時の原因と解決方法 エラー内容原因解決策 証明書をインストールできない (Microsoft IIS) 証明書をインストールできない (Apache) ウェブサイトに鍵アイコンが表示されない壊れた鍵アイコンや開錠された鍵アイコンが表示される https で接続できないエラーが発生する [ 警告メッセージ ] セキュリティ証明書の名前がサ SSL サーバ証明書が不完全なデータとしての設定されている SSL サーバ証明書をインストールする予定の仮想サーバを削除してしまった CSR を生成した仮想サーバと異なるサーバに SSL サーバ証明書をインストールしようとしている指定した SSL サーバ証明書と秘密鍵ファイルの組み合わせが正しくない SSL サーバ証明書が正しくインストールされていないフレームによる分割表示のページ構成になっていて 一部に HTTP のページが読み込まれている HTTPS のページ内に HTTP のディレクトリに置かれたファイルやコンテンツが参照されている SSL のポート番号 ( 標準 :443) が正しく設定されていない対象となるウェブサイトが停止しているクライアントが提示する暗号化仕様とサーバ側の暗号化仕様が一致していないサーバに中間認証局証明書が正しくインストールされていないクライアントにルート認証局証明書が搭載されていない CSR 内のディスティングィッシュネームとして指定されているコモンネームがウェブブラウザに表示されている URL と異なる 送付された SSL サーバ証明書の (----- BEGIN CERTIFICATE ----) から (----- END CERTIFICATE -----) までをテキストで保存する CSR の生成後 保留状態になっている仮想サーバを削除してしまった場合は 再度 CSR を生成し直してください CSR を生成した仮想サーバであることを確認してインストールしてください正しい設定ファイルを指定する SSL Certificate Key File 申請した CSR( 発行された証明書 ) と対になる秘密鍵ファイルのパスとファイル名を指定する SSL Certificate File 証明書ファイルのパスとファイル名を指定する現在有効になっている証明書のプロファイルを確認し SSL サーバ証明書が正しくインストール 設定されているか検証するフレームとして表示するすべてのページを HTTPS のディレクトリから読み込むようにするページ構成を変更するファイルやコンテンツを HTTPS のディレクトリに置くか または相対パスで読み込まれるようにする SSL のポートやネットワーク設定を確認するウェブサイト ウェブサービスの稼働状況を確認するサーバアプリケーションが利用する暗号仕様の設定を見直す SSL サーバ証明書に署名する中間認証局証明書をサーバにインストールするクライアントにルート認証局証明書を追加登録する正しいコモンネームで SSL サーバ証明書を取得し直す 16

17 イト名と一致しません [ 警告メッセージ ] 有効期限が切れています [ 警告メッセージ ] この Web サイトのセキュリティ証明書には問題があります [ 警告メッセージ ] このページにはセキュリティで保護されている項目と保護されていない項目が含まれています [ 警告メッセージ ] セキュリティで保護された Web ページコンテンツのみを表示しますか? [ 警告メッセージ ] この接続先は安全でない可能性があります SSL サーバ証明書の有効期限が切れているクライアントの日付 時刻が正しく設定されていないクライアントにルート認証局証明書が登録されていないため SSL サーバ証明書の検証ができない中間認証局証明書がインストールされていない HTTPS(SSL) のコンテンツと HTTP のコンテンツが同じページに混合しているサーバにインストールされている SSL サーバ証明書の有効期間が終了している中間認証局証明書がサーバにインストールされていない SSL サーバ証明書のコモンネームとクライアントが指定する URL が一致していない 有効期間に十分な余裕のある SSL サーバ証明書をインストールするクライアントの時間設定を確認するクライアントにルート認証局証明書を追加登録する信頼されている認証局から発行される SSL サーバ証明書を取得して サーバにインストールする SSL サーバ証明書に署名する中間認証局証明書をサーバにインストールするファイルやコンテンツを HTTPS のディレクトリに置くか または相対パスで読み込まれるようにするクライアントの時間設定を確認するインストールした SSL サーバ証明書の有効期間を確認し 有効期間が終了している場合は 有効期間に余裕のある SSL サーバ証明書をインストールする SSL サーバ証明書に署名する中間認証局証明書をサーバにインストールする CSR 生成時に入力したコモンネームを確認する 14 SSL サーバ証明書のインストールに関するエラーの多くは 作業や設定方法を見直すことで簡単に解決することができます 作業前後に各作業項目の漏れがないことを確認して テスト 検証時のエラー発生数を削減する際の参考にしてください 17

18 付録 4 ルート認証局証明書の確認方法 ルート認証局証明書の確認 SSL サーバ証明書の階層構造において アンカートラストに位置するルート認証局証明書は ブラウザベンダの基準によって選定され 予め組み込まれた状態で出荷 配布されます Internet Explorer の場合 - Internet Explorer 8 の表示例 1. [ メニューバー ] [ ツール ] [ インターネットオプション ] を開く インターネットオプションウィンドウが表示されます 2. [ コンテンツ ] タブ [ 証明書 ] ボタンをクリックします 証明書ウィンドウが表示されます 18

19 3. [ 信頼されたルート証明機関 ] タブを選択すると Internet Explorer に登録されているルート認証局証明書が確認できます Firefox の場合 - Firefox の表示例 1. [ メニューバー ] [ ツール ] [ オプション ] を開く オプションウィンドウが表示されます 19

20 2. [ 詳細 ] タブ [ 暗号化 ] タブ [ 証明書を表示 ] ボタンをクリックします 証明書マネージャが表示されます 3. [ 認証局証明書 ] タブを選択すると Firefox に登録されているルート認証局証明書が確認できます 4. 内容を確認したいルート認証局証明書を選択して [ 表示 ] ボタンをクリックすると 証明書ビューアが起動して ルート認証局証明書の詳細な情報を確認できます 20

21 CSR 生成時に指定するディスティングィッシュネーム 項目 指定する情報 ジオトラストクイック 名称英語名称内容入力例 SSL プレミアムの表示 コモン Common Name SSL サーバ証明書を設 入力した情報がそのま ネーム 定するウェブサイトの のウェブサイトの場合 ま表示されます URL(FQDN = Fully Qualified Domain Name) を指定します SSL 接続の際に指定す のウェブサイトの場合 る URL と一致している secure.geotrust.co.jp 必要があります 組織名 Organization ウェブサイトを運営す る組織 団体の名称を指定します個人として SSL サーバ証明書を取得する場合は 個人名を指定します 組織 団体の場合 GeoTrust Japan, Inc. 個人の場合 Taro Ninsho 指定した情報は表示さ れません ( コモンネー ムが表示されます ) 部門名 Organizational ウェブサイトを運営す Direct Marketing Division 指定した情報は表示さ Unit る組織 団体に属する部 SSL れません 門名を指定します WEB など (GeoTrust, Inc. が指 任意の識別文字列も指 定する文字列が表示さ 市区町村 Locality 名都道府県 State or 名 Province 定可能です 所在地情報 ( 市区町村 Kawasaki-Shi 名 ) を指定します Chuo-ku など 所在地情報 ( 都道府県 ) Kanagawa を指定します Tokyo など 国別番号 Country 日本を示す国コードと して JP を指定します 全ての情報を半角英数文字で入力してください CSR の生成手順は サーバに付属するマニュアルか開発元に確認してください JP れます ) 指定した情報は表示されません指定した情報は表示されません入力した情報がそのまま表示されます 21

22 文末脚注 1 中間認証局証明書は 認証局によって中間 CA 証明書と表現されることもあります 当資料においては中間認証局証明書として表記を統一しています 2 ジオトラストやベリサインのような認証局事業者のルート認証局証明書 ( ルート CA 証明書 ) は ウェブブラウザや携帯電話端末に予め組み込まれています 3 代表的なサーバアプリケーションの設定手順として Apache + OpenSSL 環境での 4 階層の証明書インストール手順を日本ベリサイン株式会社のウェブサイトにて掲載しています Apache + OpenSSL 中間認証局証明書のインストール手順 4 SSL 接続の仕組み (SSL ハンドシェイク ) は 日本ジオトラストのウェブサイトからダウンロード可能な PDF にて紹介しています ジオトラスト SSL ハンドブック (PDF:100KB) 5 実際 悪意を持ったクラッカーや攻撃者はウェブサーバやデータベースに侵入してデータを盗むことを試みることが多く SSL の通信内容を解読するためだけに秘密鍵を盗み取ろうとするケースは少ないとされています 6 参考 :NIST( アメリカ国立標準技術研究所 ) が現在推奨する TLS1.0 における暗号セット (Cipher Suite) の設定リスト Guidelines for the Selection and Use of Transport Layer Security (TLS) Implementations(PDF: 279KB) Ref Page 27 Table 3:Recommended Server Cipher Suites 7 本ケースについては グループ会社である日本ベリサイン株式会社にて解説資料を公開しています 暗号アルゴリズムにおける 2010 年問題 対応ガイド (PDF:2,193KB) 8 SmartScreen フィルター機能は 詐欺サイトや悪意のあるサイトによるデータ プライバシー ID の悪用からユーザを保護し より安全にインターネットを利用できるように設計されている機能です 詳細については機能開発 提供元であるマイクロソフト社のウェブサイトにてご確認ください 9 当資料においては インターネットをより安全にご利用いただく方法としてチェックのオン オフを掲載しています チェックをオフ状態にしておくことが望ましいとした 2 つの項目については クライアントの利用環境によってはオン状態にすることによって最適に利用できる場合がありますので チェックをオン状態にする際はウェブサイトやウェブサービスの利用時に要求されている SSL のバージョンや組織内で定めるソフトウェアの利用ルールなどに則って 正しく設定を行ってください また 当資料においては ジオトラストクイック SSL プレミアム また日本ベリサインが提供する製品に関連する機能の項目についてオン オフ状態の推奨をしています その他のセキュリティに関連する項目については触れていません 10 インターネットからダウンロードしたソフトウェアを実行またはインストールする場合は ソフトウェアの提供 配布元の情報をファイルに署名された電子署名によって確認するようにしてください 11 ジオトラストクイック SSL プレミアムでは ドメイン名のデータベースである WHOIS に登録されているドメイン名の登録担当者の連絡先情報を用いた認証を行います ドメイン認証については下記 URL にて解説しています 12 ジオトラストスマートシールは ジオトラストの SSL サーバ証明書が発行されたコモンネームのウェブサイトに対して掲載できる無料のシールです HTML 内のシールを表示させたい箇所にスクリプトを追加いただくことで表示されるようになります シールのスクリプトについては下記 URL から取得可能です 13 ジオトラストクイック SSL プレミアムの PC ブラウザ 携帯端末対応一覧については下記 URL を確認してください 14 一部の携帯端末では コモンネームの大文字 小文字の一致までを確認している場合があります Copyright 2011 GeoTrust Japan Inc. All rights reserved. GeoTrust, GeoTrust ロゴ, GeoTrust design およびその他名称 サービスマークおよびロゴは米国 GeoTrust Inc. 又は関連会社の米国又はその他の国における登録商標又は商標です その他記載されている会社名 製品名は 各社の登録商標又は商標です