refirio.org

Apache+SSL（有料証明書でSSLを導入する場合）

※証明書を更新することを想定して、鍵や証明書などの名前には年月日を含めておくといい。 （一年以内に急遽更新する可能性もあるので、年だけでなく年月日にしておくといい。） ※証明書の価格に差はあるが、これは信頼性による差。暗号化の強度に差は無い。 ただし安い証明書は、「証明書に聞き慣れない会社の名前が表示される」「サイトシールがない」などがあるので注意する。 ※SSLを購入する際、ワイルドカードとして購入しなければ複数のサブドメインには対応できない。 ただしワイルドカードはフィーチャーフォンに対応できない可能性が上がるので注意する。 ワイルドカードは高額なので注意。 https://www.ssl.ph/globalsign/option/wildcard.html ※証明書の期限は大抵「1年」「2年」など選択できるが、2020年9月1日以降は1年の期限にするべきか。 今後はSafariでエラーになる可能性がある。 更新の際に状況を再度確認する。 https://webtan.impress.co.jp/e/2020/04/10/35728 https://ssl.sakura.ad.jp/column/safari-shortening/ https://www.orangeitems.com/entry/2020/04/11/115401 ※証明書については「Certificate.txt」も参照。 ■インストール（mod_sslをインストールしていない場合） Webサーバー間通信内容暗号化(Apache+mod_SSL) http://centossrv.com/apache-ssl.shtml CentOS（さくらのVPS）に、mod_sslをインストール http://havelog.ayumusato.com/develop/server/e168-centos-mod_ssl-install.html ■SSL証明書発行（GMOグローバルサインの例） ※以降は有料の証明書を導入する場合。 秘密鍵 … refirio.net.20160130.key … 流出してはいけない鍵ファイル。 CSR … refirio.net.20160130.csr … 証明書を発行するための署名要求（Certificate Signing Request）。秘密鍵があれば、CSRは何度でも生成できる。公開鍵、発行者情報やコモンネーム（FQDN）、電子署名（もとのCSRをハッシュ化し、さらに秘密鍵で暗号化したもの）が含まれる。 証明書 … refirio.net.20160130.crt … 認証局から発行されるSSL証明書。CSRをもとに発行される。 中間証明書 … refirio.net.20160130.ca … 認証局から発行されるSSL証明書。証明書に階層構造を持たせることにより、認証局が攻撃されたときの影響を抑えている。 [CSR生成] Apache 2.x + mod_ssl + OpenSSL（新規・更新） https://jp.globalsign.com/support/csr/04.html?service=ssl [インストール] Apache 2.x + mod_ssl + OpenSSL（新規・更新） https://jp.globalsign.com/support/server/03.html?service=ssl 認証レベルの違い https://jp.globalsign.com/service/ssl/knowledge/types-of-ssl.html ■秘密鍵の生成 ※秘密鍵があれば、CSRは何度でも生成できる。秘密鍵を無くさないように注意。 ※秘密鍵は同じものを使えるが、毎回違うものを使うほうがセキュリティ上好ましい。 証明書発行時、同じCSRで複数回の申込みを受け付けないところもあるので、毎回秘密鍵から作る方がいい。 CSRについて教えてください。 https://jp.globalsign.com/support/faq/65.html ※大抵の解説で「パスワードありの秘密鍵を作成し、その後秘密鍵からパスワードを削除する」としている解説が多いのでそうしている。 ただし以下のように、はじめからパスワードなしの秘密鍵を作成している解説もある。 パスワードを削除するなら、はじめからパスワードなしで作っても良さそう。 検証したい CSR情報の生成方法 | エンジョイSSLダイレクト https://www.e-ssldirect.com/order/createcsr.shtml CSRの生成手順 Apache + ModSSL + OpenSSL - Q&A - SSLOFF https://www.ssloff.com/members/knowledgebase.php?action=displayarticle&id=1 ■CSRの生成 秘密鍵とCSRの生成については、以下のマニュアルが参考になる。 導入マニュアル/CSRの作成手順 Apache 2.0 + mod_ssl + OpenSSL https://www.ssl.ph/help/manual/csr/apache.html ※クイック認証の場合、管理者メールアドレスは不要みたい。 ※ドメイン refirio.net を保持しているとして、サブドメイン secure.refirio.net で利用するとして、 サーバが複数台構成のために web1.refirio.net のような名前の場合、 「Common Name」には「secure.refirio.net」を入力する。つまり、あくまでも「ブラウザでサーバにアクセスする際に入力するURL」となる。 （SSLは「このURLにアクセスしたいけど、このサイトは本物か？」を証明するためのものなので。） ワイルドカード証明書を申し込む場合、「*.refirio.net」のように入力する。 コモンネームについて教えてください。 https://jp.globalsign.com/support/faq/67.html ■秘密鍵からパスワードを削除 ■証明書申し込み（GMOグローバルサインの例） https://system.globalsign.com/au/signon/gacp/login.do からログインし、「証明書発行」を選択して申し込む。 1. サービス選択 ※以下は入力例。 サービス クイック認証SSL キャンペーン/クーポンコード 使用しない コモンネームオプション 無し（サブドメインへの対応が不要でよければ。） 署名ハッシュアルゴリズム SHA256 契約期間 1年 乗り換え いいえ 更新 いいえ 期間カスタマイズオプション なし 2. 技術担当者情報入力 自動入力で入力し、必要があれば編集する。 「メール送信先に指定」にチェックしておくと、 技術担当者情報で設定したメールアドレスにも申し込み完了メールなどが届く。 3. CSR DN情報入力 「CSRを利用する」のままで、サーバサイドで生成したCSRを貼り付ける。 次へ進むとCSR内容確認が表示される。以下は例。 CSR解析結果 / スキップ入力内容 審査される証明書の内容 CN refirio.net refirio.net O refirio.net OU Domain Control Validated L Shibuya S Tokyo C 日本 - JP 日本 - JP E refirio@example.com 鍵長 2048 2048 公開鍵情報 RSA RSA メールでの認証やMETAタグでの認証など、任意の認証方法を選択する。 （ページ認証の場合、申し込み完了時に正式な埋め込みコードが表示される。） 4. 支払い方法入力 クレジットカードか銀行振込を選択する。 5. 確認 内容を確認し、同意して完了する。 6. 完了 オーダーIDと、以降の流れが表示される。 同時に「サーバ証明書お申し込み受付」メールが送信されるので確認する。 ページ認証の場合、以下のように埋め込みコードの案内が表示される。 なおGlobalSignで 「証明書一覧 → 編集 → メール送信一覧」 から、送信されたメールを確認できる。（承認リンクや証明書なども確認できる。） ■証明書申し込み（ドメインキーパーでCSRありの例） ドメインキーパー https://www.domain-keeper.net/usr/ssl/ にログイン。 →「新規申込」をクリック。 →内容を確認して「各サービス規約および注意事項に同意する」にチェックを入れて「承諾する」をクリック。 →コモンネームに「www.refirio.net」と入力して、「クイック認証」をクリック。 ・ドメイン名ではなくコモンネームなので注意。 ・ワイルドカード証明書の場合は *.refirio.net のようになるので注意。また、ワイルドカードのページ認証は www.refirio.net ではなく refirio.net で行うので注意。 →取得年数で「1年」を選択して「次へ進む」をクリック。 →「オプションサービスを申し込む」の内容を確認する。今回は「CSR発行サービス 」を選択して「次へ進む」をクリック。 →CSR情報を入力して「次へ進む」をクリック。以下は入力内容。 Organization（組織名）: refirio.net Organization Unit（部署名）: Locality（市区町村）: Shibuya State（都道府県）: Tokyo Country（国コード）: JP →認証方法で「DNS認証希望」を選択して「次へ進む」をクリック。 →申請情報を入力して「次へ進む」をクリック。以下は入力内容。 組織名: 株式会社テスト 部署名: 担当者氏名: 山田 太郎 担当者氏名（英字）: Yamada Taro 電話番号: 090-1234-5678 →確認画面が表示されるので、「この内容で申し込む」をクリック。 →完了画面が表示され、秘密鍵の内容が表示されるので保存しておく。 →「お申し込みありがとうございます」のメールが届くので、いったん待つ。 ■証明書インストール ※AWSでロードバランサに証明書を設定する場合の手順は AWS.txt を参照。 使ったことはないが、SSL関連の設定を書く際に以下は参考にできるかもしれない。 Generate Mozilla Security Recommended Web Server Configuration Files https://mozilla.github.io/server-side-tls/ssl-config-generator/ ■確認 念のため、再度opensslコマンドやhttpsアクセスでテストし、HTTP接続やSSL接続に問題がないか確認する。 サーバに https:// でアクセスして、SSL接続に問題がないか確認する。 （必要に応じて、ファイヤーウォールも設定する。） サイトにSSLのサイトシールを掲載する（サイトが信頼できることを示すもの） https://jp.globalsign.com/service/ssl/siteseal/ ■バーチャルホスト バーチャルホストでSSLを使用する場合は Etcetera.txt も参照。