■■■インチキＣＡ（認証局）って・・■■■
■ このスレッドは過去ログ倉庫に格納されています
0001トホホ系インプリメンター
NGNGインチキＣＡ（厳密にはＲＡ＋プライベートＣＡ）を
運用してきましたが、最近になってインチキＣＡを
ネコも杓子もＯｐｅｎＳＳＬで運用するスタイルが
流行っているので驚いています。みなさんの関心の具合は？
うちは、ＮＴ４＋ＯＰに付いてきたＣＡのローカルＤＢを
Crypt API経由でＳＱＬ６．５で極力厳密に運用しています。
0002独占
NGNG0003ぼく、ようたろう！！！
NGNGS/MIME 認証なんかもできるんですか？？？？？>>1
だとしたら、評価用のベリサインで３０日毎に申請
しなくて良いじゃん。マジレスきぼん
0004名無しさん
NGNG社内用とじゃなくても、
某めっちゃ大手電器メーカー系通販サイトが、最初インチキCAで
運用してたことがあったけど、アクセスすると、
「この証明書は信頼されてません」みたいなメッセージ出してた
さすがに、数ヶ月したらVeriSign/RSA Secure Server CAになったけど
0005名無しさん
NGNG海外はThawteとか、ほかのメーカーもおおいけど
0006[email protected]
NGNGThawteは２年前にうちが買収しとるんじゃｺﾞﾙｧ
0007ぼく、ようたろう！！！
NGNGインチキＣＡのルートキーは公開できるのですか？？？
OpenSSL と LDAP 連携のメーリングリストを新規に
幾つか加入したんですけど、、さぱりわかりません。
やりたいこと：
www.hogehoge.co.jp を SSL で公開したい。
[email protected] 〜 [email protected] の
デジタル ID を hogehoge.co.jp がルートになるように
鍵を作りたい。暗号の長さはとりあえず40ビットでいいです。
0008ぼく、ようたろう！！！
NGNGＸ．５００とかＸ．５０９、てＳＳＬに関係するんですか？？？
アクティブディレクトリでもできませんか？？？
質問ばかりですみませーーーん
0009anonymous
NGNGそんな名前で書いてたら誰も教えてくれないよ(ﾜﾗ
0010名無しさん
NGNGOption Pack + IIS 4.0 が入ってる環境だったら
http://localhost/certsrv/ を叩いてみろ
で、何も無かったら IIS マネージャから certsrv インストール
ディレクトリをマッピングさせろ
LDAP 概念が無いと、ルートの説明がつかなくなるだろ
勉強しろとは言わないが知っとけ
0012ぼく、ようたろう！！！
NGNGやってみました。そうしたら、証明書をインストールできたんですが
OU, L, S がデフォルトのままです。
OU・・・Your Unit
L・・・Your City
S・・・Your Prefecture
これを直す方法をきぼーーん
0013 トホホ系インプリメンター
NGNGその名前嫌いだから改名してね。（笑）
アプリの追加と削除から [OP追加と削除]→[Certificate Server] 削除
リブート
Certificate Server 構成データ共有ディレクトリを作成しておく ex.) C:\Sgared-Cert
アプリの追加と削除から [OP追加と削除]→[Certificate Server] インストール
Certificate Server 構成データ共有ディレクトリのマウント：C:\Sgared-Cert
暗号化サービスプロバイダ CSP から、以前の構成情報をすべて消去、証明機関の階層：ルートCA、ハッシュSSL3 SHAMD5
そうすると、次にお目当ての識別情報の入力画面が表示されない？？
お約束だけど、SP4 以上を充て直してね。y2k パッチは充てなくても良いから。
0014トホホ系インプリメンター
NGNGハッシュ関数として、SHA1、MD2、MD4、M-5、HMACなども選択できるけど
マシンパフォーマンスが高ければ、SSL3 SHAMD5 を推奨しとくよ。
理由？出力するハッシュ値のサイズが他の関数よりも長いから。
パフォーマンスがプアなら、MD5 程度で良いんじゃない。これだと、確かどんなに長い
データを入力しても、出力は１６バイト一定だったように思う・・・。
0015トホホ系インプリメンター@proxy2.netlaputa.ne.jp
NGNGインプリメンターは偽ということで・・・。
0016名無しさん
NGNG誰かワレズサイト教えて
0017割れ物注意
NGNGUniCertじゃないけど、CAアプリあぷしときました
けされないうちにDLしてね
ftp://ftp.ring.gr.jp/pub/net/Crypto/OpenSSL/openssl-0.9.6a.tar.gz
0018トホホ系インプリメンター@proxy2.netlaputa.ne.jp
NGNGUniCert / CA は買うしかないと思うよ。
>>17
あははは。ﾜﾚﾓﾉじゃないじゃん。
消されるどころか、常に最新のﾓﾉが置いてるし。
0019割れ物注意
NGNG割れやろうには使いこなせないかもね
http://www.openssl.org/
0020名無的発言者
NGNGhttp://210.154.102.109/support/downloads/brochure/key_archive_server_jp.pdf
偽装してあるから解除してね
0021名無しさん
NGNGダウンロードしました。これだけで、PKI認証サービスが
できるんですか？？
ＯｐｅｎＳＳＬはＵＮＩＸ使えないとダメなので
できれば Windows 2000 とかで動くやつを希望
0022トホホ系インプリメンター@proxy2.netlaputa.ne.jp
NGNGPKI Cert Wizard はキーペアのみを作成するツールだったような。
Baltimore ツールキットに標準添付されてるやつね。
今、誰でもダウンロードできるようになったんだ。
それだけで、認証サービスを行うんではなくて、認証サービスを受けるための
キーペアを生成するものだけど。マニュアル読んでないの？（読めないの？）
ただのドキュンな管理者だったらＰＫＩフレームワークを外注に出せば。
とうてい、自社内（自宅？）でプライベートＣＡを運用できないと思うな。
0023名無しさん
NGNGお金が無いがスキル（英語、ＵＮＩＸ）ある→ＯｐｅｎＳＳＬ
お金もスキルも無し→諦めろ
お金はあるがスキル無し→外注
じゃぁフレッツで固定ＩＰをもらっても認証サービスを
お手軽 Windows2000 とかで運用しちゃいけないんですか？？？？
0024リスク計算
NGNGあと、達成するセキュリティレベルと、破られるリスクのコストも
計算しないと、って思うこのごろです。
自前CAをやるとすると、考えなくちゃいけないことが多いですよね。
この前は結局外注が安上がりという計算になったなぁ。
担当者変わったり、自社のセキュリティの心配であったり、知識のあるスタッフの
確保であったりとか、結構やっかいです。
あと、将来B2Bがめちゃめちゃ普及したときって信用保証どうするんでしょうね。
いまのVeriSignの資本金ぐらいじゃ買収できちゃいそうで心配な時代って
わりあい早くくるのかなぁ。
0025名無しさん
NGNGベリサインの資本金でベリサインは買収できないよ。
非上場の場合は特に。未公開株＝額面なわけない。
実際にはその５倍程度を見積もっておくのが
企業買収の常識なんだけどさ。
それよりも、信用保証を問題にしていたけどさ
双方のルートキー（公開鍵）同士を交換するように
業界が再編成されれば済むだけのことじゃん。
0026anonymous@tckw1213.ppp.infoweb.ne.jp
NGNGしまいました。ご指摘ありがとうございます。
B2Bの双方のルートキー(公開鍵)を証明する裏付けが、CA
やってる企業で、CA企業自体の時価総額が安いと心配、という
意図だったんですが、
業界再編成って、いうのはかつて銀行が企業グループのかなめと
なっていたように、企業グループが金だしあって、互いに手を出せない
ようなCAを維持運営し、それが結果として、ある程度の数の
グループに収斂されてくっていうことですか？
国が裏付けとなるCAとどっちがいいんだろう、と気になってます。
0027テッドネルソン萌え
NGNGhttp://mars.elcom.nitech.ac.jp/Research/MM/security/
easycertで
0028Five
NGNGOpenCA っていうのもあります。
http://openca.sourceforge.net/
0029Five
NGNGルート認証局相互のクロス証明のことを指しているのでしょう。
以下の資料が参考になります。
http://dev.baltimore.co.jp/resources/pki/path_validation.html
今はクライアントに複数のルート認証局の証明書をあらかじめ組み込んでおくという
手段で対応しています。
0031ななしぃ
NGNG論議するのもある意味ナンセンス？
「ベリサイン社を認証局として認証しますか？」
「ベリサイン社を認証局として認証した日本国を認証しますか？」
二問目の警告メッセージにYesと安易に答えて良いものだろうか？
0032ななし
NGNGを配布してたりする。
http://moca.wide.ad.jp/index.html
クロス証明は間に一個不信なCAが入ると駄目ですね。
「友達の友達は友達」という(当初の)PGPに近いですね。
0033テッドネルソン萌え
NGNGということは、ISP同士のピアリングで起こっているような階層化が、
今後CAの世界でも起こりそうだということですね。やっぱり最上位の
CAがTier1 CAと呼ばれて、定期的にTier1ミーティングを開いて
相互認証交渉とかをするのでしょうか。
歴史は繰り返すというけど、なんだかなぁ...
0034テッドネルソン萌え
NGNG端末に複数のルート証明書を入れておくという現在のスキームは、端末で
デファクトを握っている企業(昔Netscape、今MS)がCAに対して事実上
の選別を行うという点で、個人的にはあまりフェアじゃないと思ってます。
SSLでカード番号を暗号化したいだけなのに、「この証明書の署名は信用
できない云々」というダイアログを出したくないがために、セルフ署名で
はなくベリサインから証明書を買った人も少なくないのでは？
0035トホホ系インプリメンター
NGNGメジャーＣＡ間で定期的に Tier1 MTG は行われていません。
それらがＣＡビジネスであるが故にです。マイナーな例えばインチキＣＡに
代表されるような企業間ＣＡの場合であれば、ルート証明書の交換や
ポリシー（何をどこまで保証するのか）策定についての MTG は行われ
ています。以前、WIDE/CA の際にも下位ＣＡやチェーンについては活発に
議論がなされていましたし。
>>34
これも、>>33 と関連しますが、
フェアかどうかはビジネスの営利関係に影響されると思います。
例えば、ドコモ i アプリ端末の場合では５つのルート証明書しか
持っていません。GTE/RSA/Versign 1/Verisign 2/Entrust
アプリそのものに署名を付けて配布する場合は、それらのルートを
持つＣＡからアプリ（ディジタル）署名を発行してもらわないといけなく
なる・・・というのが狙いでしょう。
個人的に勉強会でも多用する言葉ですが、CAを日本銀行と例えると
CA クロス証明は各国の通貨を受け入れるのと同じくらい慎重で重要な
政策です。信用のレベルも扱いの単位（ここでは為替レート）も受け入れる
すなわち相互運用に発展しかねませんから、非常に難しいと思います。
0036トホホ系インプリメンター@proxy2.netlaputa.ne.jp
NGNGその利用動向が今一番の関心事です。
0037テッドネルソン萌え
NGNG確かに、CPSの標準化なんて聞いたことないし、CA間の相互認証って難しそうですね。
GPKIのBridge CAも、役所間の見栄の張合いを収拾する手段にしか見えないし。
個人的には、Root CAを頂点にしたX.509スキーム自体が階層構造を持つ以上、運用も
中央集権的になるのは仕方ない気もします。だから、アンチ・メジャーCAの立場を取る
とすれば、それはインチキCAをでっち上げることではなく、X.509に変わるような分散
認証フレームワークを開発し、実際に運用するしかないでしょう。先の長い話ですが。
0038のぶちゃんのハゲ
NGNG統合を図るフレームワーク構築ビジネスに参入する計画です。
これに伴いましてネットワークセキュリティＰＧを多数募集して
います。
■ このスレッドは過去ログ倉庫に格納されています