2005年01月17日サーバ管理者日誌サーバ管理とそれ以外の日常を綴ります。メールはkei@nantoka.comまで。Tweet某チャネルから。なんか、あやしいシステムに両面テープで貼り付けたくなるな。呼ぶのが大ブームの様だ。CAを使っている各県の電子申請システムが、どうやっているのか調べてみたところ、非常に困った状況であることが分かった。この国のPKIは崩壊しているかも知れない。警告しているもので、必ずしもセキュリティ上の問題を示しているものではありません。「証明書の表示」ボタンを押すとサーバ証明書の情報が表示されますので、発行元がLGPKIであることを確認してください。何をどう確認した事になるのか。LGPKIの自己署名証明書(ルート証明書)をご利用端末のブラウザにインポートすることをお奨めします。真正性は確認できないのだから、「はい」と答えてはいけない。ダウンロード後、[AppCA.cer]をダブルクリックすると上のように証明書の内容が表示されます。この画面ではまだLGPKIの自己署名証明書(ルート証明書)がインポートされていないため、警告が表示されています。タブを切り替えることによって、証明書の情報を確認できます。証明書のインポートを続けるには「証明書のインストール」ボタンを押してください。ハッシュ値も掲載されているが、httpのページから証明書をダウンロードして、httpのページに書いてあるハッシュ値を比較することになる。この確認で、ルート証明書をインストールするのは危険である。栃木県[http://www.info.ds.pref.tochigi.lg.jp/guide/shoumeisho1.html]:フィンガープリントの確認は「必ず行え」と書いてある。証明書の「拇印」が画面に表示されますので、この値が下記の証明書のフィンガープリント情報と同じ値であるか確認してください。地方公共団体における組織認証基盤(LGPKI)」のホームページ(http://www.lgpki.jp/)でも「安全な通信を行うための証明書」のフィンガープリント(拇印)情報が公開されてますので、そちらも確認してください。万が一、ダウンロードした証明書の「拇印」が上記の証明書のフィンガープリント情報(拇印)と一致しないときは、ダウンロードした証明書は正しいものではありませんので、この場合は、絶対にブラウザに組み込まないでください。AppCA.crtを同じhttpのページからダウンロードする作りである。この確認で、ルート証明書をインストールするのは危険である。埼玉県[http://www.pref.saitama.lg.jp/tools/ssl/ssldounyu.html]:フィンガープリントの説明もなく、インストール手順が説明してあり、最後に、なお、インストールした証明書について、その証明が正式なものかを確認する方法があります。下記の確認方法をご覧ください。等と添え書きの様に書いてあるのみ。東京都[http://www.taims.metro.tokyo.jp/soumu/shinseihelpdeskfaq.nsf/WebByCategory/79B63C1B171DF26D49256E2300025A45?OpenDocument]:※尚、このメッセージが出ていても通信の暗号化は有効になっています。通信の暗号化が有効かどうかの確認方法は、下記の関連リンクからご覧いただけます。証明書の組み込み方法はhttpsのページの中にあるが、AppCAなので箱の鍵は箱の中。石川県[http://www.pref.ishikawa.jp/johosei/eshinsei/warning.htm]:これも結果としては、「OKを押せ」に近い。httpのページのフィンガープリントと比較せよというもの。ページから確認してください。CAをインストールすることを必須としている。安全な通信を行うための証明書を設定する際には、設定の際に表示されるフィンガープリント(拇印)と、本ホームページに表示されるそれ及び6.で示す方法により、相違がないか確認し、自己の責任において行ってください。ここもhttpなページのフィンガープリントとの比較である。三重県[http://www.shinsei.pref.mie.jp/shinsei/index.html]:今回調べた中で、唯一、まともな作りである。ページは、VeriSignの証明書を使ったページの中にある。証明書が本物かどうかを確認するためにはフィンガープリントの照合が必要である事も説明しており、組み込み前にフィンガープリントを確認する様に求めている。httpsのページにフィンガープリントがあるので、あとは、このサーバの運用自体が安全に行われているかの問題である。滋賀県[http://www5.pref.shiga.jp/portal/p_message.htm]:証明書組み込み方法のサイトへ移る途中、下記の「セキュリティの警告」メッセージが表示されますが、「OK」もしくは「はい」を選択してください。警告に「OK」と答える事を要求してはいけない。httpsではあるが、箱の鍵は箱の中である。httpでも同じログイン画面が表示され、ログイン画面フォームの送り先は相対パスの様だ。いうことは、誤ってあるいは故意に「http」に誘導して盗聴する攻撃が成り立つ心配がある。岡山県[https://www.e-entry.okix.jp/]:VeriSignのサーバ証明書に切り替えた様だが、現在停止中。山口県[http://www.pref.yamaguchi.lg.jp/gyosei/joho-k/lgpki/index.htm]:「安全な通信を行うための証明書のインストール」を行う。フィンガープリント照合の必要性についての記述も、フィンガープリントの掲載もあるが、httpである。徳島県[https://www.tok-j.info/navigate/public/mu1/bin/first_ie.htm]:県のページからずいぶん探したが、警告を無視しないと、利用案内すら見る事ができない様だ。証明書のインストール手順が書いてあるが、フィンガープリントの照合は無し。⇒これで接続先が間違いなく徳島県であり、安全な通信が行われていることが確認できました。いうウソを流布させてはいけない。香川県[https://kds.pref.kagawa.jp/sinsei/top/index.jsp]:徳島県同様、警告を無視しないと、利用案内すら見る事ができない様だ。フィンガープリント照合の必要について記述があり、LGPKIのフィンガープリント掲載ページへのリンクが用意されている。愛媛県[http://www.pref.ehime.jp/denshin/ssl_info.html]:手順中に「フィンガープリントの確認」は記述されているが、もちろんhttp。