nlog(n): オレオレ証明書を更新

Fri April 21, 2006

オレオレ証明書を更新

自宅サーバの SSL 証明書の期限が切れていた。更新して使う。

■ ■ ■

Firefoxの警告

Netscapeの警告

自宅のサーバに立てている SSL 認証局が発行する証明書，いわゆる「オレオレ証明書」の期限が切れていた。証明書を作ったのは昨年2005年4月4日で，有効期間を365日としていたので，今年の4月4日で期限が切れていた(nlog(n): SSL の設定)。更新しなければならない。秘密鍵を忘れてしまったので，最初からやることにする。前回と同様に証明書を埋め込むことにする。

# cd /usr/local/ssl
# ./CA -newca
mkdir: ディレクトリ `./demoCA' を作れません: ファイルが存在します
mkdir: ディレクトリ `./demoCA/certs' を作れません: ファイルが存在します
mkdir: ディレクトリ `./demoCA/crl' を作れません: ファイルが存在します
mkdir: ディレクトリ `./demoCA/newcerts' を作れません: ファイルが存在します
mkdir: ディレクトリ `./demoCA/private' を作れません: ファイルが存在します
# rm -r demoCA

前のディレクトリが残っていると中断する。認証局用のディレクトリ demoCA を削除してから始める。

# ./CA -newca
# /usr/bin/openssl genrsa -rand ./demoCA/cacert.pem　-des3 -out serverkey.pem 1024
# /usr/bin/openssl rsa -in serverkey.pem -out serverkey.pem
# /usr/bin/openssl req -new -days 365 -key serverkey.pem -out csr.pem
# /usr/bin/openssl ca -in csr.pem -keyfile demoCA/private/cakey.pem -cert demoCA/cacert.pem -out cert.pem
# /etc/init.d/httpd restart

これで完了。詳細は nlog(n): Apache を SSL 対応にの通り。

証明書を更新した後，Web ブラウザでアクセスすると警告が表示された。

すでに使用している別の証明書と同じ発行者名とシリアル番号が含まれています。

これは Netscape 7.1 の例(まだそんなブラウザ使ってんのかよ! というツッコミは，なしの方向で)。この警告への対応は，ブラウザが持っている古い証明書を削除することである。「編集」メニュー→「設定」→「セキュリティーとプライバシー」→「証明書」から「証明書の管理」ボタンをクリックし，「Web サイトタブ」を開いて証明書を削除すればよい。