9.22. セキュアサイトの構築（mod_ssl）

/etc/pki/tls/certs/ ディレクトリにサイトの暗号鍵を生成します。 以下のコマンドを実行します。この例では、1024bit 長の RSA 方式の秘密鍵を生成します。Turbolinux 11 Server にはあらかじめダミーの秘密鍵が生成されていますので、必要に応じてバックアップをとってから実行してください。

/etc/httpd/conf/ssl.key/ ディレクトリにサイトの暗号鍵を生成します。 以下のコマンドを実行します。この例では、1024bit 長の RSA 方式の秘密鍵を生成します。Turbolinux 11 Server にはあらかじめダミーの秘密鍵が生成されていますので、必要に応じてバックアップをとってから実行してください。

# cd /etc/pki/tls/private
# mv localhost.key localhost.key_org
# openssl genrsa -out localhost.key -des3 1024
Generating RSA private key, 1024 bit long modulus
...................++++++
....++++++
e is 65537 (0x10001)
Enter pass phrase for localhost.key: ←パスフレーズの入力
Verifying - Enter pass phrase for localhost.key: ←パスフレーズの入力

パスフレーズの入力を要求されます。パスフレーズとはパスワードのようなものですが、パスワードより長い文字列を入力できます。スペースやその他の特殊文字も使用できるため、他人には分かりづらい文章などを入力するのもよいでしょう。

ここで入力したパスフレーズは決して忘れないよう注意してください。Apache の起動時に入力する必要があります。パスフレーズの入力を要求しないようにするには、以下のコマンドを実行して server.key を作成します。ただし、セキュリティ上は、パスフレーズは解除せず、起動する毎に入力することを推奨します。

# openssl genrsa -out /etc/pki/tls/private/localhost.key 1024

作成した localhost.key はセキュアサーバーを構築するために非常に重要なファイルとなります。root だけがアクセスできるようにパーミッションを変更しておきます。

# chmod 600 localhost.key

作成した秘密鍵（localhost.key）をもとに、サーバー証明書署名要求（localhost.csr）を生成します。以下のコマンドを実行します。この例は、有効期限が 365 日のサーバー証明書署名要求を生成します。-key オプションには秘密鍵を指定します。

# mkdir /etc/pki/tls/csr
# chmod 700 /etc/pki/tls/csr
# cd /etc/pki/tls/csr/
# openssl req -new -key ../private/localhost.key -days 365 -out localhost.csr
Enter pass phrase for ../private/localhost.key : ←秘密鍵のパスフレーズ

パスフレーズの入力を要求されますので、秘密鍵（server.key）の生成時に入力したパスフレーズを入力します。続いて一連の設定項目の入力を促されます。各項目への応答を入力してください。応答の例を以下に示します。

You are about to be asked to enter information that will be incorporated
into your certificate request.
What you are about to enter is what is called a Distinguished Name or a DN.
There are quite a few fields but you can leave some blank
For some fields there will be a default value,
If you enter '.', the field will be left blank.
-----
Country Name (2 letter code) [AU]:JP
State or Province Name (full name) [Some-State]:Tokyo
Locality Name (eg, city) []:Shibuya
Organization Name (eg, company) [Internet Widgits Pty Ltd]:Mycompany
Organizational Unit Name (eg, section) []:Doc
Common Name (eg, YOUR name) []:example.com
Email Address []:taro@example.com

Please enter the following 'extra' attributes
to be sent with your certificate request
A challenge password []:
An optional company name []:

必要なデータは CA により異なりますので各認証機関の手順に従ってください。

サーバー証明書署名要求は /etc/pki/tls/csr/localhost.csr ファイルとして出力されます。ここで、入力した情報はサーバー証明書署名要求に組み込まれます。サーバー証明書の発行を要求する際には、このファイルを CA に送付します。サイトを本稼動する前に CA の手続きに従い、サーバー証明書を取得してください。サーバー証明書署名要求の提出には、Web ページのフォームや E-mail を利用することが多いようです。CA では、身元を確認すると身元を保証する署名済みのサーバー証明書（Server Certificate）を作成し、要求元に届けます。サイトの管理者は、取得したサーバー証明書を Apache の所定のディレクトリに保存します。Turbolinux 11 Server の初期設定では、/etc/pki/tls/certs/localhost.crt ファイルとして保存します。

自己署名証明書を作成し、セキュアサーバーが正常に動作するかどうかを確認します。生成した サーバー証明書要求（localhost.csr）を使用して、自分で自己署名証明書（localhost.crt）を生成します。Turbolinux 11 Server にはあらかじめ、ダミーの自己署名証明書が用意されています。必要な場合はバックアップをとってから実行してください。以下のコマンドを実行します。

# cd /etc/pki/tls/certs
# mv localhost.crt localhost.crt_org
# openssl x509 -req -signkey ../private/localhost.key -days 365 -in ../csr/localhost.csr -out localhost.crt
Signature ok
subject=/C=JP/ST=Tokyo/L=Shibuya/O=Mycompany/OU=Doc/CN=example.com/emailAddress=taro@example.com
Getting Private key
Enter pass phrase for ../private/localhost.key: ←秘密鍵のパスフレーズ

秘密鍵（localhost.key）生成時に入力したパスフレーズを入力をします。自己署名証明書が、/etc/pki/tls/certs/localhost.crt として生成されます。

Apache 起動時に暗号化された秘密鍵のパスフレーズを入力する方法を指定します。builtin がデフォルトで、ダイアログが表示され管理者はパスフレーズを入力します。exec:program_path に暗号化パスフレーズのための外部プログラムを指定することもできます。

SSL セッションの保持するキャッシュに関する設定です。none （キュッシュは無効）、dbm:file_path（ローカルディスク上の DBM にキャッシュ）、shm:file_path[size]（RAM の共有メモリ上のハッシュテーブルにキャッシュ）を指定します。

SSL キャッシュ格納がタイムアウトするまでの時間を秒単位で指定します。

複数起動している httpd プロセス間の排他制御を行う方法を指定します。none または no （排他制御なし）、file:file_path（ロックファイルとして file_path を使用）、flock:file_path（flock() 関数使用）、fcntl:file_path（fcntl() 関数使用）、sysvsem（SystemV IPC セマフォを使用）、sem（セマフォを使用）、pthread（Posix thread を使用）、default （システムでデフォルトのロック機構を使用）の指定が可能です。

PRNG（暗号で使用する疑似乱数ジェネレータ）に関する設定です。 context には、startup（OpenSSL の開始時）または、connect（新しいコネクションの確立時）を指定します。source には、乱数生成の元を builtin 、file:path_to_source、exec:program で指定します。

SSLの有効（On）／無効（Off）を切り換えます。

:（コロン）で区切ってサポートする暗号方式を ALL:!ADH:RC4+RSA:+HIGH:+MEDIUM:+LOW:+SSLv2:+EXP のように指定します。

秘密鍵ファイルのパス指定です。秘密鍵については 項9.22.1を参照してください。

サーバー証明書ファイルのパス指定です。サーバー証明書については 項9.22.1を参照してください。

SSL のオプションをディテクトリ単位に指定します。+ や - の符号は、親ディレクトリの設定を変更するときに使用します。+ の符号は親ディレクトリの設定に追加され、- の符号は親ディレクトリの設定から削除されます。符号の指定がない場合は、指定したオプションで親ディレクトリの設定を置き換えます。オプションは複数指定が可能で、StdEnvVars（SSL に関する標準の CGI/SSI 環境変数作成）、CompatEnvVars（Apache SSL 互換のための CGI/SSI 環境変数作成）、ExportCertData（X.509 認証に関する CGI/SSI 環境変数作成）、FakeBasicAuth（X509 認証の DN で Apache のベーシック認証を許可）、StrictRequire（mod_ssl でアクセス拒否時に Satisfy Any は無効）、OptRenegotiate（SSL コネクションの再ネゴシエーションの最適化）が有効です。