none
CA証明書の破棄は出来るのでしょうか？ RRS feed

 > 

  • 質問

  • Question
    サインインして投票
    0
    サインインして投票

    現在Windows2012でAD証明書機関を利用しています（エンタープライズCA）

    プロトコルをCHA-2への更新をするつもりで、「すべてのタスク」から「CA証明書の書換え」を行ったのですが、私の手順ミスでCHA-1の証明書が出来てしまいました。

    なぜCHA-2に出来なかったかは、判明したので再度「CA証明書の書換え」を行う予定なのですが、

    そこで間違えて出来てしまったCHA-1の証明書を破棄する必要が出てきました

    テスト環境で確認した感じだと、CAのプロパティにある「CA証明書」にあって　有効期限がまだ残っている証明書は、

    いくら新しい証明書を作成しても無効になっていないようでした（証明書＃0があって証明書＃1が新しく出来ていても　証明書＃0でも認証が通ってる）

    となると破棄の作業が必要だと思うのですが、自分ではCA証明書の破棄の方法が見つけられませんでした。

    CA証明書の破棄ができるのか？それとも他の方法で利用できなくすることが出来るのか？

    ご教授いただけないでしょうか？

    2015年11月27日 6:02
    |

回答

  • Question
    サインインして投票
    0
    サインインして投票

    チャブーンです。

    いったん配布されてしまったCA証明書を期限内に無効化する場合、「無効化リスト」相当の情報をクライアント側からアクセスさせる必要があります。残念ですが、証明書自体を消失させたり、無効化の「印」をつけるようなことはできません。

    証明書失効リストでもっとも著名なものは「CRL」になり、エンタープライズCAではLDAPで登録されているので、certutilコマンドでCRLを更新させればいいのではないでしょうか？証明書を利用するサーバ/クライアントは定期的にCRL情報を確認しますので、それで自身が使う証明書の無効化を知ることができます。

    追記:証明機関に対してcertutil -revokeコマンドを実行すると、対象証明書を無効としてデータベース登録し、自動的にCRLに登録してくれます。CRLは一定間隔で更新されますが、すぐに適用したい場合、これとは別にCRLの手動更新が必要かと思います。

    これ以外の方法としてはOCSPという専用プロトコルを使って配布サーバを構成する、という方法もあります。

    フォーラムは有償サポートとは異なる「コミュニティ」です。フォーラムでご質問頂くにあたっての注意点 をご一読のうえ、お楽しみください。





    2015年11月27日 10:24
    |
    モデレータ

すべての返信

  • Question
    サインインして投票
    0
    サインインして投票

    チャブーンです。

    いったん配布されてしまったCA証明書を期限内に無効化する場合、「無効化リスト」相当の情報をクライアント側からアクセスさせる必要があります。残念ですが、証明書自体を消失させたり、無効化の「印」をつけるようなことはできません。

    証明書失効リストでもっとも著名なものは「CRL」になり、エンタープライズCAではLDAPで登録されているので、certutilコマンドでCRLを更新させればいいのではないでしょうか？証明書を利用するサーバ/クライアントは定期的にCRL情報を確認しますので、それで自身が使う証明書の無効化を知ることができます。

    追記:証明機関に対してcertutil -revokeコマンドを実行すると、対象証明書を無効としてデータベース登録し、自動的にCRLに登録してくれます。CRLは一定間隔で更新されますが、すぐに適用したい場合、これとは別にCRLの手動更新が必要かと思います。

    これ以外の方法としてはOCSPという専用プロトコルを使って配布サーバを構成する、という方法もあります。

    フォーラムは有償サポートとは異なる「コミュニティ」です。フォーラムでご質問頂くにあたっての注意点 をご一読のうえ、お楽しみください。





    2015年11月27日 10:24
    |
    モデレータ
  • Question
    サインインして投票
    0
    サインインして投票

    チェブーンさん　いつもありがとうございます。

    CRLでの失効のやり方でやってみようと思います。

    ご教授ありがとうございました。

    2015年12月2日 3:41
    |