Linkexpress SSL通信環境導入説明書

2.7 証明書の申請、および証明書とCRLの取得

発行局で証明書の発行申請、および証明書とCRLの取得を行います。これらの作業は発行局に対して操作を行います。発行局に対する操作方法については、発行局の申請方法に従ってください。

以下に発行局との証明書・CRLのやり取りを示します。以下の図は自システムが証明書を申請する場合に限定して説明しています。SSL3.0で相手システムも証明書を使用する場合、同様の作業を自システムと相手システムの立場を入れ替えて行ってください。

(1) 証明書の発行申請(証明書を申請する場合)

自システムの情報を発行局に申請・登録します。なお、発行局に証明書を申請するにはcmmakecsrコマンドで作成した「申請書」が必要です。

(2) 自システムの証明書の取得(証明書を申請する場合)

自システムの証明書を発行局から取得します。

(3) 発行局の証明書の取得(相手システム)

自システムの発行局(自側発行局)の証明書を相手システムが取得します。

(4) CRLの取得

CRL(無効となった証明書のリスト)も同様に発行局から取得します。

CRLは発行局から取得します。自システム、相手システムともに取得が必要です。

■証明書の連鎖について

証明書を利用した認証の信頼関係は、証明書の発行者(発行局)と証明書の被発行者(発行局やサイト)が連鎖するツリー構造になっています。ツリー構造の根となる発行局をルートCAと言います。

サイト証明書や発行局証明書の検証とは、そのサイト証明書からルートCA証明書まで信頼関係(証明書経路)が連鎖しているか確認することです。そのため、自システムにサイト証明書や発行局証明書を登録する際は、その証明書経路上の発行局証明書をルートCA証明書から順次登録する必要があります。

■CRLについて

CRLとは、発行局に登録されている証明書のうち、無効として申請された証明書のリストです。証明書の有効性をチェックするには、証明書本体の検証と同時に証明書がCRLに記載されていないことを確認する必要があります。