アンケート一覧ページでアンケートを探す
ID非公開

2015/9/2 15:12

22回答

1つのWebサーバで、CA証明のクライアント認証設定を2つ行いたいと思うのですが、出来るのでしょうか。

1つのWebサーバで、CA証明のクライアント認証設定を2つ行いたいと思うのですが、出来るのでしょうか。 webサーバ上で、ディレクトリ単位にSSLクライアント認証の設定を httpd.conf（またはssl.conf）に記述するのですが、その際、 「このWebディレクトリ配下はCA証明書その1、このWebディレクトリ配下はCA証明書その2」 のような切り分け設定は可能なのでしょうか。 例：httpd.conf内のOpenSSL 追記における一般的設定。以下は1つのCA指定） SSLCACertificateFile /etc/pki/CA/cacert.pem ← CA(鍵)証明書指定 SSLCARevocationFile /etc/pki/CA/revoke.crl ← 証明書失効リストファイル <Directory /var/www/html/hoge1> ← アクセス制限の対象にしたいディレクトリ SSLRequireSSL SSLVerifyClient require SSLUserName SSL_CLIENT_S_DN_CN Satisfy Any Allow from All </Directory>

Linux系 | 暗号と認証・1,827閲覧・xmlns="http://www.w3.org/2000/svg">100

新機能 AI回答テストを実施中！ テスト対象カテゴリ：歴史・悩み相談 ※回答がつかない場合は、画面のリロードをお試しください

ベストアンサー

このベストアンサーは投票で選ばれました

上総屋の若旦那

2015/9/2 17:35

ディレクトリごとにCA証明書を分けるのはダメみたいですが、クライアント証明書を分けるのはできます。 SSLCACertificateFileで指定するCA証明書は、二つのCA証明書をエディタで一つにくっつけます。 -----BEGIN CERTIFICATE----- 一つめのCA証明書 -----END CERTIFICATE----- -----BEGIN CERTIFICATE----- 二つめのCA証明書 -----END CERTIFICATE----- というカンジです。 あるいはSSLCACertificatePathで指定したディレクトリに二つとも置いてもOKです。 ディレクトリのアクセス制限は、 <Directory /var/www/html/hoge1> クライアント証明書1のみOK </Directory> <Directory /var/www/html/hoge2> クライアント証明書2のみOK </Directory> です。 ブラウザはどちらかのCA証明書が発行したクライアント証明書を送ってきますが、旧式のファイヤーフォックスとかは まるっきり関係無い証明書を送ってくるときがあります。 あと、ハッカーがハッキングするときもニセの証明書を送ってきます。 なので、SSL_CLIENT_S_DN_CNで判定するとCommonNameが一致したら誰の証明書でもOKになってしまいます。 クライアント証明書認証をするなら、 SSLRequire %{SSL_CLIENT_CERT} eq file("/var/www/hogeCert/client1.pem") などとして、署名部分を含めた完全一致にしないと危険です。

NEW! この回答はいかがでしたか？ リアクションしてみよう

ID非公開

質問者2015/9/3 12:42

頂いた解答内で、もうちょっと詳しく教えてください。 ＃サーバ設定に疎い為、本題との質問と若干逸れますが >クライアント証明書認証をするなら、 >SSLRequire %{SSL_CLIENT_CERT} eq file("/var/www/hogeCert/client1.pem") >などとして、署名部分を含めた完全一致にしないと危険です。 の部分で、client1.pem(=クライアント用証明書)を指定していますが、 「hogeCert」ディレクトリ内に格納しているクライアント証明書全てを有効とするような設定記述は可能でしょうか。

その他の回答（1件）

ナンコ　ナンナン

カテゴリマスター

2015/9/2 17:10

ディレクトリ単位では出来ません。 これは、SSL通信の時に IPアドレスで通信を行ってしまっているからです。 ですから、IPアドレスが複数あると、IPアドレス毎に証明書１個になります。 ただ、最近は、１個の証明書に複数のドメインを登録するマルチドメイン証明書が作れる様になりました。 そこで、１つの証明書で、複数のドメインを証明して、 ドメイン名によって、仮想サーバーを変えてやると、複数のドメインが証明できることになります。でも、Apache で正しく動作するかは、？です。