https://github.com/ehazlett/certm という TLS 証明書作成ツールを見つけたのでメモっておく OpenSSL での証明書作成については https://jamielinux.com/docs/openssl-certificate-authority/index.html がとても良く出来ているのであまりこのツールに頼ることはない気もするがテスト用の証明書をさくっと作りたい場合には使うかもしれない （docker を実行可能な環境であれば docker run ... と実行するだけで使えるっていうのは配布方法としても悪くないですね） まずはヘルプを見てみる
$ docker run --rm ehazlett/certm -h
NAME:
/bin/certm - certificate management
USAGE:
/bin/certm [global options] command [command options] [arguments...]
VERSION:
0.1.2 (f7754d5)
AUTHOR:
@ehazlett
COMMANDS:
ca CA certificate management
server server certificate management
client client certificate management
bundle generate CA, server and client certs
help, h Shows a list of commands or help for one command
GLOBAL OPTIONS:
--output-directory, -d output directory for certs
--debug, -D enable debug
--help, -h show help
--version, -v print the version
CA の証明書を作成する
$ mkdir certs
$ docker run --rm -v $(pwd)/certs:/certs ehazlett/certm -d /certs ca generate -o=local
generating ca: org=local bits=2048
$ ls certs
ca-key.pem ca.pem
こんなのが生成されました。
$ openssl x509 -text -in certs/ca.pem -noout
Certificate:
Data:
Version: 3 (0x2)
Serial Number:
5c:4b:0e:8c:4a:28:20:68:36:de:2d:a6:88:82:bf:f6
Signature Algorithm: sha256WithRSAEncryption
Issuer: O=local
Validity
Not Before: Jun 10 13:42:00 2016 GMT
Not After : May 26 13:42:00 2019 GMT
Subject: O=local
Subject Public Key Info:
Public Key Algorithm: rsaEncryption
Public-Key: (2048 bit)
Modulus:
00:bb:8f:c4:1c:53:c7:11:d8:fb:5d:d6:33:1c:cb:
...
26:17
Exponent: 65537 (0x10001)
X509v3 extensions:
X509v3 Key Usage: critical
Digital Signature, Key Encipherment, Key Agreement, Certificate Sign
X509v3 Basic Constraints: critical
CA:TRUE
Signature Algorithm: sha256WithRSAEncryption
87:bb:4c:4a:d9:0b:a8:5d:88:ac:52:6b:96:b0:38:6c:b3:dc:
...
fc:09:9f:2e
鍵は RSA の 2048 bit Subject で指定可のなのは O の Organization だけ 鍵の bit 数は -b で指定可能
$ docker run --rm ehazlett/certm ca -h
NAME:
generate - generate new certificate
USAGE:
command generate [command options] [arguments...]
OPTIONS:
--org, -o "unknown" organization
--bits, -b "2048" number of bits in the key (default: 2048)
--overwrite overwrite existing certificates and keys
サーバー証明書を作成する
$ docker run --rm -v $(pwd)/certs:/certs ehazlett/certm -d /certs server generate --host localhost --host 127.0.0.1 -o=local
generating server certificate: org=local bits=2048
$ ls certs/
ca-key.pem ca.pem server-key.pem server.pem
次のような証明書が作成されました
$ openssl x509 -text -in certs/server.pem -noout
Certificate:
Data:
Version: 3 (0x2)
Serial Number:
54:e0:8b:ae:b9:94:cd:e3:09:fb:79:22:38:dd:a3:50
Signature Algorithm: sha256WithRSAEncryption
Issuer: O=local
Validity
Not Before: Jun 10 13:48:00 2016 GMT
Not After : May 26 13:48:00 2019 GMT
Subject: O=local
Subject Public Key Info:
Public Key Algorithm: rsaEncryption
Public-Key: (2048 bit)
Modulus:
00:ea:3c:c4:ac:46:23:09:29:e0:a1:65:35:d6:00:
...
85:ff
Exponent: 65537 (0x10001)
X509v3 extensions:
X509v3 Key Usage: critical
Digital Signature, Key Encipherment, Key Agreement
X509v3 Extended Key Usage:
TLS Web Client Authentication, TLS Web Server Authentication
X509v3 Basic Constraints: critical
CA:FALSE
X509v3 Subject Alternative Name:
DNS:localhost, IP Address:127.0.0.1
Signature Algorithm: sha256WithRSAEncryption
27:5e:4e:b9:89:87:93:f7:af:0f:a8:89:fc:87:25:82:2b:81:
...
9f:f2:b8:fa
こちらも Subject は O=local (Organization) だけ
Subject: O=local
サーバー証明書作成モード (server) だけどクライアント証明書としても使えるようになっている
X509v3 Extended Key Usage:
TLS Web Client Authentication, TLS Web Server Authentication
--host localhost --host 127.0.0.1 と指定したため subjectAltName に DNS:localhost,IP:127.0.0.1 が指定されている。もっと沢山ならべることも可能。IPアドレスでアクセスする場合は CommonName (CN) が使えないらしいので subjectAltName が使えることを知っておくと便利
X509v3 Subject Alternative Name:
DNS:localhost, IP Address:127.0.0.1
こちらも指定できる subject は Organization だけですね。sbjectAltName が指定できるから CommonName が指定できなくても大丈夫なのかな。ダメなクライアントもありそうだけど。
$ docker run --rm ehazlett/certm server -h
NAME:
generate - generate new certificate
USAGE:
command generate [command options] [arguments...]
OPTIONS:
--ca-cert CA certificate for signing (defaults to ca.pem in output dir)
--ca-key CA key for signing (defaults to ca-key.pem in output dir)
--cert certificate name (default: server.pem)
--key key name (default: server-key.pem)
--host [--host option --host option] SAN/IP SAN for certificate
--org, -o "unknown" organization
--bits, -b "2048" number of bits in the key (default: 2048)
--overwrite overwrite existing certificates and keys
クライアント署名書を作成する
クライアント証明書では CommonName が指定可能になってますね クライアントのアイデンティファイにも使えるようにかな
$ docker run --rm ehazlett/certm client -h
NAME:
generate - generate new certificate
USAGE:
command generate [command options] [arguments...]
OPTIONS:
--ca-cert CA certificate for signing (defaults to ca.pem in output dir)
--ca-key CA key for signing (defaults to ca-key.pem in output dir)
--cert certificate name (default: cert.pem)
--key key name (default: key.pem)
--common-name, -c common name
--org, -o "unknown" organization
--bits, -b "2048" number of bits in the key (default: 2048)
--overwrite overwrite existing certificates and keys
$ docker run --rm -v $(pwd)/certs:/certs ehazlett/certm -d /certs client generate --common-name=ehazlett -o=local
generating client certificate: cn="ehazlett" org=local bits=2048 cert="/certs/cert.pem" key="/certs/key.pem"
$ openssl x509 -text -noout -in certs/cert.pem
Certificate:
Data:
Version: 3 (0x2)
Serial Number:
a8:5d:80:4a:77:ae:73:84:a1:e3:8b:82:43:28:c7:71
Signature Algorithm: sha256WithRSAEncryption
Issuer: O=local
Validity
Not Before: Jun 10 14:10:00 2016 GMT
Not After : May 26 14:10:00 2019 GMT
Subject: O=local, CN=ehazlett
Subject Public Key Info:
Public Key Algorithm: rsaEncryption
Public-Key: (2048 bit)
Modulus:
00:d2:39:09:4e:18:69:fe:17:3f:12:d9:22:7f:a5:
...
14:cb
Exponent: 65537 (0x10001)
X509v3 extensions:
X509v3 Key Usage: critical
Digital Signature, Key Encipherment, Key Agreement
X509v3 Extended Key Usage:
TLS Web Client Authentication, TLS Web Server Authentication
X509v3 Basic Constraints: critical
CA:FALSE
Signature Algorithm: sha256WithRSAEncryption
97:02:cc:98:55:21:d5:3a:b5:75:8d:46:37:d7:79:75:a5:bc:
...
dc:37:6f:20
CommonName (CN) がセットされてる
Subject: O=local, CN=ehazlett
クライアント認証用のコマンドだけどサーバー証明書としても使える
X509v3 Extended Key Usage:
TLS Web Client Authentication, TLS Web Server Authentication
bundle モード
CA, Server, Client 証明書を1コマンドで作ってくれる でも CommonName が指定できない
$ docker run --rm ehazlett/certm bundle -hNAME:
generate - generate new bundle
USAGE:
command generate [command options] [arguments...]
OPTIONS:
--host [--host option --host option] SAN/IP SAN for certificate
--org, -o "unknown" organization
--bits, -b "2048" number of bits in the key (default: 2048)
--overwrite overwrite existing certificates and keys
$ docker run --rm -v $(pwd)/certs:/certs ehazlett/certm -d /certs bundle generate --host 127.0.0.1 -o=local
generating ca: org=local bits=2048
$ ls certs
ca-key.pem ca.pem cert.pem key.pem server-key.pem server.pem
PKCS12 形式に変換
クライアント証明書を PKCS12 形式にする
$ openssl pkcs12 -export -in certs/cert.pem -inkey certs/key.pem -out certs/cert.p12 -password pass:""
使ってみる
bundle で作成したものを Apache で使ってみた SSLCertificateFile, SSLCertificateKeyFile, SSLCACertificateFile に certm で作成した証明書と鍵を指定し SSLVerifyClient を require にしてテストしました。 無事アクセスできました。ヨカッタネ