Mac OS X Lion にて、第4種オレオレ証明書を発行する

cd ~/.ssh
/System/Library/OpenSSL/misc/CA.sh -newca
/System/Library/OpenSSL/misc/CA.sh -newreq
/System/Library/OpenSSL/misc/CA.sh -sign

-newca で作られた ~/.ssh/demoCA/cacert.pem を安全な経路でクライアントマシンにインストール。
Macの場合は「開く」でキーチェーンアクセスに取り込まれればOK. Winの場合はインターネットオプション>コンテンツ>証明書>証明書>インポート で、立ち上がるウィザード上で、「信頼されたルート証明機関」へインストール。
-newreq の common name 以外の質問はすべてデフォルトで良い。
最終的に newcert.pem と newkey.pem という2つのファイルが出来るので、それを http サーバに設定する。
ちなみに、stunnelで使う場合はこの2ファイルを繋げたファイルが必要となる。具体的には以下のようにする。

cat newcert.pem >> stunnel.pem
echo >> stunnel.pem
cat newkey.pem >> stunnel.pem
chmod 400 stunnel.pem

(finkでstunnelを入れた場合) sudo /sw/bin/stunnel3 -f -d 443 -r 127.0.0.1:80 -p ~/.ssh/stunnel.pem

一度自分で自由になるCAを立ち上げてその証明書をインストールしておけば、別のサーバでサーバ証明書が必要になったときに再びCAを立ち上げる必要は無い。っていうか Common Name だけを該当ホスト名にして手元で証明書を作成してサインし、それをサーバに転送して apache なり stunnel なりに読ませればOK.

Comment are closed.