WebSphereが使っている証明書についての昔話

## 昔話です。

<font color="Red">10月12日修正</font>

[WebSphere Application Server](https://www.ibm.com/jp-ja/cloud/websphere-hybrid-edition) (WAS)は，2002年に出たV5.0，2003年に出たV5.1<font color="Red">および2004年にでたV6.0</font>までは，内部SSL通信に使う証明書を，インストーラーに含まれているものをそのまま使用するような構成で導入されていました。SSL通信につかう証明書は，環境ごとに生成するべきものです。IBMが作成し，同じ製品を使用している人ならば誰でも入手できる証明書をそのまま使用していたのでは，何も暗号化で保護したことにはなりません。

導入後に，環境固有の証明書を作成して設定する手順はマニュアルには記載されていたのですが，これをやっていただいているお客様は多くなく，結構な割合のお客様が，デフォルトのダミー証明書をそのまま使っていらっしゃいました。これはいけないということで，<font color="Red">~~2004年にでたV6.0~~ 2006年に出たV6.1</font>からは，導入時に環境固有の証明書が自動作成されるようになりました。

デフォルトのダミー証明書を使っていることの問題点として，正しい保護ができてないこと以外にも，証明書の有効期限が意図しないタイミングで，しかも一斉に切れてしまうことがあります。最初製品に同梱されていたダミー証明書は，有効期限が2005年3月18日に切れるものでした。この時は大変でした。多くのお客様に呼びかけ，事前に証明書を入れ替える手順をガイドしたり，緊急避難的に作成された，有効期限を大幅に伸ばしたダミー証明書に入れ替えていただいたりしました。それでも完全にはお知らせが行き届かず，当日は多くのお客様で通信障害が発生してしまいました。

2006年に出たV6.1からは，証明書の期限切れを警告する機能や自動作成された証明書の自動更新機能なども実装されました。これ以降に導入されたWASでは，証明書の期限切れの問題はほとんど起こらなくなりました。

## で。

なんでこんな昔話をしているかというと。

問題は上記の「有効期限を大幅に伸ばしたダミー証明書」です。これの有効期限が今年，2021年10月13日に切れるんですね（正確には日本時間の10月14日，午前5時すぎです）。

````console
C:¥OPT¥WebSphere¥AppServer50¥etc> C:¥OPT¥WebSphere¥AppServer50¥java¥jre¥bin¥keytool.exe -list -v -keystore DummyClientKeyFile.jks
Enter keystore password:  WebAS

Keystore type: jks
Keystore provider: SUN

Your keystore contains 3 entries:

Alias name: websphere dummy client
Creation date: Wed Jul 30 20:43:54 GMT 2003
Entry type: keyEntry
Certificate chain length: 1
Certificate[1]:
Owner: CN=jclient, OU=SWG, O=IBM, C=US
Issuer: CN=jclient, OU=SWG, O=IBM, C=US
Serial number: 3f282e0a
Valid from: Wed Jul 30 20:43:54 GMT 2003 until: Wed Oct 13 20:43:54 GMT 2021
Certificate fingerprints:
         MD5:  60:7D:36:85:AD:AF:E8:9F:FD:44:63:74:59:81:AC:DD
         SHA1: 0B:3F:C9:E0:70:54:58:F7:FD:81:80:70:83:A6:D0:92:38:7A:54:CD


*******************************************
*******************************************


Alias name: client
Creation date: Wed Jul 30 20:48:14 GMT 2003
Entry type: trustedCertEntry

Owner: CN=jclient, OU=SWG, O=IBM, C=US
Issuer: CN=jclient, OU=SWG, O=IBM, C=US
Serial number: 3f282e0a
Valid from: Wed Jul 30 20:43:54 GMT 2003 until: Wed Oct 13 20:43:54 GMT 2021
Certificate fingerprints:
         MD5:  60:7D:36:85:AD:AF:E8:9F:FD:44:63:74:59:81:AC:DD
         SHA1: 0B:3F:C9:E0:70:54:58:F7:FD:81:80:70:83:A6:D0:92:38:7A:54:CD


*******************************************
*******************************************


Alias name: server
Creation date: Wed Jul 30 20:48:03 GMT 2003
Entry type: trustedCertEntry

Owner: CN=jserver, OU=SWG, O=IBM, C=US
Issuer: CN=jserver, OU=SWG, O=IBM, C=US
Serial number: 3f282cf8
Valid from: Wed Jul 30 20:39:20 GMT 2003 until: Wed Oct 13 20:39:20 GMT 2021
Certificate fingerprints:
         MD5:  CA:2C:E1:BE:25:57:72:B7:97:22:DD:00:74:0A:C5:AE
         SHA1: FB:38:FE:E6:CF:89:BA:01:67:8F:C2:30:74:84:E2:40:2C:B4:B5:65


*******************************************
*******************************************
````

当時ははるか先のことと思っていた2021年ですが，気がつくと，あとわずか2週間です。

さすがに，2006年にサポートが終了したV5.0，2008年に終了したV5.1を使っている環境はもう残ってないと思います。残ってないと思いますが，一抹の不安は隠しきれません。

13年以上も前にサポートが終了した製品の問題なので，公式のアナウンスは出ません。万が一，万々が一，まだこれらのバージョンを使っている方がいらっしゃいましたら，これらのファイル（DummyClientKeyFile.jks/DummyServerKeyFile.jks）が使われていないか，管理コンソールで再度ご確認ください。

そしてIBMの担当営業などに[お問い合わせ](https://www.ibm.com/account/reg/jp-ja/signup?formid=MAIL-cloud)ください。塩漬けもそろそろ限界です。バージョンアップの検討をお願いします・・・

----

現在サポートがあるバージョンでも，WAS V5.1以前からの構成をマイグレーションツールで引き継いだ環境では，これらのファイルを使用する構成が残っている場合があります。その場合は，CWPKI0643IやCWPKI0680Iなどの証明書の期限切れの警告がログに残っているはずです。確認の上，IBMのサポートにお問い合わせください。

----

なんと，USから[テクニカフラッシュ](https://www.ibm.com/support/pages/node/6495431)がでました。