2015年年6⽉月11⽇日  ⽔水元明法（国⽴立立情報学研究所）

2	

} 調査，検討の結果を踏まえNIIの事業として提供(有償)} 提供する証明書の種類}

サーバ証明書(OV)，クライアント証明書，コード署名⽤用証明書}

追加ドメインの制約を⼤大幅に緩和}クライアント証明書・コード署名⽤用証明書も4⽉月より提供中} 費⽤用}

}

OV証明書
}

発⾏行行枚数に制限なし}

組織の規模ごとに段階的に設定（定額）}

追加ドメインはドメイン単位に課⾦金金クライアント証明書，コード署名⽤用証明書は当⾯面無料料}

3	

普及啓蒙フェーズ

4	

新サービス	

旧プロジェクト	申請	

機関の長から*	

機関責任者から	費用	有償（定額）	

無償	発行できる証明書	

サーバ証明書クライアント証明書
コード署名用証明書	

サーバ証明書	

ドメイン数	

複数申請可能**	

原則1つ	

SINETへの加入	

必須ではない	必須	

署名アルゴリズム	

SHA-1
SHA-256	

SHA-1	*：大学であれば，学長にあたる方となります**：機関が保持または管理するドメインであること	
5	

構成員数	
年額（税別）	 ü 構成員数： 常勤の教員・研究者数
1-200	
¥30,000 	 (CiNiiと同基準）	
ü 年額には，OV証明書（1ドメイン分），201-400	
¥40,000 	 クライアント証明書，コード署名用証
401-600	
¥50,000 	 明書を含む
601-800	
¥60,000 	 ü 発行枚数に制限なし
801-1000	
¥70,000 	 ü クライアント証明書とコード署名
用証明書は当面無償
1001-1200	
¥80,000 	ü ドメイン追加時には，1ドメインごとに1201-1400	
¥90,000 	 追加ドメインの額をプラス
1401-1600	
¥100,000 ü	 数年後に改訂予定
1601-1800	
¥110,000 	
1801以上	¥120,000 	
追加/ドメイン	¥20,000 	
6	} 構成員数601-‐‑‒800，1ドメイン，年年度度初め（4⽉月）から利利⽤用}

￥60,000  ×  1.08  =  ￥64,800} 構成員数601-‐‑‒800，1ドメイン，

年年度度途中（6⽉月）から利利⽤用}

￥60,000  ÷  12  ×  10  ×  1.08  =  ￥54,000} 構成員数601-‐‑‒800，3ドメイン，年年度度初め（4⽉月）から利利⽤用}7	

￥60,000  ×  1.08  +  20000  ×  2  ×  1.08  =  ￥108,000

} 新サービスへの参加申請は随時受付中

OVサーバ証明書の発⾏行行開始：2015年年1⽉月} クライアント，コード署名⽤用証明書：2015年年4⽉月}} サービス利利⽤用の更更新}

年年度度ごと更更新（各年年度度末に利利⽤用継続を確認）} 課⾦金金⽅方法

2014年年度度内（2015年年1⽉月〜～3⽉月）：無料料} 2015年年度度以降降}

}

4⽉月・5⽉月・6⽉月に利利⽤用開始した機関に，請求書を送付済み} 新サービス利利⽤用機関数  241} 証明書発⾏行行対象ドメイン数  328}
8	

およそ90％の機関が旧プロジェクトから新サービスへ移⾏行行済み

4500

4000

4000枚超	

3500

3000

2500

のべ発行数	

2000

有効数	

1500

1000

5000

2015年1月	

9	2015年2月	

2015年3月	

2015年4月	

2015年5月	

クライアント証明書	

コード署名用証明書	

90

980

870

760

650

5
のべ発行数	

40

有効数	3043202

10

100

10	

のべ発行数	
有効数	} 旧プロジェクトは，6⽉月30⽇日をもって終了了いたします} 旧プロジェクトで発⾏行行したサーバ証明書は，7⽉月1⽇日で全て失効します} 7⽉月1⽇日以降降，旧プロジェクトで発⾏行行したサーバ証明書を使⽤用しているサーバにアクセスした場合，ブラウザに警告が表⽰示されます

11	} サーバ証明書} クライアント証明書} コード署名⽤用証明書

12	}

マイクロソフト  セキュリティ  アドバイザリ  2880823（2013年年11⽉月13⽇日公開）}

マイクロソフト  ルート証明書プログラムでの  SHA-‐‑‒1  ハッシュ  アルゴリ
ズムの廃⽌止}

}「マイクロソフトは，マイクロソフト  ルート証明書プログラムのポリシーを変更更したことをお知らせします。新しいポリシーでは，2016  年年  1  ⽉月  1  ⽇日以降降，
ルート証明機関は  SSL  とコード  サイニングの⽬目的で，SHA-‐‑‒1  ハッシュ  アルゴリズムを使って  X.509  証明書を発⾏行行できなくなります。」「マイクロソフトは，証明機関が  SHA-‐‑‒1  ハッシュ  アルゴリズムを使って新しく⽣生成された証明書に署名せずに，SHA-‐‑‒2  に移⾏行行することを推奨します。また，お客様ができるだけ早い機会に  SHA-‐‑‒1  証明書を  SHA-‐‑‒2  証明書に置き換えることを推奨します。」
引用もと：https://technet.microsoft.com/ja-jp/library/security/2880823	

}

当初はSHA-‐‑‒1/2双⽅方の証明書が発⾏行行可能（3プロファイルを準備）
}
}
}

}

sha1・有効期間  2016  年年  12  ⽉月まで
sha1・有効期間  2015  年年  12  ⽉月まで
sha256・有効期間25ヶ⽉月

時期を定めてSHA-‐‑‒2への移⾏行行を進める予定
13	

NII電子証明書
サービス

A大学	
Webサーバ	

インターネット	
通信が暗号化されるから安心だね！	
確かにA大学のWebサーバだね	
学外からの利用者	
14	} 利利⽤用可能なWebサーバ}Apache} Apache(mod  ssl)  1.3} Apache(mod  ssl)  2.0} Apache-‐‑‒SSL(1.3.33+1.55)  }

Microsoft  Internet  Information  Server} IIS6.0  〜～  8.5}

Tomcat} Tomcat  5  〜～  7}IBM  HTTP  Server  7.0} 公式にはサポートしていませんが・・・・}
15	

Nginx  →  事例例集に⼿手順を掲載

} 利利⽤用可能なブラウザ

Microsoft  Internet  Explorer  8  以上} Firefox  24.0  以上} Opera  12.15  以上} Apple  Safari  6.0  以上} Google  Chrome  34.0.1847.116  以上} iOS⽤用Safari  4.0  以上} Android  4.0  以降降に対応したGoogle  Chrome}

}

平成21年年1⽉月以降降に，⽇日本の携帯電話事業者で発売された携帯電話に搭載されたWebブラウザで，ルート認証局証明書の鍵
⻑⾧長RSA2048bitに対応したブラウザ  }

16	SHA-‐‑‒1  SHA-‐‑‒2  対応機種リストをWebサイトからリンクしています確かにAさんの証明書だから許可しよう	
Webシステム等	

ネットワーク	
この証明書は僕しか持ってないよ	

NII電子証明書サービスAさん	

17	} ⽤用途認証} 署名} 暗号化}

}

電⼦子メールで使⽤用する場合は，証明書にメールアドレスを記載} 配付形態}

ユーザごとに1枚（複数端末で共⽤用）}}

端末紛失等で，当該ユーザの証明書の再発⾏行行・全端末に再インストールが必要

端末ごとに1枚}

同⼀一メールアドレスだと，電⼦子メールの暗号化利利⽤用に難あり} 利利⽤用形態

端末にストア} ICカード（Type  B等），USBトークン，SIMカード等にストア
}

}

}
18	

耐タンパ性FCF（FeliCa）等と連携

} 発⾏行行単位

ユーザごと（⼤大学担当者を経由して申請し，利利⽤用者が受領領）} ⼀一括（⼤大学担当者がまとめて申請，受領領，利利⽤用者に配布・ICカードへの登録等）}} ⼤大学のID管理理システムとの連携の考慮} 発⾏行行⽅方法}

P12⼀一括・個別} 秘密鍵をCAが⽣生成} PKCS#12のファイルとして取得}

ブラウザ発⾏行行} Web  enroll  } ブラウザ内で秘密鍵を⽣生成} ブラウザに直接インストール
19	} 利利⽤用可能なブラウザ・機器

Microsoft  Internet  Explorer  8  (Windows)  以上} Firefox  24.0  （Windows,  OS  X）  以上} Opera  12.15  (Windows,  OS  X)  以上} Apple  Safari  6.0  (OS  X)  以上} Google  Chrome  34.0.1847.116  (Windows,  OS  X)  以上} Android  4.0以上} iOS  3.1.3以上    }

} 上記全てにインストールマニュアルを提供中}
}

20	

PKCS#12のファイル取得時}

https://certs.nii.ac.jp/archive/manuals/#_̲698}

https://certs.nii.ac.jp/archive/manuals/#_̲701

ブラウザ発⾏行行時} S/MIMEとして利利⽤用可能なメーラ

Microsoft  Oﬃce  Outlook  2010以上} Windows  Live  Mail  Version  2012以上} Apple  Mail  5以上} Mozilla  Thunderbird  24.0  (Windows,  OS  X)  以上}} 上記全てにインストールマニュアルを提供中}

21	

https://certs.nii.ac.jp/archive/manuals/#_̲699

プログラムアプリなど	A大学	NII電子証明書
サービス

Webサーバ	

インターネット	
A大学の作ったプロ
グラムに間違いない	

学外からの利用者	
22	} 利利⽤用可能な形式}

Windows⽤用}

.exe形式  .cab形式  .dll形式  デバイスドライバ形式}.jar形式

Windows  PowerShell⽤用スクリプト形式} JAVA}

}}Android⽤用アプリケーション}

.apk形式}.app  bundles形式

Mac  OS  X

Microsoft  Silverlight  ベースアプリケーション形式} Adobe  AIR  形式  }

} 上記全てに利利⽤用マニュアルを提供中}
23	

https://certs.nii.ac.jp/archive/manuals/#_̲700

} 2015年年1⽉月から3⽉月にサービス利利⽤用開始した機関の登録担当者全てに，3種全ての証明書発⾏行行権限を付与済み} 今後も，申請書で明⽰示的に不不要としない限り，権限が付与されています24	} サービス利利⽤用申請

サービス利利⽤用申請書} マスタ登録依頼書}

} ドメイン申請

ドメイン申請書} 確認実施⼿手順調査票}

} 変更更申請}

変更更申請書} 登録担当者情報変更更届}

登録担当者情報変更更届

https://certs.nii.ac.jp/archive/regulations/formats/
25	

1.
2.
3.
4.
5.
6.
7.
8.

26	

「確認実施⼿手順調査票」を作成する
登録担当者を任命する「サービス利利⽤用申請書」を作成する「ドメイン申請書」を作成する
1,3,4で作成したExcelファイルをメールでサービ
ス窓⼝口に送る
内容確認完了了の通知を受領領後，郵送するNIIにて審査を実施
承認通知（利利⽤用開始⽇日記載）を受領領

} 追加} 削除} ドメイン申請（追加）の注意

初回申請時，ドメインを1つ（以上）あわせて申請する} 追加するドメインの組織名(O=)は，サービス利利⽤用申請書に記⼊入したものと同じ}

} 組織名を変えたい場合は，それぞれ別の機関としてサービス利利⽤用申請を⾏行行ってください

}

27	

機関名はWebサイト(  https://certs.nii.ac.jp  )でも確認できます※ワイルドカード証明書（例：*.domainname.ac.jp）は発行できません	28	

} 証明書発⾏行行時に，機関において実施される確認⼿手順についてご回答ください

ドメインを組織が保有または管理理していること} 登録担当者の本⼈人性・実在性} 証明書発⾏行行申請受領領時の利利⽤用管理理者本⼈人性・実在性確認} 同電⼦子証明書の管理理責任} ドメインの実在性} 機関責任者と登録担当者の担当区分を記す体制図}

29	

} 提出済みのサービス利利⽤用申請書の記載内容を変更更する際に使⽤用} 以下の場合にご提出ください
機関情報の変更更} 機関責任者の交代} 機関の区分の変更更} 構成員数の変更更} 経理理担当者の変更更}

} 機関名（英語表記）変更更の場合，ケースによっては発⾏行行済みの全ての証明書を失効する必要があります30	} ドメイン申請書の登録担当者の記載内容を変更更する際に使⽤用登録担当者の追加・削除} 登録担当者の登録情報の変更更} 登録担当者が申請できる証明書の種類の変更更}

31	

} サービス利利⽤用承認後，電⼦子証明書発⾏行行申請が可能になります} 電⼦子証明書発⾏行行申請は，登録担当者が「電⼦子証明書⾃自動発⾏行行⽀支援システム」を操作して⾏行行います

32	

} 電⼦子証明書の発⾏行行・更更新・失効申請ができます

登録担当者⽤用証明書を持つ者のみがログインできます} 登録担当者⽤用証明書は，発⾏行行を受けた者のみが使⽤用できます}

} 発⾏行行済みの電⼦子証明書に関する情報が取得できます

対象のFQDN⼀一覧} 利利⽤用管理理者の情報} サーバ証明書本体      など}

} 発⾏行行済みの電⼦子証明書に関する情報の変更更申請ができます}

33	

利利⽤用管理理者のメールアドレス      など証明書自動発行	 
支援システム	 事務局	 

登録担当者	 

①登録担当者用証明書発行申請
TSVファイルの作成・アップロード，アクセスPIN画面表示	 	 ②登録担当者用証明書取得URLの通知	 
③アクセスPIN取得の問い合わせ	 ④利用管理者情報一括ダウンロードからアクセスPINを確認	

⑤アクセスPINの通知	 

FAX または 郵送⑥証明書取得URLにアクセス	
アクセスPIN
入力あり⑧ダウンロード完了通知メール	 

34	⑦登録担当者用証明書の取得	 

SHA2 client証明書	
ベースDN：	
L = Academe-ops	
C = JP	} 電⼦子証明書発⾏行行⽀支援システムへの，電⼦子証明書申請

情報の受け渡しのために，TSVファイル形式を⽤用います} TSVファイル形式は，タブ区切切りのシンプルなファイル形式です} サーバ証明書，クライアント証明書，コード署名⽤用証明書のそれぞれで，発⾏行行・失効・更更新⽤用のTSVファイルのフォーマットが異異なります} フォーマットの詳細は，Webサイトもしくは「⽀支援システム操作⼿手順書」をご参照ください35	} サーバ証明書・クライアント証明書・コード署名⽤用証明書のそれぞれに，発⾏行行・更更新・失効申請ができます
ある主体者情報に新たに証明書が必要になった場合，発⾏行行申請を⾏行行います} ⼀一度度でも使⽤用した主体者情報を再度度使⽤用する場合，更更新申請を⾏行行います} 証明書の利利⽤用を終了了した，秘密鍵が危殆化した，などの場合，失効申請を⾏行行います}

36	

登録担当者	 

証明書自動発行	 
支援システム	 

利用者	 

利用管理者	 
①鍵ペア・CSRの作成	
②発行申請ファイルの作成	

③新規申請TSVファイル送付 	 

④審査，発行申請ファイルのアップロード	 ⑤サーバ証明書取得URLの通知	 

⑥サーバ証明書取得URLにアクセス	⑦サーバ証明書の取得	 
⑧ダウンロード完了通知メール	 

37	

Copyright © 2015 SECOM Trust Systems
Co.,Ltd. All rights reserved.	

証明書自動発行	 
支援システム	 

登録担当者	 

利用管理者	 

利用者	 ①失効申請ファイル送付	 

②審査，証明書失効申請	 

③旧証明書失効完了通知メール	 

38	

③旧証明書失効完了通知メール	 

Copyright © 2015 SECOM Trust Systems
Co.,Ltd. All rights reserved.	

証明書自動発行	 
支援システム	 

登録担当者	 

利用者	 

利用管理者	 
①鍵ペア・CSRの作成	
②発行申請ファイルの作成	

③更新申請TSVファイル送付 	 
④審査，発行申請ファイルのアップロード	 ⑤サーバ証明書取得URLの通知	 
⑥サーバ証明書取得URLにアクセス	⑦サーバ証明書の取得	 
⑧ダウンロード完了通知メール，失効申請ファイルファイル送信	 
⑨旧証明書失効申請	 
⑩旧証明書失効完了通知メール	 

39	

⑩旧証明書失効完了通知メール	 

Copyright © 2015 SECOM Trust Systems
Co.,Ltd. All rights reserved.	

}

【エラーコード】【エラーメッセージ】の形で、TSVファイル投⼊入後に表⽰示されます}

212  指定したDNはすでに存在しています。  

⼀一度度でも使⽤用した主体者DNを⽤用いて「新規発⾏行行申請」した場合に出ます} 更更新申請を⾏行行ってください}}242  主体者DNのLの値が規定のものではありません。  

主体者DNのうち，Lの値が誤っています} 新サービスでは  L=Academe  と指定してください}}}

旧プロジェクトでは  L=Academe2  としていました

201  ○○は⼊入⼒力力必須項⽬目です。  

⼊入⼒力力必須項⽬目が空欄になっています} CSR，またはTSVファイルの各項⽬目を確認してください}

40	}

216  項⽬目数が不不正です。  

TSVファイルの項⽬目数（列列数）が誤っています} TSVファイルを確認してください}}241  主体者DNの機関名が申請者の所属機関名ではありません。  

機関名が登録されたものと⼀一致していません} Webサイトで確認してください}}233  有効な証明書データがないため，更更新できません。  

更更新もと証明書の指定が誤っています} 主体者DN，シリアル番号，証明書の状態フラグを確認してください} 発⾏行行済み証明書⼀一覧（serverAll.tsvなど）をExcelで表⽰示した場合，末尾4桁が0000と表⽰示される場合がありますのでご注意ください}

41	

} 電⼦子証明書発⾏行行⽀支援システム操作⼿手順書} サーバ証明書  }

インストールマニュアル} クライアント証明書

ブラウザへのインストールマニュアル} ブラウザ発⾏行行マニュアル} 各メーラへのS/MIME証明書インストールマニュアル}} コード署名⽤用証明書}

利利⽤用マニュアル} WebサイトではPDFで公開中}
42	

各証明書のマニュアルはWord版提供も出来ます} 本サービス利利⽤用機関(※)に対し，証明書発⾏行行もとであるセコム

トラストシステムズより，EV証明書が有償で提供されます※サービスに登録したドメインである必要はありません} ご希望の機関には，セコムトラストシステムズより提供された「申請ガイド」を送付いたしますcerts@nii.ac.jp  までご依頼ください！
} 「申請ガイド」受領領以降降のEV証明書についてのお問い合わせ，発⾏行行
⼿手続き，お⽀支払い等は，セコムトラストシステムズと直接⾏行行ってください}

43	

}

クライアント証明書の活⽤用は明⽇日のセッションで！
}}

GakuNin  Session  10:00-‐‑‒12:00  @12F会議室
必聴！学術情報基盤構築のいろは  〜～電⼦子証明書発⾏行行サービス編}

クライアント証明書発⾏行行の詳細¨}

⼤大学における利利⽤用イメージ¨}

中村  素典  （NII教授）

ディスカッション¨}

松平  拓拓也  （⾦金金沢⼤大学）

UPKIパスアップデート¨}

⻄西村  健  （NII）

⽔水元  明法  （NII）

ご連絡・お問い合わせ先}

国⽴立立情報学研究所 　学術基盤課総括・連携基盤チーム（認証担当）
}
}
}

}

44	

Mail：
電話：
Web：

certs@nii.ac.jp
03-‐‑‒4212-‐‑‒2218
https://certs.nii.ac.jp

原則，サービス利利⽤用機関または利利⽤用予定機関の機関責任者・登録担当者
からお願いします