第 XIX 部
公開鍵証明書を用いた利用者認証技術

W

I

D

E

P

R

O

J

E

C

T

第 19 部
公開鍵証明書を用いた利用者認証技術

moCA ワーキンググループでは CA（Certiﬁcation

第2章

証明書利用上の改善

2.1 Web アクセスでの利用に関する改善

Authority）の振る舞いや証明書の扱いに注目し、オ2005 年以降、moCA が発行している WIDE メン

ンライン CA である moCA（members oriented CA）

バ証明書は WIDE メンバ向けの Web ページにアクの運用実験を行っている。この実験では WIDE メン

セスするための認証用として使われている。しかし

バに対する証明書の発行・失効・更新を行い、利用

この Web ページへのアクセスログを調べたところ、環境や利用法に関する情報交換を行っている。

1 月時点では 40%程度しか証明書が認証に使われて2005 年は、CA の運用体制の確立、鍵対の利用実いないことがわかった。つまり証明書の代替手段で験の継続、証明書の応用に関する情報交換という三ある共有パスワードが、高い割合で使われているこつの目標を挙げて活動を行った。しかし 2005 年は、とになる。

CA 証明書に関する既知の懸案事項が問題になった

当初、これは WIDE メンバ証明書があまり使わページの提供方法を工夫することで共有パスワード

生し、これらが活動の大部分を占めることになった。

を利用できるようにしつつ証明書の利用を促すこと

下記に、おもな活動を三つの観点から報告する。

ができることがわかった。この工夫の結果、1 ヶ月• 証明書利用上の改善

間のアクセスのうち、約 80%で WIDE メンバ証明• 運用上の問題への対応書を使った認証が行われることとなった（図 2.1）。

• MacOS&Safari ブラウザの対応

この期間にユーザからクレーム等は寄せられず、パスワード形式の認証方式から電子証明書を使った認証方式に切り替える方法の成功例と言える。
ところで、moCA では発行した証明書のデータをすぐに消去するため、同一のユーザに証明書を再度配布するためには再発行を行う必要がある。2005 年
は年間を通じて再発行の件数が少ないという傾向が

図 2.1.

WIDE メンバ限定ページ閲覧時の証明書利用率
23919

公開鍵証明書を用いた利用者認証技術

れていない状況を示していると考えられたが、Web●第 部

り、CA のサーバが故障して起動できなくなったりするなど、運用を維持するための対応作業が多く発

19

第 1 章 moCA ワーキンググループ 2005 年度の活動

w

r

t

●第 19 部 公開鍵証明書を用いた利用者認証技術

WIDE メンバ証明書再発行回数

5

a

n

n

u

a

l

r

e

p

o

図 2.2.

200

図 2.3. WIDE メンバ証明書失効回数。
見られた（図 2.2）が、有効な証明書の数の 1 割に満たなかった。

第 3 章 運用上の問題への対応(1) 秘書さん証明書の申し込み手順の問題（2 月）
秘書さん証明書の申し込みは、WIDE メンバからの証明書の提供も行われるようになった。S/MIMEの発信を想定しており、moCA ワーキンググループ

を使って暗号化されたメッセージを作成するには、送の ML 宛てとしていたが、案内が不十分なため秘書さ

信相手の証明書が必要となる。これまで WIDE メン

んが直接申し込みを行うケースがあった。この ML

バ向けにこのインタフェースは用意されていなかっは投稿制限がかかっており、WIDE メンバでない秘たが、CA ソフトウェアに付属している機能を使っ書さんが申し込みを行っても、そのメールが moCAて Web インタフェースを使って提供できるように

オペレータに届かず放置される件があった。そこでした。今後、証明書が Web サーバによる認証用だけ

案内を改善し適切に申し込みが届くようにした。

D

E

P

S/MIME を利用するための、他の WIDE メンバ

I

2.2 S/MIME の利用に関する改善

W

R

O

E

発行と同様に年間の件数を合計すると 2004 年よりも少なかった（図 2.3）
。2005 年は 1 年間の失効件数

J

C

T

2005 年の WIDE メンバ証明書の失効件数は、再でなくユーザ間の認証に使われ、用途が広がることが考えられる。

(2) WIDE メンバ証明書配付時の MIME デリミタ問題（6 月）WIDE メンバ証明書はメールの添付ファイルとして送られている。そのメールの本文には組み込み方法などの説明が書かれており、説明文の区切りに目印となる文字列が使われている。この文字列が、ユー
ザのメールソフトによって MIME の区切り文字列

240

W

I

D

E

P

R

O

J

E

C

と判断されてしまうことがあった。そのメールソフ(5) moCA ハードウェア故障による運用停止問題

トでは WIDE メンバ証明書が添付されていないよう（7 月）

moCA のハードウェアが故障し、起動できなくなっ

そこで、説明文の区切り文字列を変更し、区切りた。HDD は無事でデータの移行ができたため、別文字列と区別されるようにして、10 件ほど再発行しのハードウェアに移して仮運用することとなった。

た（図 2.2 の 7 月分参照）。

(3) サーバ証明書再発行の Web サーバの証明書有効
期限切れ問題（7 月）

moCA ではサーバ証明書の更新の際、そのサーバ

moCA のプログラムが動作する環境を構築にあたり、WIDE メンバの多大な協力があり、約 3 日間の運用停止で収拾を図ることができた。

(6) CA 証明書の符号化問題（8〜9 月）

証明書の管理者が自分自身でその申請を行い、再発

WIDE ルート CA と moCA の証明書を MacOS

行できるようになっている。そのインタフェースを付属の Web ブラウザである Safari で検証すると CA

提供している Web サーバの証明書の有効期限が切証明書でないように扱われてしまうことがわかっれており、アクセスできないという不具合が起った。

た。調査の結果、X.509v3 拡張フィールドの Basic

このサーバのサーバ証明書を更新してアクセスでConstraints に含まれる値が DER 方式ではなく、きるようにすると共に、このインタフェースを提供

BER 方式で符号化されていたことに起因することがしているプログラムを改造し、有効期限が切れた後わかった。

でもサーバ証明書を再発行できるようにした。有効DER 方式で符号化されていることを期待するプ

期限が切れた後でも 1 ヶ月前までさかのぼって再発

ログラムで具体的に不具合が生じたため、DER 方行できる。

式で符号化した値に入れ替えた CA 証明書を発行し(4) CA 証明書配付用のファイルの拡張子問題（7 月）(7) Safari を使って WIDE 合宿申し込み用 Web サーても提供しているつもりであったが不十分であった。

バにアクセスできない問題（9 月）

ユーザに公開している CA 証明書のファイルは、

WIDE 合宿の Web サーバに不具合のある CA 証

cert という文字列が最後についたファイル名で提供

明書が設定してあり、Web サーバから送られる CAされていた。しかしこのファイル名は Windows 等

証明書を優先的に使用する Web ブラウザを使うとで証明書ファイルとして識別されないため、CA 証

アクセスできない問題が起ることがわかった。

明書のインストールを行うためにファイル名を変更

CA 証明書の不具合は有効期限が切れていたためしたり、Web ブラウザ等で明示的にインストールしで、この CA 証明書がなぜ Web サーバに設定されたりする必要があった。そこで証明書ファイルの拡ていたのかは不明。CA 証明書を正しいものに置き

張子を .cer に変更し、Windows ではダブルクリック

換えることで対応した。

だけで内容が表示されるようにした。Web サーバのMIME type の設定も変更され、ダウンロードの際(6) と (7) は絡み合った問題であったため、MacOS&
Safari ブラウザの問題として次章で詳述する。

に証明書ファイルであることが認識されやすくした。
この修正により Windows では証明書の内容を表示するダイアログボックスにインストールのボタンが表示されるため、比較的容易にインストールを行

第4章

MacOS&Safari ブラウザの対応

うことができるようになった。
この時に ML でよく使われている拡張子の種類と内容に関する情報交換が行われたが、CA 証明書の組み込みを容易にするためのガイド等の作成は課題として残ることになった。

4.1 概要PKI（Public Key Infrastructure）技術を用いた WIDE プロジェクト内部向け認証インフラの一つである moCA（members oriented Certiﬁcation
24119

公開鍵証明書を用いた利用者認証技術て配付しているが、WIDE メンバ以外のユーザに向け●第 部

CA 証明書は、通常 WIDE メンバ証明書に添付した。この対応にともない CA 証明書のフィンガープ
リントをユーザに再周知した。

19に見えてしまった。

Tw

●第 19 部 公開鍵証明書を用いた利用者認証技術

Authority）では、WIDE メンバに対して毎年 WIDE
メンバ証明書を発行して配付している。WIDE メ

4.3 調査および分析

ンバが普段利用している端末の OS は、Windows、

4.3.1 証明書の符号化の調査

UNIX、MacOS などさまざまであることから、WIDE2005 年 8 月、WIDE の CA 証明書とそれ以外

メンバ証明書はさまざまな OS とブラウザの組み合の機関の CA 証明書を比較していたメンバから、いるのではないかと指摘があった。

ブラウザと表記）、WIDE メンバ証明書を利用すると特定の Web サーバへのアクセスに失敗する場合

basicConstraints 拡張フィールドとは、当該証明があることが報告されていた。この問題を解決すべ

書が CA 証明書か否かを示すためのフィールドで、

く 2005 年 8 月に調査を行った結果、WIDE で発行

RFC3280[109] では下記の ASN.1 表記で定義されてしている CA 証明書の符号化方法が正しくないこと

いる：

r

e

p

t

basicConstraints 拡張フィールドの符号化が誤って

r

WIDE の CA 証明書のフィールドのうち、X.509 のo

わせで利用されてきた。しかし、以前から MacOS 上
でブラウザに Safari を用いて（以下、MacOS&Safari

BasicConstraints ::= SEQUENCE {INTEGER (0..MAX)
OPTIONAL }napathLenConstraint

WIDE ROOT CA 証明書、moCA 証明書について

au

BOOLEANDEFAULT FALSE,

それぞれ正規の証明書を 2 種類利用するという形でこのフィールドではその証明書が CA 証明書であ5付による混乱を避ける方法を検討した。その結果、

cAの運用を行うことで解決できることが判明したため、る場合、BasicConstraints.cA の値を TRUE とする

0

本問題への対処として CA 証明書の再発行が必要となったため、moCA WG では CA 証明書の再配nlが主因であることが判明した。

2005 年 9 月に上記手法を用いての対策を実施した。

必要がある。

4.2 MacOS&Safari ブラウザの組み合わせで Web（Distinguished Encoding Rule）形式で符号化する

アクセスに失敗する問題こととなっており、DER 符号化に関して定義してい

WIDE メンバ証明書を使って Web アクセスが行る X.690[121] によれば、BOOLEAN TRUE は 0xﬀ

EJO

wide-confidential/ ）や WIDE 合宿申し込み用サーR

バなどがある。かねてより、MacOS&Safari ブラウ
ザの組み合わせで操作した場合、WIDE 合宿申し込“If the encoding represents the boolean value
TRUE, its single contents octet shall have all eightbits set to one.”（ [121] 11.1 Boolean values より）
ところが、WIDE の CA 証明書では、BOOLEANいた。そのため、WIDE 合宿申し込み用サーバの設

TRUE を DER 形式ではなく BER（Basic Encoding

定チェックを一度実施したが、原因はつかめなかっRule）形式による符号化にしたがって 0x01 と符号た。具体的な不具合を下記に記載する：

化していた。本件は Challenge PKI 2001[142] に参(a) CA 証明書を MacOS の Keychain に登録して加した際にも、個別に指摘を受けたことがあったが、いても、（証明書を利用しようとするたびに）無当時は具体的な不具合が見られなかったことから、効な機関により署名されていますという警告表

WIDE ROOT CA や moCA の証明書について修正示が出る。

をしていなかった。今回の指摘により、MacOS にD

E

み用サーバへのアクセスが拒否されると報告されてI

メンバ専用サーバ（https://member.wide.ad.jp/と符号化しなくてはならない：

W

えるよう設定されている Web サーバには、WIDE

P

C

T

2

0

X.509 形式の証明書では、拡張フィールドを DER(b) WIDE 合宿申し込みサーバへのアクセスだけ拒おける証明書ライブラリの BOOLEAN 解釈が厳格否される（他のサーバを利用する場合には、アであり、WIDE ROOT CA 証明書や moCA 証明書

クセスできる）。

が「CA 証明書ではない」と解釈されて Web アクセ

この問題のため、MacOS を使っている人が WIDE
メンバ証明書を使って WIDE 合宿申し込みを行う

ス自体を拒否されている可能性が高いことがわかってきた。

には、例えば Mozilla などの別のブラウザをインス

そこで、まずはワーキンググループ内での実験としトールする必要があり不便な状況となっていた。

て、WIDE ROOT CA 証明書や moCA 証明書につ

242

W

いて basicConstraints 拡張フィールドの符号化を修

I

D

E

P

R

O

J

E

C

T

4.3.3 問題の分析正した版を作成し、MacOS&Safari ブラウザの環境(a) と (b) の問題は相互に絡みあっていた。たとにインストールして Web アクセスを試みた。RFC

えば、SSL のクライアント認証時には、サーバ側に3280 の 6.1.1 に記載されている内容から、ROOT CA

moCA 証明書が必要になる。クライアント認証の際、証明書の解釈については特別扱いをしている可能性

moCA 証明書はクライアントから送信されるか、サーがあるため、moCA の証明書のみを修正すれば不具バの証明書データベースに登録されているものが使合が解消されると実験開始前は予想していたが、結われる（どちらを優先するかは実装による）。(a) に果として WIDE ROOT CA および moCA の証明書

より、moCA 証明書は CA 証明書と認識されていなの両方とも修正する必要があった。以上で、(a) の解いため、クライアントからは送信されない。この場

決策が見つかり、(a) を解決すると、(b) も解決され合、サーバの証明書データベースの moCA 証明書がることがわかった。

使われるはずだが、有効期限切れとなっており正しく利用できるものではなかった。そのため、クライ

4.3.2 サーバ設定の調査

アント認証の確認が失敗してしまう（図 4.1）
。これを解決するには、(a) を解決するか、サーバ側に設定する CA 証明書を最新にするかが必要である。
また、moCA では、WIDE メンバ証明書だけでな切れとなっていることがわかった。そのためサーバ

く Web サーバの証明書も発行しており、サーバ認に設定する CA 証明書を符号化修正版にし、期限切証でもクライアント認証でも moCA 証明書が必要れの物を更新することで問題を解決した。なお、有になる。したがって、サーバ認証の場合もクライア

効期限切れとなっていた moCA 証明書は、テスト用

ント認証と同様に失敗する。サーバが Apache の場に臨時発行されたもので正式な証明書ではなかった。

合、CA 証明書が有効期限切れになると、SSL 実行

サーバの SSL 設定の際に誤って配付した可能性があ時にサーバからブラウザに対して CA 証明書を送信るが原因を究明するには至らなかった。

しないことを調査中に確認した。なお、サーバ認証

図 4.1. MacOS&Safari の問題分析結果
243

19

公開鍵証明書を用いた利用者認証技術に失敗した場合は、Apache サーバの設定によって●第 部側に設定されている moCA 証明書が古く、有効期限

19(b) の解決のため、WIDE 合宿申し込みサーバの設定を 2005 年 9 月に調査した。その結果、サーバw

●第 19 部 公開鍵証明書を用いた利用者認証技術

表 4.1.

MacOS&Safari 問題の調査結果のまとめ

ブラウザに、符号化修正前の WIDE ROOT CA 証明書、moCA 証明書を登録したときブラウザによる CA 証明書解釈

WIDE ROOT CA

moCA

符号化修正前（通常）

期限切れ

サーバアクセス OK
Safari on MacOS X CA でない（警告） CA でない（警告）（警告は出る）

サーバアクセス NG

Internet Explorer
6.0 on Windows

サーバアクセス OK

CA

サーバアクセス OK

CA

ブラウザに、符号化修正後の WIDE ROOT CA 証明書、moCA 証明書を登録したときブラウザの種類

WIDE ROOT CA

moCA

符号化修正前（従来）

期限切れ

符号化修正版

re

サーバに設定されている moCA 証明書の状態（Apache サーバ）

ブラウザによる CA 証明書解釈

p

o

r

t

ブラウザの種類

サーバに設定されている moCA 証
明書の状態（Apache サーバ）

CA

Internet Explorer
6.0 on WindowsCA

サーバアクセス OK

CA

サーバアクセス OK サーバアクセス OK
サーバアクセス OK サーバアクセス OK

n

書の正当性を確認するためのフィンガープリント情

MacOS&Safari ブラウザは、サーバから送信される

0

さらに、サーバから CA 証明書が送信される場合、

moCA 証明書を優先して認証確認を行うことを確認

2

5

CA 証明書をブラウザにインストールする際に証明アクセス NG となるとは限らない。

0

ページを表示するかどうかを選択できるため即 Web

a

n

u

a

l

Safari on MacOS X CA

サーバアクセス OK（警告は出る）した。そのため、ブラウザ側だけが moCA 証明書

報が 2 種類存在することになった旨のアナウンスも同時に行った（付録参照）。

4.5 まとめ

今回の検討と対策の実施により MacOS & Safari ブも同様に修正版にしないと警告表示は出ることがわ

ラウザの組み合わせでも警告が出ることなく WIDE

かった。

メンバ証明書を利用できるようになった。また、付随J

これらの調査結果をまとめると表 4.1 のようになする効果として MacOS X 標準で付いてくる Mail.app

Oる。今回は、根本的に問題を解決するため、(a) の解

で S/MIME による暗号メールが WIDE/moCA 発

R

E

C

T

を符号化修正版にすればよい訳ではなく、サーバ側決策から先に実施した。

行の証明書を用いて利用できるようになった。

P

不具合の主因と判明した X.509 形式の証明書の符号化問題は以前から指摘されていたが、具体的な不具合が出てもすぐには符号化問題との関係がわからず、I

具体的な調査に入る前に長時間が経過してしまった。

な問題となる。CA 証明書は、WIDE メンバ証明書

CA 証明書の再発行と再配付は困難であるという気を毎年配付する際に一緒に配付しているため、同じ持ちが、余計に対処を遅らせることになった点は反省手段を使って配付することはできる。しかし、すべしなければならない。なお、今回は MacOS&Safariての環境で不具合が出る訳ではないため、WIDE メ

固有の現象だけでなく、サーバ側の設定の問題も絡

ンバ全員に配付しなおすと混乱を招く可能性がある。

んでいたため問題が大きくなったが、Web アクセス

そこで、MacOS ユーザに向けて CA 証明書の修正に失敗するほどの問題は他ではほぼ起きないであろD

調査により、(a) の解決策として CA 証明書の再発行が必要となったが、この場合再配付の方法が大きWE

4.4 対処方法版を提供する旨のアナウンスを行うが、それ以外のうと考えられる。

ユーザは作業不要で従来どおりの CA 証明書を引き

不具合の対処として必要となった CA 証明書の再続き使えるようにした（この方法で問題が起きないこ

配付については、運用方法との関わりで気づいた点

とも実験期間に確認した）。つまり、WIDE ROOTがあった。moCA WG の運用実験では、個人の証明

CA 証明書と moCA 証明書に関してはそれぞれ 2 種

書の有効期間を 1 年に設定した上で、ユーザに配付類の証明書を正規に持つことになった。そのため、している。この更新した個人証明書を配付する際に、

244

W

必ず CA 証明書（WIDE ROOT CA および moCA）
をも再配付している。これは、ユーザにとっては全く負担がかからず、最新の CA 証明書をユーザに配

I

D

E

P

R

O

J

E

C

T

moCA WG より重要なお知らせです。
MacOS X & Safari をお使いの皆様へ付できるというメリットがある。このような運用方

これまで WIDE メンバ証明書を使った WIDE 合法を採用しているため、今回のように CA 証明書の宿申し込みページへのアクセスができないと報告を再配付を必要とするような場合でも、最長でも 1 年受けておりました。

で CA 証明書が更新されることが期待できる。今後

原因がわからず対策を打てないままご不便をおかもさまざまな経験を積みながら、運用上合理的な CA

けしていましたが、このたび対処方法が見つかりまを追求してゆきたい。

したので、対処内容をリリースさせていただきます。
他の皆様へ

謝辞

PKI の普及という目標を理解してくださり、運用

下記不具合のない方につきましては、対処の必要

上の不具合にも関わらず調査へのご協力やフィードはありません。ただし、今回の対処により、CA 証明

バックをしてくださっている WIDE プロジェクトの書、具体的には、WIDE ROOT CA 証明書、moCA

皆様に深く感謝いたします。

証明書についてそれぞれ正規の証明書が 2 種類という形での運用となります。従って、フィンガープリ
ントを確認される場合には注意が必要となります。

第 5 章 まとめ現在の段階では、正規の証明書が 2 種類有っても利用上の問題は発生しないことを moCA WG 内の実験で確認しております。

でとの違いであった。トラブルシューティングにあり、次回の証明書更新の際には、問題対処済みの証

19

明書に置き換えることになります。

たっても WIDE メンバからの数多くの支援を得るこ今後の WIDE メンバ証明書配付や、Web サーバ証とができ、ML での議論を通じて問題となる内容が明書配付では今回の対処で発行した「符号化問題対明文化されたり、迅速な復旧が図られることとなっ応版」の CA 証明書を配付するように移行していきた。2004 年以降の “運用体制の確立” といった課題がます。なお、Web サーバに設定している CA 証明書

2006 年に持ち越しとなったものの、moCA が WIDE

も、
「符号化問題対応版」に入れ替えていただくよう

メンバの間で電子認証のインフラとして認知され、取に別途お勧めしていきます。

り入れられつつあることが感じられた一年であった。

2006 年 6 月は、ルート CA 証明書の期限切れにともない、CA の鍵変更を予定している。スムーズな
鍵変更のためにも、運用の信頼度を上げるためにも、効率的な運用を行うためにも、さまざまな改善と工夫を凝らしていきたい。

以上、よろしくお願い致します。

問題解決のためのガイド（日本語版）［対処により不具合が解消される端末環境］

MacOS X & Safari
現時点では MacOS X 10.3（Panther）及び MacOS

付録 A

アナウンス内容（2005 年 9 月 5 日）

X 10.4（Tiger）のみで確認しております。
［解消される不具合］

WIDE メンバ証明書を使った WIDE 合宿申し込み(Japanese message is followed by English one.)サーバ “https://widecamp.e-side.co.jp/” へ245

19

キンググループメンバ以外からであったことが今ま

現在判明した問題点を解決するための経過措置であ

公開鍵証明書を用いた利用者認証技術となってしまったが、問題の指摘のいくつかはワー

この 2 種類の正規証明書という形態は、あくまでも●第 部

運用上の問題が多発し、その対応に追われることw

●第 19 部 公開鍵証明書を用いた利用者認証技術のアクセスを拒否される［今回の対処を実施するメリット］

MacOS X 標準で付いてくる Mail.app で、SMIMEが利用できるようになります。
また、今後、（WIDE 関連の）SSL 対応 Web サーro

クセス時の警告「無効な機関により署名されています」が表示されなくなります。

la

正確な原因究明がまだ必要です。しかし、端末側でも下記の問題があり、下記を解決すると、不具合を回避できることがわかりました。

キーチェーンアクセスは「アプリケーションフォ
ルダー下のユーティリティーフォルダ」にあります。X509Anchors を変更する際には特権ユー
ザーのパスワードが必要となります。

2. 新しい moCA 証明書をキーチェーン「ログイン」に追加する。

http://moca.wide.ad.jp/
moca-for-macos050818.cer
3. 新しい WIDE ROOT CA 証明書をキーチェー
ン「X509Anchors」に追加する。

http://member.wide.ad.jp/wg/moca/
wideroot-for-macos050822.cer(b) Panther やそれより前の場合

a5

いないものの）WIDE ROOT CA 証明書、moCA

0

証明書の符号化に問題があり、MacOS X & Safari
では、CA の証明書と認識できていなかった。

1. キーチェーンアクセスを使って、キーチェーン「ログイン」やキーチェーン「X509Anchors」から以前にインストールした moCA 証明書、WIDE

ROOT CA 証明書を消す。

2（Internet Explorer, Mozilla 等では不具合が出て

0n

直接はサーバ側の設定が影響していると思われ、

u

［原因］

n

r

e

透すると、WIDE メンバ専用ページへの最初のアptバで「符号化問題対応版」の CA 証明書設定が浸ROOT CA 証明書を消す。

2. 証明書キーチェーンがない場合、「キーチェーンを追加」で、E/System/Library/Keychains/X509Anchors

J

明書の入れ替えを行ってください。WIDE ROOT

（ルート CA）

O

CA 証明書を X509 Anchors に入れるのがコツ/System/Library/Keychains/X509Certiﬁcatesです。

（中間 CA）

P

C

WIDE ROOT CA 証明書と moCA 証明書の符号化問題対応版をリリースします。これらの CA 証

R

T

［対処方法］

Eリント

3. 新しい moCA 証明書をキーチェーン

D

SHA1 フィンガープリント「X509Certiﬁcates」に追加する。

I

を追加。

be 97 ae 7f c0 37 d2 cb c5 f2 3b eb d3 2c f5 07

http://moca.wide.ad.jp/

W

新しい WIDE ROOT CA 証明書のフィンガープ

74 c3 ef fe

moca-for-macos050818.cer

新しい moCA 証明書のフィンガープリント

4. 新しい WIDE ROOT CA 証明書をキーチェーン

SHA1 フィンガープリント：「X509Anchors」に追加する。

27 fa 6b c3 25 6d 4f 0f 6b 3d f2 a5 b6 8a 83 0a

http://member.wide.ad.jp/wg/moca/

53 33 7f 45

wideroot-for-macos050822.cer(a) Tiger の場合［さらなる調査について］

1. キーチェーンアクセスを使って、キーチェーン

今後、より正確な原因究明の調査を行い、別途レ「ログイン」やキーチェーン「X509Anchors」からポートにまとめる予定です。

以前にインストールした moCA 証明書、WIDE

246

W

［関連 URL］

I

D

E

P

R

O

J

E

C

T

MacOS X 10.3 (Panther) and 10.4 (Tiger).

http://member.wide.ad.jp/wg/moca/[the additional merit of this ﬁx]

wide root ca.html
http://moca.wide.ad.jp/

1. S/MIME with Mail.app can be used.

日本語版は以上+++

This is an IMPORTANT notice from moCA
Working Group.

2. The warning message “This certiﬁcate issigned by invalid authority.” won’t be seen
after a while when the WIDE members only
page is accessed with Safari.
[the cause of the problem]

MacOS X & Safari users,
Some people have reported to the moCA WG thatfurther investigation is needed, though it’s

they couldn’t access to the WIDE camp applica-

anticipated something wrong is server side’stion page. Through our investigation, one mea-

conﬁguration.

sure has been found and is released now.
So, please follow the guide described below.

Any action is not required if you don’t experience
the same problem, but please let us announce thatcertiﬁcates, ∗∗∗ both of which are correct ∗∗∗.
Just be careful when you conﬁrm the CA ﬁngerplayed on the moCA WG web pages.
Any problem due to the existence of two kindsof CA certiﬁcates wasn’t revealed through several
experiments within moCA WG.

encoding problem is related to the ﬁx of theaccess problem. So, the ﬁx of encoding problem
is released at ﬁrst.

19[the measure]
Replace the WIDE ROOT CA certiﬁcate andthe moCA certiﬁcate to the new ones, which arecalled “encoding problem ﬁxed version” certiﬁcates. The key point is to install the WIDE
ROOT CA certiﬁcate to the “X509 Anchors”.

This status is temporal. By the next key update,the changeover will be gradually progressed andeach CA will have only one certiﬁcate again.

The ﬁngerprint of new WIDE ROOT CA certiﬁcate
SHA1 ﬁngerprint:
be 97 ae 7f c0 37 d2 cb c5 f2 3b eb d3 2c f5 07

Apology for your inconvenience,

74 c3 ef femoCA Working Group◦◦The guide to ﬁx the WIDE camp web page(https://widecamp.e-side.co.jp/) access problem[the target PC environment]
MacOS X & Safari
the moCA WG has examined the versions of

The ﬁngerprint of new moCA certiﬁcate
SHA1 ﬁngerprint:
27 fa 6b c3 25 6d 4f 0f 6b 3d f2 a5 b6 8a 83 0a
53 33 7f 45(a) in case of Tiger
1. remove the old WIDE ROOT CA and moCA
certiﬁcates using KeyChain access.

247

公開鍵証明書を用いた利用者認証技術

prints, because two kinds of ﬁngerprints are dis-

MacOS X and Safari environment. This ﬁx of●第 部

the WIDE ROOT CA and moCA each have two◦

ROOT CA and the moCA certiﬁcates and thesecertiﬁcates aren’t accepted as CA certiﬁcates in

All other WIDE members,◦

But encoding problem is found in the WIDE

19

+

w

●第 19 部 公開鍵証明書を用いた利用者認証技術

These certiﬁcates might be installed in“Login” or “X509 Anchors”.
KeyChain access is found in “utility folder”

付録 B フィンガープリントの一覧

under “application folder”. The root privilege
is required when “X.509 Anchors” is changed.
概要

The URL is http://moca.wide.ad.jp/

用した認証は、公開鍵を使って作成された電子署名

moca-for-macos050818.cerを検証することで行われるため、その公開鍵が正しr

The URL is http://member.wide.ad.jp/wg/
moca/wideroot-for-macos050822.cer

認証局が発行した証明書を検証するには、検証を行うもの（検証者）が各認証局の証明書を原本と違わないように保持している必要がある。

moCA では、moCA 対応のサーバ（クライアント
認証を有効にした SSL 等のサーバ）を認証したり、n(b) in case of Panther or older version

く検証者に渡っていなければならない。WIDE の各

WIDE メンバ同士が電子メールのやり取りを行って

a

n

u

tiﬁcate to KeyChain “X509 Anchors”.

l

3. Please install the new WIDE ROOT CA cer-

a

e

p

o

t

PKI は公開鍵を使った認証技術である。PKI を利KeyChain “Login”.

r

2. Please install the new moCA certiﬁcate to

相手を認証したりすることを証明書の利用場面とし

5

These certiﬁcates might be installed in0certiﬁcates using KeyChain access.

0

1. remove the old WIDE ROOT CA and moCA

2

“Login” or “X509 Anchors”.

り、また moCA 対応のサーバも検証者である。
ここでは、WIDE における証明書の検証者が予め入手した認証局の証明書を検証することができるよ
うに ﬁngerprint をまとめる。Web ブラウザの CA
証明書表示機能、または認証局の証明書を PEM 形

E/System/Library/Keychains/X509Anchors式で保存し、OpenSSL を利用して表示する機能をJ(for root CAs)

使って、保持している証明書が原本と相違のないかO/System/Library/Keychains/X509Certiﬁcates

どうかを確認することができる。

(for subordinated CA)PC

doesn’t exist. add

RT

2. “Add KeyChain” if the certiﬁcate KeyChainて想定している。従って WIDE メンバは検証者であE

The URL is http://moca.wide.ad.jp/

I

KeyChain “X509Certiﬁcates”.

D

3. Please install the new moCA certiﬁcate toWmoca-for-macos050818.cer
4. Please install the new WIDE ROOT CA cer-

フィンガープリントの計算方法には SHA5 と MD5の二種類がある。そのため後述する一覧では二種類の値を記述しておく。しかし、どちらか一方を使って確認するだけでよい。なお、Windows の証明書の表示では SHA1 の値が表示され、Netscape では

MD5 が、Mozilla の場合は SHA1 と MD5 の両方が表示される。

tiﬁcate to KeyChain “X509 Anchors”.
The URL is http://member.wide.ad.jp/wg/
moca/wideroot-for-macos050822.cer

フィンガープリント一覧
以下に、2006 年 1 月現在の各 CA 鍵のフィンガー
プリントを示す。WIDE ROOT CA および moCA

[related URL (japanese only)]

は、正規の証明書が 2 種類あることに注意していた

http://member.wide.ad.jp/wg/moca/

だきたい。

wide root ca.html

WIDE ROOT CA（符号化問題対応版）

http://moca.wide.ad.jp/

SHA1 フィンガープリント
be97 ae7f c037 d2cb c5f2 3beb d32c f507 74c3
eﬀe

248

W

I

D

E

P

R

O

J

E

C

T

MD5 フィンガープリント
A0:17:BA:50:A4:FF:1D:32:3B:52:40:94:C5:
4F:C0:B0
WIDE ROOT CASHA1 フィンガープリント
3560 185D 83DC CBB7 0EBB 45AD 1E9B
F529 A816 0562
MD5 フィンガープリント
2B:68:BD:1B:26:28:2A:AC:CF:F3:45:90:1D:
6C:2A:9C
moCA （符号化問題対応版）
SHA1 フィンガープリント
27fa 6bc3 256d 4f0f 6b3d f2a5 b68a 830a 5333
7f45
MD5 フィンガープリント
1F:37:AA:3A:FE:5B:CF:C5:FC:37:46:7C:D6:
74:73:DBmoCA
SHA1 フィンガープリント
487E 16E1 746E 5C16 8A7D C55D DE80
37E8 9241 7FA3
●第 部

MD5 フィンガープリント
17:FD:D2:8A:C2:36:5D:0E:0B:A7:69:BC:9D:

公開鍵証明書を用いた利用者認証技術

SOI CASHA1 フィンガープリント
0A92 34A8 B589 C835 6101 3151 CBC6 4F18
1ACE 6D4D
MD5 フィンガープリント
7B:23:02:D1:76:37:44:81:76:35:DA:8A:51:
BF:B5:48
AI3 CA（休止中）
SHA1 フィンガープリント
0AE8 76F5 7240 BA67 99B9 A200 C94C 1650
FBB5 29F0
MD5 フィンガープリント
19:89:C9:CF:D5:E1:8F:E1:65:51:92:72:A2:
49:96:0F

249

19

19

7F:E6:97w