- PR -

クライアントが中間CA証明書を要求するのか否かについて

1
投稿者投稿内容
優しくなりたい
会議室デビュー日: 2007/02/05
投稿数: 8
投稿日時: 2007-02-06 19:17
クライアントが中間CA証明書を要求するのか否かについて
質問させていただきます。

ある会社のセミナー資料に、以下のように記載がありました。
-------------
SSLハンドシェーク(サーバ認証)時、サーバはサーバ証明書を
クライアントに対して送り、クライアントはそのサーバ証明書を
発行した中間CA局の証明書を(自身が)もっているかどうか確認し、
なければサーバに送ってもらう。
そして、サーバは要求された中間CA局の証明書を送る。
-------------

この記載内容に疑問を抱いております。
と言いますのも、世間の SSL サーバにアクセスし、パケットを
採取する限りでは、サーバはサーバ証明書をクライアントに
送るのと同時に、同一のパケットでチェーン証明書(中間CA証明書)を
送っているように見受けられたためです。

つまりクライアントが中間CA証明書を要求する、というのが本当か
どうかが分からないでおります。

申し訳ありません、宜しければご教示願えませんでしょうか。
どうぞ宜しくお願い致します。
angel
ぬし
会議室デビュー日: 2005/03/17
投稿数: 711
投稿日時: 2007-02-06 19:28
こんばんは。SSL/TLSの仕様として、なのかは分かりませんが。
引用:
Q&A グローバル・サーバIDの中間認証局証明書の確認についてより:
ウェブサーバに設定されている中間認証局証明書の状況を確認してください。Internet Explorerを利用して、以下 Step 1 〜 Step 2 の方法で確認できます。
【Step 1: ブラウザに用意されている中間CA局証明書の削除】
Internet Explorerには、標準でベリサインの中間認証局証明書が用意されています。
そのまま接続すると、ブラウザに入っている中間認証局証明書を利用してしまうため、まずブラウザ標準の中間CA局証明書を一時的に削除します。その後対象サイトに接続することで、ウェブサーバに設定されている中間認証局証明書を確認します。


とありますので、少なくとも IE では、クライアント ( IE ) が既に中間CA証明書を持っている場合は、サーバで持っている中間CA証明書は無視されるか、そもそも要求されないか、となるようですね。
angel
ぬし
会議室デビュー日: 2005/03/17
投稿数: 711
投稿日時: 2007-02-06 20:10
で、やはりRFCにあたるのが確実かと思い、見てみました。
英語は苦手なので、TLS1.1(RFC4346)原文ではなく、TLS1.0(RFC2246)日本語訳でご勘弁を。( 書いてあることはほぼ同じようなので )
引用:
7.3. ハンドシェイクプロトコル概要 より
Helloメッセージに続き、サーバは自身の証明書を送信する。これは、認証処理が行われる場合である。さらに、ServerKeyExchangeメッセージを送信する。


とありますので、クライアントが証明書を要求するわけではなく、サーバが自発的に証明書を送っていますね。
※クライアント証明書の場合は、サーバからの要求が先に来ますが

更に、
引用:
7.4.2. ServerCertificateメッセージ より
メッセージの構造:
opaque ASN.1Cert<1..2^24-1>;
struct {
ASN.1Cert certificate_list<0..2^24-1>;
} Certificate;

certificate_list
X.509v3証明書のシーケンス(チェイン)。送信者の証明書がリストの最初になければならない。それに続く証明書は、前の証明書を直接に証明していなければならない。証明書の検証を行うには、ルートCAの鍵が別途配布されている必要があるため、ルートCAを示す自己署名証明書は、このチェインから省略してもよい。


そもそもサーバは、最初からチェインを構成している全ての証明書 ( ルートのみ省略可 ) を一辺に送りつけていますね。

以上2点から考えると、「中間CA証明書がなければ要求する」は無さそうだと思います。

[ メッセージ編集済み 編集者: angel 編集日時 2007-02-06 20:12 ]
加納正和
ぬし
会議室デビュー日: 2004/01/28
投稿数: 332
お住まい・勤務地: 首都圏
投稿日時: 2007-02-07 00:18
引用:

優しくなりたいさんの書き込み (2007-02-06 19:17) より:

つまりクライアントが中間CA証明書を要求する、というのが本当か
どうかが分からないでおります。




それは無理だろう、に一票入れておきます。「出来る」と主張する人に
教えてもらうことになるのでしょうね。

優しくなりたい
会議室デビュー日: 2007/02/05
投稿数: 8
投稿日時: 2007-02-07 15:02
angel様
加納正和様

ご回答いただきましてありがとうございました。
十二分なご回答内容で、とても勉強になりました。
本当にありがとうございました。
今後ともどうぞ宜しくお願い致します。
1

スキルアップ/キャリアアップ(JOB@IT)