トランスポート層セキュリティ - 版の履歴

Kusanaginoturugi: Category:トランスポート層セキュリティ

2024-08-14T13:29:58Z

← 古い版		2024年8月14日 (水) 22:29時点における版
1行目:		1行目:
	[[Category:~~Transport Layer Security~~]]		[[Category:トランスポート層セキュリティ]]
	[[en:Transport Layer Security]]		[[en:Transport Layer Security]]
	[[Wikipedia:ja:Transport Layer Security\|Wikipedia]] より:		[[Wikipedia:ja:Transport Layer Security\|Wikipedia]] より:

Kusanaginoturugi: Kusanaginoturugi がページ「Transport Layer Security」を「トランスポート層セキュリティ」に移動しました

2024-08-14T13:03:41Z

Kusanaginoturugi がページ「Transport Layer Security」を「トランスポート層セキュリティ」に移動しました

← 古い版		2024年8月14日 (水) 22:03時点における版
(相違点なし)

Shota: /* 信頼管理 */ 英語版に合わせて管理方法のいくつかの例を追加。英語版からの翻訳。

2023-01-02T03:37:11Z

信頼管理: 英語版に合わせて管理方法のいくつかの例を追加。英語版からの翻訳。

← 古い版		2023年1月2日 (月) 12:37時点における版
56行目:		56行目:
	== 信頼管理 ==		== 信頼管理 ==

			信頼管理のために {{man\|1\|trust}} というユーティリティが提供されています。 {{ic\|trust-policy: yes}} と設定され {{ic\|priority:}} の設定と共に保存されている [[Wikipedia:PKCS 11\|PKCS #11]] モジュールのリストを元に動作します。モジュールの設定の詳細については {{man\|5\|pkcs11.conf}} を参照して下さい.
	認証局のブラックリストを管理する方法は[[セキュリティ#SSL 証明書の管理]]を見てください。

			{{Note\| [[Wikipedia:PKCS 11\|PKCS #11]] インターフェースをサポートしていないライブラリーでの管理状態を修正した場合、毎回 {{man\|8\|update-ca-trust}} を実行して下さい。}}
	=== システム全体で認証局を信頼 ===

			{{Tip\|{{man\|1\|p11tool}} や {{man\|1\|pkcs11-tool}} といった [[Wikipedia:PKCS 11\|PKCS #11]] モジュールの操作のための、統合的なツールを使って管理する事も可能です。}}
	{{Warning\|以下のコマンドを実行すると誰でも秘密鍵にアクセスして TLS 通信を傍受できるようになります。}}

			=== 信頼された証明書のリスト ===
⚫	# trust anchor ''certificate''.crt

			$ trust list
	上記は [[プロキシ設定#HTTPS MITM プロキシ\|HTTPS MITM プロキシ]]で通信を傍受するのに必要です。

			=== 信頼された証明書のリストへ追加する方法 ===

		⚫	# trust anchor ''certificate.crt''

			証明書は、 [https://github.com/p11-glue/p11-kit/blob/master/doc/internal/persist-format.txt persistence] フォーマットあるいは、 DER や PEM フォーマット ('''OpenSSL''' がサポートする ''trusted certificate'' フォーマットを含む) でリストされている必要があります。このコマンドは、証明書をモジュールリストの一番始めの書き込み可能なトークンとして追加します。

			{{Warning\|この方法はシステムの全ユーザが秘密鍵にアクセスする事を可能とし、TLS トラフィックの傍受ができ得る状態になります。詳細は [[プロキシサーバー#HTTPS MITM プロキシ\|HTTPS MITM プロキシ]] を参照して下さい。}}

			=== 信頼された証明書のリストからの削除 ===

			$ trust anchor --remove 'pkcs11:id=''%00%11%22%33%44%55%66%77%88%99%AA%BB%CC%DD%EE%FF%00%11%22%33'';type=cert'

			=== デフォルトの証明書リストの上書き ===

			{{ic\|/usr/share/ca-certificates/trust-source/}} にある証明書のトークンは書き込み制限が掛けられているため、デフォルトの証明書を無効化するためには次の様なコマンドを使います:

			$ trust extract --format=pem-bundle --filter='pkcs11:id=''%00%11%22%33%44%55%66%77%88%99%AA%BB%CC%DD%EE%FF%00%11%22%33'';type=cert' /etc/ca-certificates/trust-source/blocklist/untrusted_authority.pem

	== 証明書を取得 ==		== 証明書を取得 ==

Shota: /* CA 証明書のデフォルトセットをロードするためのメカニズムの概要 */ ノートを英語版から追記

2023-01-02T02:54:05Z

CA 証明書のデフォルトセットをロードするためのメカニズムの概要: ノートを英語版から追記

← 古い版		2023年1月2日 (月) 11:54時点における版
51行目:		51行目:
	\|デフォルトのファイルは {{ic\|/etc/libressl/cert.pem}} で、デフォルトのディレクトリは {{ic \|/etc/libressl/certs/}} です。		\|デフォルトのファイルは {{ic\|/etc/libressl/cert.pem}} で、デフォルトのディレクトリは {{ic \|/etc/libressl/certs/}} です。
	\|}		\|}

			{{Note\| 現在、[[Wikipedia:LibreSSL\|LibreSSL]] は独自の CA 証明書のリストを使っています。詳細は {{Bug\|69298}} を参照して下さい。}}

	== 信頼管理 ==		== 信頼管理 ==

Shota: /* 認証局 */ 日本語訳の改善

2023-01-02T02:51:16Z

認証局: 日本語訳の改善

← 古い版		2023年1月2日 (月) 11:51時点における版
16行目:		16行目:
	== 認証局 ==		== 認証局 ==

	TLS では、一連の[[Wikipedia:Certificate authority\|認証局]]（CA）の 1 つが、サーバーからの[[Wikipedia:public key certificate\|公開鍵証明書]]の信頼性をチェックし、署名します。TLS でサーバーに接続するクライアントは、CA の電子署名~~に依存し~~て、その証明書の信頼性を確認することができます。電子署名を確認するために、クライアントは別の経路で取得し、自己署名証明書として保存された CA の公開鍵を持っている必要があります。Arch Linux では CA 証明書のデフォルトセットは {{Pkg\|ca-certificates}} パッケージで提供されています。		TLS では、一連の[[Wikipedia:Certificate authority\|認証局]]（CA）の 1 つが、サーバーからの[[Wikipedia:public key certificate\|公開鍵証明書]]の信頼性をチェックし署名します。TLS でサーバーに接続するクライアントは、CA の電子署名を通じて、その証明書の信頼性を確認することができます。電子署名を確認するために、クライアントは、別の経路から取得し自己署名証明書として保存された CA の公開鍵を持っている必要があります。Arch Linux では CA 証明書のデフォルトセットは {{Pkg\|ca-certificates}} パッケージで提供されています。

	{{Note\|現在、Arch Linux は [[MozillaWiki:CA\|Mozilla CA Certificate Store]] からの CA 証明書をデフォルトセットとして使用しています。}}		{{Note\|現在、Arch Linux は [[MozillaWiki:CA\|Mozilla CA Certificate Store]] からの CA 証明書をデフォルトセットとして使用しています。}}
24行目:		24行目:
	コマンドラインからインターフェースを使用するために、{{Pkg\|p11-kit}} パッケージは {{man\|1\|trust}} ユーティリティを提供します。		コマンドラインからインターフェースを使用するために、{{Pkg\|p11-kit}} パッケージは {{man\|1\|trust}} ユーティリティを提供します。

	[[Wikipedia:PKCS 11\|PKCS #11]] に移植され~~ておらず，CA 証明書の管理に独自の論理を使用し~~ているライブラリのために、{{Pkg\|ca-certificates-utils}} パッケージは {{man\|8\|update-ca-trust}} スクリプトを提供し，集中管理インタフェースを通して得られた CA 証明書を {{ic\|/etc/ca-certificates/extracted/}} と {{ic\|/etc/ssl/certs/}} にコピーします。		CA 証明書の管理に独自の論理を使用しており [[Wikipedia:PKCS 11\|PKCS #11]] に移植されていないライブラリのために、{{Pkg\|ca-certificates-utils}} パッケージは {{man\|8\|update-ca-trust}} スクリプトを提供し、集中管理インタフェースを通して得られた CA 証明書を {{ic\|/etc/ca-certificates/extracted/}} と {{ic\|/etc/ssl/certs/}} にコピーします。

	=== CA 証明書のデフォルトセットをロードするためのメカニズムの概要 ===		=== CA 証明書のデフォルトセットをロードするためのメカニズムの概要 ===

Shota: /* 実装 */ NSS のリンクが切れていたので修正。英語版のリンクでリダイレクトされた先に置き換えた。

2023-01-02T02:43:58Z

実装: NSS のリンクが切れていたので修正。英語版のリンクでリダイレクトされた先に置き換えた。

← 古い版		2023年1月2日 (月) 11:43時点における版
10行目:		10行目:
	* {{App\|[[OpenSSL]]\|堅牢・商業品質・フル機能の TLS と SSL プロトコルのツールキット。汎用の暗号ライブラリでもあります。\|https://www.openssl.org/\|{{Pkg\|openssl}}}}		* {{App\|[[OpenSSL]]\|堅牢・商業品質・フル機能の TLS と SSL プロトコルのツールキット。汎用の暗号ライブラリでもあります。\|https://www.openssl.org/\|{{Pkg\|openssl}}}}
	* {{App\|[[GnuTLS]]\|TLS, SSL, DTLS プロトコルのフリーソフトウェア実装。X.509, PKCS #12, OpenPGP などの API を提供します。\|https://www.gnutls.org/\|{{Pkg\|gnutls}}}}		* {{App\|[[GnuTLS]]\|TLS, SSL, DTLS プロトコルのフリーソフトウェア実装。X.509, PKCS #12, OpenPGP などの API を提供します。\|https://www.gnutls.org/\|{{Pkg\|gnutls}}}}
	* {{App\|[[Network Security Services]] (NSS)\|TLS/SSL と [[Wikipedia:S/MIME\|S/MIME]] をサポートする暗号ライブラリの実装。TLS アクセラレーションとスマートカードもサポート。\|https://~~developer~~.mozilla.org/~~NSS~~\|{{Pkg\|nss}}}}		* {{App\|[[Network Security Services]] (NSS)\|TLS/SSL と [[Wikipedia:S/MIME\|S/MIME]] をサポートする暗号ライブラリの実装。TLS アクセラレーションとスマートカードもサポート。\|https://firefox-source-docs.mozilla.org/security/nss/index.html\|{{Pkg\|nss}}}}
	* {{App\|[[mbed TLS]]\|ポータブルな SSL/TLS 実装。別名 PolarSSL。\|https://tls.mbed.org/\|{{Pkg\|mbedtls}}}}		* {{App\|[[mbed TLS]]\|ポータブルな SSL/TLS 実装。別名 PolarSSL。\|https://tls.mbed.org/\|{{Pkg\|mbedtls}}}}
	* {{App\|[[Wikipedia:ja:LibreSSL\|LibreSSL]]\|OpenBSD プロジェクトによって2014年に OpenSSL からフォークされた TLS/crypto スタック。コードベースを近代的に改修してセキュリティを向上させることを目標としています。\|https://www.libressl.org/\|{{Pkg\|libressl}}}}		* {{App\|[[Wikipedia:ja:LibreSSL\|LibreSSL]]\|OpenBSD プロジェクトによって2014年に OpenSSL からフォークされた TLS/crypto スタック。コードベースを近代的に改修してセキュリティを向上させることを目標としています。\|https://www.libressl.org/\|{{Pkg\|libressl}}}}

Shota: 序文において微妙な訳のニュアンスの修正

2023-01-02T02:39:07Z

序文において微妙な訳のニュアンスの修正

← 古い版		2023年1月2日 (月) 11:39時点における版
2行目:		2行目:
	[[en:Transport Layer Security]]		[[en:Transport Layer Security]]
	[[Wikipedia:ja:Transport Layer Security\|Wikipedia]] より:		[[Wikipedia:ja:Transport Layer Security\|Wikipedia]] より:
	:'''Transport Layer Security''' ('''TLS''') およびその前身の [[RFC:7568\|Secure Sockets Layer]] ('''SSL''') はコンピュータネットワークにおいてセキュリティを要求される通信を行うためのプロトコルである。ウェブブラウザやメール、インスタントメッセージ、voice over IP (VoIP) などのアプリケーションで幅広く使われているプロトコルとなっている。ウェブサイトは TLS によってサーバーとウェブブラウザ間の通信を暗号化~~してい~~る。		:'''Transport Layer Security''' ('''TLS''') およびその前身の [[RFC:7568\|Secure Sockets Layer]] ('''SSL''') はコンピュータネットワークにおいてセキュリティを要求される通信を行うためのプロトコルである。ウェブブラウザやメール、インスタントメッセージ、voice over IP (VoIP) などのアプリケーションで幅広く使われているプロトコルとなっている。ウェブサイトは TLS によってサーバーとウェブブラウザ間の通信を暗号化できる。

	== 実装 ==		== 実装 ==

Kgx: /* ACME クライアント */ 一部翻訳

2022-07-16T11:28:43Z

ACME クライアント: 一部翻訳

← 古い版		2022年7月16日 (土) 20:28時点における版
128行目:		128行目:
	* {{App\|simp_le\|シンプルな Let's Encrypt クライアント。Python で書かれています。\|https://github.com/zenhack/simp_le\|{{AUR\|simp_le-git}}}}		* {{App\|simp_le\|シンプルな Let's Encrypt クライアント。Python で書かれています。\|https://github.com/zenhack/simp_le\|{{AUR\|simp_le-git}}}}

			オンラインのインタラクティブな、https://gethttpsforfree.com クライアントでは、ウェブページからシェルコマンドラインにコピーペーストして、10 回ほどやり直す必要があります。その間に推奨されるコマンドを実行します。また、おそらくそのページで手動更新をしなければならないでしょう。あるいは、他の方法で更新を行う必要があります。一方、あなたは、それが成功したかどうか、すべてのステップで見ることができます。証明書を要求するためだけにソフトウェアをインストールする必要はありません。そして、秘密鍵やサーバー・ソフトウェアを、完全に意識的にしか触れないようにすることができるようになります。
	With the online, interactive, https://gethttpsforfree.com client you will need about 10 copy paste from the web page to a shell command line, and back. Running the suggested command in between. You will also have to do manual renewals, possibly at that page. Or other wise take care of renewals. On the other hand, you will see at every step whether it succeeded, or not. Will not have to install software just to request for a certificate. And will be able to keep the private keys, or the server software, touched only fully consciously.

	=== OCSP ===		=== OCSP ===

Kgx: /* CA 証明書のデフォルトセットをロードするためのメカニズムの概要 */ 一部翻訳

2022-07-16T11:25:06Z

CA 証明書のデフォルトセットをロードするためのメカニズムの概要: 一部翻訳

← 古い版		2022年7月16日 (土) 20:25時点における版
37行目:		37行目:
	\| [[GnuTLS]]		\| [[GnuTLS]]
	\| ハードコードされたディレクトリ、ファイル、または[https://man.archlinux.org/man/pkcs11.conf.5 設定された] [[Wikipedia:PKCS 11\|PKCS #11]] モジュールから証明書をロードする API 関数を提供する。最後のケースでは、ハードコードされた [[RFC:7512\|URL]] によって、任意の信頼できる証明書、または {{ic\|trust-policy: yes}} とマークされたモジュール上の信頼できる CA 証明書、オプションで追加のフィルタリング基準を持つ証明書をロードすることができます[https://www.gnutls.org/manual/gnutls.html#Installing-for-a-software-distribution], [https://www.gnutls.org/manual/gnutls.html#Certificate-credentials]。		\| ハードコードされたディレクトリ、ファイル、または[https://man.archlinux.org/man/pkcs11.conf.5 設定された] [[Wikipedia:PKCS 11\|PKCS #11]] モジュールから証明書をロードする API 関数を提供する。最後のケースでは、ハードコードされた [[RFC:7512\|URL]] によって、任意の信頼できる証明書、または {{ic\|trust-policy: yes}} とマークされたモジュール上の信頼できる CA 証明書、オプションで追加のフィルタリング基準を持つ証明書をロードすることができます[https://www.gnutls.org/manual/gnutls.html#Installing-for-a-software-distribution], [https://www.gnutls.org/manual/gnutls.html#Certificate-credentials]。
	\| [https://man.archlinux.org/man/pkcs11.conf.5 設定された] [[Wikipedia:~~PKCS 11~~\|PKCS #11]] モジュールから、{{ic\|trust-policy: yes}} でマークされた、信頼できるすべての CA 証明書をロードします。		\| [https://man.archlinux.org/man/pkcs11.conf.5 設定された] [[Wikipedia:PKCS11\|PKCS #11]] モジュールから、{{ic\|trust-policy: yes}} でマークされた、信頼できるすべての CA 証明書をロードします。
	\|-		\|-
	\| [[Network Security Services]]		\| [[Network Security Services]]
	\| ~~Automatically~~ ~~loads~~ ~~the certificates from a dynamically configured list of~~ [[Wikipedia:~~PKCS 11~~\|PKCS #11]] ~~modules, managed with a dedicated API. Configuration can be stored in any directory, pointed by a user.~~ [https://developer.mozilla.org/en-US/docs/Mozilla/Projects/NSS/PKCS11/FAQ], {{man\|1\|modutil}}.		\| 専用の API で管理されている [[Wikipedia:PKCS11\|PKCS#11]] モジュールの動的に構成されたリストから証明書を自動的にロードします。構成は、ユーザーが指定した任意のディレクトリに保存できます。 [https://developer.mozilla.org/en-US/docs/Mozilla/Projects/NSS/PKCS11/FAQ], {{man\|1\|modutil}}.
	\|		\|
	\|-		\|-
	\| [[mbed TLS]]		\| [[mbed TLS]]
	\| ~~A user should load the certificates.~~ [https://tls.mbed.org/kb/how-to/mbedtls-tutorial].		\| ユーザーは証明書をロードする必要があります。 [https://tls.mbed.org/kb/how-to/mbedtls-tutorial].
	\|		\|
	\|-		\|-
	\| [[Wikipedia:LibreSSL\|LibreSSL]]		\| [[Wikipedia:LibreSSL\|LibreSSL]]
	\| ~~Provides an~~ API ~~function that loads the certificates from a hardcoded directory or file.~~ {{man\|3\|libressl-SSL_CTX_load_verify_locations}}.		\| ハードコードされたディレクトリまたはファイルから証明書をロードする API 関数を提供します。 {{man\|3\|libressl-SSL_CTX_load_verify_locations}}
	\| ~~A default file is~~ {{ic\|/etc/libressl/cert.pem}}, ~~a default directory is~~ {{ic\|/etc/libressl/certs/}}.		\|デフォルトのファイルは {{ic\|/etc/libressl/cert.pem}} で、デフォルトのディレクトリは {{ic \|/etc/libressl/certs/}} です。
	\|}		\|}

Kusanaginoturugi: /* CA 証明書のデフォルトセットをロードするためのメカニズムの概要 */ typo

2022-01-14T03:21:32Z

CA 証明書のデフォルトセットをロードするためのメカニズムの概要: typo

← 古い版		2022年1月14日 (金) 12:21時点における版
38行目:		38行目:
	\| ハードコードされたディレクトリ、ファイル、または[https://man.archlinux.org/man/pkcs11.conf.5 設定された] [[Wikipedia:PKCS 11\|PKCS #11]] モジュールから証明書をロードする API 関数を提供する。最後のケースでは、ハードコードされた [[RFC:7512\|URL]] によって、任意の信頼できる証明書、または {{ic\|trust-policy: yes}} とマークされたモジュール上の信頼できる CA 証明書、オプションで追加のフィルタリング基準を持つ証明書をロードすることができます[https://www.gnutls.org/manual/gnutls.html#Installing-for-a-software-distribution], [https://www.gnutls.org/manual/gnutls.html#Certificate-credentials]。		\| ハードコードされたディレクトリ、ファイル、または[https://man.archlinux.org/man/pkcs11.conf.5 設定された] [[Wikipedia:PKCS 11\|PKCS #11]] モジュールから証明書をロードする API 関数を提供する。最後のケースでは、ハードコードされた [[RFC:7512\|URL]] によって、任意の信頼できる証明書、または {{ic\|trust-policy: yes}} とマークされたモジュール上の信頼できる CA 証明書、オプションで追加のフィルタリング基準を持つ証明書をロードすることができます[https://www.gnutls.org/manual/gnutls.html#Installing-for-a-software-distribution], [https://www.gnutls.org/manual/gnutls.html#Certificate-credentials]。
	\| [https://man.archlinux.org/man/pkcs11.conf.5 設定された] [[Wikipedia:PKCS 11\|PKCS #11]] モジュールから、{{ic\|trust-policy: yes}} でマークされた、信頼できるすべての CA 証明書をロードします。		\| [https://man.archlinux.org/man/pkcs11.conf.5 設定された] [[Wikipedia:PKCS 11\|PKCS #11]] モジュールから、{{ic\|trust-policy: yes}} でマークされた、信頼できるすべての CA 証明書をロードします。
	}}.
	\|-		\|-
	\| [[Network Security Services]]		\| [[Network Security Services]]

← 古い版		2023年1月2日 (月) 11:43時点における版
10行目:		10行目:
	* {{App\|[[OpenSSL]]\|堅牢・商業品質・フル機能の TLS と SSL プロトコルのツールキット。汎用の暗号ライブラリでもあります。\|https://www.openssl.org/\|{{Pkg\|openssl}}}}		* {{App\|[[OpenSSL]]\|堅牢・商業品質・フル機能の TLS と SSL プロトコルのツールキット。汎用の暗号ライブラリでもあります。\|https://www.openssl.org/\|{{Pkg\|openssl}}}}
	* {{App\|[[GnuTLS]]\|TLS, SSL, DTLS プロトコルのフリーソフトウェア実装。X.509, PKCS #12, OpenPGP などの API を提供します。\|https://www.gnutls.org/\|{{Pkg\|gnutls}}}}		* {{App\|[[GnuTLS]]\|TLS, SSL, DTLS プロトコルのフリーソフトウェア実装。X.509, PKCS #12, OpenPGP などの API を提供します。\|https://www.gnutls.org/\|{{Pkg\|gnutls}}}}
	* {{App\|[[Network Security Services]] (NSS)\|TLS/SSL と [[Wikipedia:S/MIME\|S/MIME]] をサポートする暗号ライブラリの実装。TLS アクセラレーションとスマートカードもサポート。\|https://~~developer~~.mozilla.org/~~NSS~~\|{{Pkg\|nss}}}}		* {{App\|[[Network Security Services]] (NSS)\|TLS/SSL と [[Wikipedia:S/MIME\|S/MIME]] をサポートする暗号ライブラリの実装。TLS アクセラレーションとスマートカードもサポート。\|https://firefox-source-docs.mozilla.org/security/nss/index.html\|{{Pkg\|nss}}}}
	* {{App\|[[mbed TLS]]\|ポータブルな SSL/TLS 実装。別名 PolarSSL。\|https://tls.mbed.org/\|{{Pkg\|mbedtls}}}}		* {{App\|[[mbed TLS]]\|ポータブルな SSL/TLS 実装。別名 PolarSSL。\|https://tls.mbed.org/\|{{Pkg\|mbedtls}}}}
	* {{App\|[[Wikipedia:ja:LibreSSL\|LibreSSL]]\|OpenBSD プロジェクトによって2014年に OpenSSL からフォークされた TLS/crypto スタック。コードベースを近代的に改修してセキュリティを向上させることを目標としています。\|https://www.libressl.org/\|{{Pkg\|libressl}}}}		* {{App\|[[Wikipedia:ja:LibreSSL\|LibreSSL]]\|OpenBSD プロジェクトによって2014年に OpenSSL からフォークされた TLS/crypto スタック。コードベースを近代的に改修してセキュリティを向上させることを目標としています。\|https://www.libressl.org/\|{{Pkg\|libressl}}}}