Webの通信を暗号化で安全に！無料ではじめるSSL証明書入門(初心者向け) 2015-05-02（土）10:00 - 12:30 LT駆動開発 14 - 5月病 https://github.com/LTDD/Sessions/wiki/LT駆動開発14

1. WebWebの通信をの通信を
暗号化で安全に！暗号化で安全に！
無料ではじめる無料ではじめる
SSLSSL証明書入門証明書入門
2015/05/02 Sat
14

2. お約束
この発表は個人的な物で
仕事や所属等は全然関係ありません。
誤記や間違い等あれば
ご指摘頂けると
助かります。
@takatayoshitake

3. 自己紹介
@takatayoshitake
広島を中心に勉強会に出没。
オープンソースカンファレンス広島の
お手伝いやいろんな勉強会で
Ustとかやってます。
広島サーバユーザ友の会(仮称)や
日本CloudStackユーザ会 広島支部等
も最近はじめました。
・・・何もできてませんが(汗
OSC広島の公式キャラクター
「あきちゃん」
http://j.mp/osc14hiaki

4. 会場のみなさんに質問
A. ある
B. ない
WebWebサーバにサーバに
SSLSSL証明書を証明書を
導入したことが…導入したことが…

5. 全員SSL証明書を
導入したことが
あったらここで終了
まだの方が居られたら
次のページへ進む

6. SSL(エスエスエル)とは?
Secure Socket Layerの略
インターネット上で情報を暗号化して送受
信できる仕組み。個人情報・クレジットカー
ド情報などの大切なデータを安全にやりと
りできます。
https://www.sslcerts.jp/

7. SSLとTLS
TLSはTransport Layer Security
（トランスポート・レイヤー・セキュリティー）
2014年10月にSSL 3.0の仕様上の脆弱性に
より現在はSSLの後継のTLSが主に利用され
ていますが総称してSSLと呼ばれることも多
いです。
http://www.soumu.go.jp/main_sosiki/joho_tsusin/security_previous/kiso/k01_ssl.htm

8. SSL通信を行うためには？
WebサーバとSSL通信を行うためには，
WebサーバにSSLサーバ証明書が必要に
なります。
サーバパソコン
SSLサーバ証明書が必要
暗号化通信

9. SSLサーバ証明書の取得
● 商用の場合は証明局より購入
● シマンテック(ベリサイン)
● グローバルサイン
● ラピッドSSL 等
● 非商用(個人等)
● StartSSL
● 今回は非商用であれば無料で利用可能な
StartSSLを紹介します。

10. 「StartSSL」で検索 (参考)
StartSSL Certificates & Public Key Infrastructure -
https://www.startssl.com/
サービス提供元サイト
● 無料のSSL証明書StartSSLを活用する - Qiita
http://qiita.com/k-shogo/items/870b6d3939dd08da2de4
※nginx向け
● StartSSLで無料のSSL証明書を取得してサーバーに適用する
http://www.kyoji-kuzunoha.com/2013/08/startssl-certificate.html
※Apache+modSSL

11. Apache + modSSL
を
試してみたので
ご紹介

12. https://www.startssl.com/ にアクセス
StartSSL Free を選択

13. Certificate Control Panel をクリック

14. Sign-up

15. 住所，電話番号，メールアドレス等入力

16. メールで認証コードが届く

17. コードを入力

18. StartSSLアクセス用に
クライアント証明書を作成

19. クライアント証明書のインストール

20. インストール完了
バックアップを取りましょう

21. Validations Wizardで
ドメイン認証

22. Domain Name Validation を選択

23. ドメインを入力(wwwは不要)

24. メールの送付先を選択

25. メールが届くのでコードを確認

26. コードを入力

27. ドメイン認証完了

28. 参考:独自ドメインが使える無料メール
http://www.zoho.jp/mail/

29. Certificates Wizard
Web Server SSL/TLS Certificate

30. 秘密鍵の生成

31. 生成した秘密鍵を保存

32. 証明書を作成するドメインを選択

33. ホスト部分（www等）入力

34. ドメインとホストを確認

35. 生成したサーバ証明書を保存

36. サーバ設定
CentOS 6
ConoHa VPS &
Sakura VPS 共通

37. mod_ssl インストール
Webサーバ(Apache)でSSLを使う場合は
モジュール(mod_ssl)を追加インストール
su -
yum install mod_ssl

38. サーバ証明書ファイルの配置
etc/pki/tls/
|-- certs
| |-- ssl.crt (サーバ証明書:公開鍵)
| |-- ca.pem (ルート証明書)
| `-- sub.class1.server.ca.pem (中間証明書)
`-- private
|-- decrypt_ssl.key (秘密鍵:暗号化なし)
|-- ssl.key (秘密鍵:暗号化あり)

39. 秘密鍵の配置
cd /etc/pki/tls/private
vi ssl.key
※生成したssl.keyを貼り付け
openssl rsa -in ssl.key -out decrypt_ssl.key
※秘密鍵生成時に指定したパスワードを入力
chmod 400 ssl.key
chmod 400 decrypt_ssl.key
※パーミッション変更

40. 証明書の配置
cd /etc/pki/tls/certs
vi ssl.crt
※生成したssl.crtを貼り付け
wget https://www.startssl.com/certs/ca.pem
※ルート証明書をダウンロード
wget
https://www.startssl.com/certs/sub.class1.server.ca.pem
※中間証明書をダウンロード
chmod 400 ssl.crt
chmod 400 ca.pem
chmod 400 sub.class1.server.ca.pem
※パーミッション変更

41. ssl設定修正
cd /etc/httpd/conf.d
cp -pi ssl.conf ssl.conf.org
vi ssl.conf
--- ssl.conf
NameVirtualHost *:443
DocumentRoot /var/www/html (htmlファイル設置場所)
ServerName (ホスト名:www.ドメイン名):443
(続く)

42. ssl設定 ファイルパス修正
- サーバ証明書(公開鍵)
変更前 SLCertificateFile /etc/pki/tls/certs/localhost.crt
変更後 SSLCertificateFile /etc/pki/tls/certs/ssl.crt
- 秘密鍵
変更前 SSLCertificateKeyFile /etc/pki/tls/private/localhost.key
変更後 SSLCertificateKeyFile /etc/pki/tls/private/decrypt_ssl.key
- 中間証明書
変更前 #SSLCertificateChainFile /etc/pki/tls/certs/server-chain.crt
変更後 SSLCertificateChainFile /etc/pki/tls/certs/sub.class1.server.ca.pem
- ルート証明書
変更前 #SSLCACertificateFile /etc/pki/tls/certs/ca-bundle.crt
変更後 SSLCACertificateFile /etc/pki/tls/certs/ca.pem

43. https通信(TCP:443)許可
/etc/sysconfig/iptables
-A INPUT -p tcp --dport 443 -j ACCEPT
設定追加
service iptables reload
追加した設定を再読み込み

44. 変更したSSL設定を反映
設定確認(文法チェック)
service httpd configtest
Webサービス再起動
service httpd restart

45. SSL設定結果

46. まとめ
ご清聴ありがとうございました。
・SSL証明書は非商用な
ら無料で簡単に取得出
来ます。
・英文メールとか書けな
くても大丈夫なので、気
軽に挑戦してみよう！