デジタル証明書

小規模なネットワークでは、多くの場合、IPsec設定で事前共有キーを使用するだけで十分です。しかし、ネットワークが拡大するにつれて、ローカルルーターと新規および既存のすべてのIPsecピアに新しい事前共有キーを追加することが困難になる場合があります。デジタル証明書の実装は、IPsecネットワークの拡張に役立ちます。

デジタル証明書の実装ではPKIを使用します。PKIでは、公開鍵と秘密鍵で構成される鍵ペアを生成する必要があります。キーは乱数発生器で作成され、データの暗号化と復号化に使用されます。デジタル証明書を使用しないネットワークでは、IPsec対応デバイスがプライベートキーでデータを暗号化し、IPsecピアがパブリックキーでデータを復号化します。

デジタル証明書を使用すると、ユーザーとIPsecピアが、CAの公開キーを含むCA証明書を送信するCAを要求します。次に、公開キーといくつかの追加情報を含むローカルデジタル証明書を登録するように CA に要求します。CAがリクエストを処理すると、CAのプライベートキーでローカル証明書に署名します。次に、CA証明書とローカル証明書をローカルルーターにインストールし、リモートデバイスにCA証明書をロードしてから、ピアとIPsecトンネルを確立します。

IPSec ピアとのピアリング関係を要求すると、ピアはローカル証明書のコピーを受け取ります。ピアにはすでにCA証明書が読み込まれているため、CA証明書に含まれるCAの公開キーを使用して、CAのプライベートキーで署名されたローカル証明書を復号化できます。その結果、ピアは公開キーのコピーを持つことになります。ピアは、データを公開キーで暗号化してから送信します。ローカルルーターがデータを受信すると、秘密鍵でデータを復号化します。

Junos OSでは、最初にデジタル証明書を使用できるようにするには、以下の手順を実装する必要があります。

• CAプロファイルを設定して、CAおよびローカルのデジタル証明書を要求します。プロファイルには、CAまたは登録機関(RA)の名前とURL、およびいくつかの再試行タイマー設定が含まれています。

• 証明書失効リストサポートの設定—証明書失効リスト(CRL)には、有効期限が切れる前にキャンセルされた証明書のリストが含まれています。参加ピアが CRL を使用すると、CA は最後に発行された CRL を取得し、ピアのデジタル証明書の署名と有効性をチェックします。CRLを手動でリクエストしてロードしたり、CRL処理を自動的に処理するようにLDAPサーバーを設定したり、デフォルトで有効になっているCRL処理を無効にすることができます。

• CAにデジタル証明書をリクエストする—リクエストはオンラインまたは手動で行うことができます。オンライン CA デジタル証明書要求では、SCEP(簡易証明書登録プロトコル)形式が使用されます。CA証明書を手動でリクエストする場合は、証明書も手動で読み込む必要があります。

• プライベート/パブリックキーペアを生成する—パブリックキーはローカルデジタル証明書に含まれ、プライベートキーはピアから受信したデータを復号化するために使用されます。

• ローカルデジタル証明書の生成と登録—ローカル証明書は、SCEPを使用してオンラインで処理するか、PKCS-10(Public-Key Cryptography Standards #10)形式で手動で生成できます。ローカル証明書リクエストを手動で作成する場合は、証明書も手動で読み込む必要があります。

• IPSec設定にデジタル証明書を適用する—ローカルデジタル証明書を有効にするには、事前共有鍵ではなくデジタル証明書を使用するようにIKEプロポーザルを設定し、IKEポリシーでローカル証明書を参照し、サービスセット内のCAを識別します。

オプションで、以下を実行できます。

• デジタル証明書を自動的に再登録するように設定—Junos OSリリース8.5以降、デジタル証明書の自動再登録を設定できます。

• デジタル証明書イベントの監視と証明書とリクエストの削除—運用モードコマンドを発行して、デジタル証明書を使用して確立されたIPSecトンネルを監視し、証明書またはリクエストを削除できます。

CA は、ツリー構造の形式で複数の証明書を発行できます。ルート証明書はツリーの最上位の証明書であり、そのプライベートキーが他の証明書の sign に使用されます。ルート証明書のすぐ下のすべての証明書は、ルート証明書の署名または信頼性を継承します。これは、アイデンティティの notarizing に似ています。

ルート CA 証明書を設定するには:

1. ルートCA証明書を取得する(どちらか一方またはインポート)

   • Junos OS CLIを使用してルートCA証明書を生成できます。

   • 外部CAから証明書を取得します(このトピックでは取り上げません)。

2. ルート CA を SSL プロキシ プロファイルに適用します。

SSLフォワードプロキシは、証明書チェーンの実装をサポートします。証明書チェーンの概念と、ファイアウォールで証明書チェーンを構成する方法について説明します。

• 認証機関(CA)—CAは、エンティティ(Webサイト、メールアドレス、企業、個人など)のIDを検証する責任を負う信頼できる第三者であり、暗号化キーを結合してデジタル証明書を発行します。組織が CA サーバーを所有している場合は、独自の CA になり、自己署名証明書を使用します。

• ルート証明書—ルート証明書は、信頼できるCAによって発行された証明書です。ルート証明書はツリーの最上位の証明書であり、そのプライベートキーは他の証明書の署名に使用されます。ルート証明書のすぐ下のすべての証明書は、ルート証明書の署名または信頼性を継承します。これらの証明書は、2つのエンドポイント間の接続を確立するために使用されます。

• 中間CA証明書—中間CA証明書は、EE証明書を検証するために、信頼できるルートによって署名された下位証明書です。

• 証明書チェーン—証明書チェーンは、SSL証明書、中間証明書、ルート証明書を含む証明書の順序付きリストです。一部のCAは、ルート証明書で署名せず、中間証明書を使用します。中間 CA は、ルート CA 証明書に代わって証明書に署名できます。ルート CA は中間証明書に署名し、信頼の連鎖を形成します。

  ブラウザ、アプリケーション、モバイルデバイスなどの接続デバイスが証明書を信頼できるように、中間証明書はSSL証明書と同じサーバーにインストールする必要があります。

接続を開始すると、接続デバイスは証明書が本物かどうか、およびブラウザの信頼できるストアに埋め込まれている信頼できる CA によって発行されたかどうかを確認します。

SSL証明書が信頼できるCAからのものでない場合、接続デバイスは、SSL証明書が中間CAによって発行されているかどうか、およびこの中間CAがルートCAによって署名されているかどうかを引き続き確認します。デバイスがルート CA を見つけるまで、チェックは続行されます。デバイスがルート CA を検出すると、安全な接続が確立されます。デバイスがルート CA を見つけない場合、接続は切断され、無効な証明書または信頼できない証明書に関するエラー メッセージが Web ブラウザに表示されます。

次の例は、ブラウザが証明書を信頼できるように証明書チェーンをインストールする方法を示しています。