概要

はじめに

  • 今回は、opensslコマンドを使って、SSL証明書の情報を確認する方法をまとめます。よく使うコマンドではありますが、opensslコマンドはオプションやできることが多く、no look で打つのはまだ厳しいですね。
  • 今回の記事を書いた背景は、opensslコマンドの注意事項を共有するためです。先日、opensslコマンドを使ってシリアル番号を抜き取り、証明書の一覧を作成しておりました。その際に、opensslコマンドでは、シリアル番号の先頭が”0″から始まる場合は、”0″が省略して表示されることに気付きました！　シリアルが一致しない証明書が数件あり、悩んでおりましたのでスッキリ。この続きは、本文をご覧ください。

SSL証明書とは

  • ウェブサイトでSSL(https)を利用する場合、SSL証明書が必要となります。SSL証明書には、通信の暗号化に必要な鍵とサイト所有者の情報が含まれており、「通信の暗号化」と「サイト所有者の身元証明」の2つの役割を持ちます。
  • SSLによる暗号化通信は、「共通鍵暗号方式」・「公開鍵暗号方式」の仕組みを利用します。公開鍵暗号方式では、公開鍵の成りすましを防止するために公開鍵証明書が使われます。この公開鍵証明書は偽装されないようにデジタル署名が使われており、認証局（CA）が署名を行い、証明書の正当性を保証します。この証明書をサーバー側に格納して、通信の暗号化に使用します。証明書には証明書の有効期間、発行者、署名アルゴリズムなどの情報も含まれ、サイトを運営する方は有効期間内に証明書を更新する必要があります。
  • SSL証明書は、AWSのACM（Certificate Manager）を利用したり、外部プロバイダー（GMOなど）やLet’s Encryptなど無料のサービスで発行することも可能です。外部プロバイダーに証明書を要求する場合のCSR 作成やACMへのインポートは、下記記事を参照ください。
やさしいCSRの作り方 | Oji-Cloud
CSR（証明書署名要求）の作り方概要証明書とは先ず証明書について、簡単にまとめます。公開鍵暗号方式では、公開鍵の成りすましを防止するために公開鍵証明書が使われます。この公開鍵証明書は、公開鍵と、その所有者（その他に有効期間、発行者、署名アルゴリズムなどの情報も含む）を結びつける証明書となります。また、公開鍵証明書は偽装されないようにデジタル署名が使われ、認証局（CA）が署名を行い、証明書の正当性を保証します。証明書の取得は、大手のGMOやAWSのRout
Oji-Cloud
ACMで証明書をインポートする | Oji-Cloud
前提条件今回は、ACM（AWS Certificate Manager）を使った証明書のインポートです。ACMで証明書を発行するのではなく、外部認証局から発行された証明書をインポートします。この後、API Gateway のカスタムドメイン化に使用するため、リージョンは東京ではなく、バージニア北部を選択しています。外部認証局に証明書を発行依頼する際に必要となるCSRは、下記記事を参照ください。やさしいCSRの作り方証明書のインポート手順証明書をイ
Oji-Cloud

opensslコマンドを使ったSSL証明書の確認方法

opensslコマンドでサーバーにアクセスして確認する

  • opensslコマンドでサーバーにアクセスして、SSL証明書の情報を確認する方法になります。下記に記載するどちらのコマンドでも証明書の情報が取得できますが、前者の openssl x509 -text -noout でデコードした方が有効期間も表示され分かりやすいです。
    • openssl s_client -connect :443 | openssl x509 -text -noout
    • openssl s_client -connect :443 -showcerts
  • 次に、証明書を確認する際の基本的なポイントは、下記の通りです。
    • Version（バージョン）
    • Serial Number（シリアル番号）
    • Issuer（発行者）
    • Validity（有効期間の開始と満了）
    • Subject（主体者）
    • Subject Public Key Info（主体者の公開鍵アルゴリズム、主体者の公開鍵）
  • また、openssl x509 -text -nooutで表示した場合、X509v3 extensionsセクションのBasic ConstraintsにあるCA属性を確認することで、サーバー証明書かCA証明書かを判断します。CA属性は、下記の通り。
    • CA:FALSE → サーバー証明書
    • CA:TRUE → CA証明書
  • 試しに”https://www.ipa.go.jp/” にアクセスして、証明書の情報を確認します。
niikawa@niikawa1:~$ openssl s_client -connect www.ipa.go.jp:443 | openssl x509 -text -noout
depth=2 C = JP, O = "SECOM Trust Systems CO.,LTD.", OU = Security Communication RootCA2
verify return:1
depth=1 C = JP, O = "SECOM Trust Systems CO.,LTD.", CN = SECOM Passport for Web EV 2.0 CA
verify return:1
depth=0 C = JP, ST = Tokyo, L = Bunkyo, O = "Information-technology Promotion Agency, Japan", jurisdictionC = JP, businessCategory = Private Organization, serialNumber = 5010005007126, CN = www.ipa.go.jp
verify return:1
Certificate:
    Data:
        Version: 3 (0x2)
        Serial Number:
            be:a1:b5:52:60:2f:77:dd:00:00:00:00:53:fb:ef:1f
        Signature Algorithm: sha256WithRSAEncryption
        Issuer: C = JP, O = "SECOM Trust Systems CO.,LTD.", CN = SECOM Passport for Web EV 2.0 CA
        Validity
            Not Before: May 15 02:30:27 2020 GMT
            Not After : May 27 14:59:59 2021 GMT
        Subject: C = JP, ST = Tokyo, L = Bunkyo, O = "Information-technology Promotion Agency, Japan", jurisdictionC = JP, businessCategory = Private Organization, serialNumber = 5010005007126, CN = www.ipa.go.jp
        Subject Public Key Info:
            Public Key Algorithm: rsaEncryption
                RSA Public-Key: (2048 bit)
                Modulus:
                    00:de:bb:93:d3:5f:c3:bd:e8:eb:86:ee:07:b2:6b:
                    96:b5:af:26:d3:f9:be:bb:00:05:d9:fd:02:d9:79:
                    51:c0:9c:27:e0:45:ea:35:f9:de:06:17:25:92:18:
                    54:59:37:3f:71:8b:fb:be:4e:f6:25:42:1b:a8:02:
                    d8:a2:70:ed:76:26:2b:ce:26:0f:33:50:64:e4:9e:
                    75:af:f5:15:6f:8c:4b:9c:9d:5a:00:66:14:06:71:
                    23:d0:7c:39:eb:d4:2f:5a:9d:37:d0:70:3c:72:3e:
                    a8:b8:94:38:ec:ea:c2:27:04:e6:77:7e:5a:07:f3:
                    91:a9:89:66:ca:3e:49:75:4f:c0:f5:d1:6e:ea:5e:
                    0d:b8:9a:ab:de:6d:b0:9a:d3:a3:34:95:60:89:c5:
                    a2:23:6c:48:8e:60:51:d3:44:f6:8d:ce:48:65:99:
                    17:9b:17:d7:0d:fc:51:62:41:e4:24:ef:b5:29:fe:
                    66:7d:81:28:e1:f3:d9:5a:44:f1:97:07:d9:3c:df:
                    ff:20:f0:73:b1:8a:14:ee:4c:e5:46:b6:fe:35:c3:
                    74:1f:b2:26:ce:be:9d:5a:16:b2:cb:30:ef:bb:0e:
                    25:0f:69:57:fb:4d:03:d2:ab:3c:28:f8:ee:17:16:
                    c1:d1:db:ac:dc:ff:8b:df:96:4a:f6:0c:76:66:4c:
                    98:af
                Exponent: 65537 (0x10001)
        X509v3 extensions:
            CT Precertificate SCTs:
                Signed Certificate Timestamp:
                    Version   : v1 (0x0)
                    Log ID    : F6:5C:94:2F:D1:77:30:22:14:54:18:08:30:94:56:8E:
                                E3:4D:13:19:33:BF:DF:0C:2F:20:0B:CC:4E:F1:64:E3
                    Timestamp : May 15 03:00:27.946 2020 GMT
                    Extensions: none
                    Signature : ecdsa-with-SHA256
                                30:46:02:21:00:82:C3:97:5E:9E:A7:EB:AF:CA:9B:33:
                                CE:E6:18:C2:0A:47:75:04:0E:B9:CB:85:28:77:14:69:
                                C8:E3:26:88:B6:02:21:00:C9:71:E0:CF:6B:23:1B:D8:
                                F8:A8:F0:BE:75:81:E0:8A:E4:3B:91:D1:64:48:6C:A7:
                                5C:E7:32:46:17:6B:FA:2B
                Signed Certificate Timestamp:
                    Version   : v1 (0x0)
                    Log ID    : 7D:3E:F2:F8:8F:FF:88:55:68:24:C2:C0:CA:9E:52:89:
                                79:2B:C5:0E:78:09:7F:2E:6A:97:68:99:7E:22:F0:D7
                    Timestamp : May 15 03:00:29.824 2020 GMT
                    Extensions: none
                    Signature : ecdsa-with-SHA256
                                30:45:02:21:00:A0:4A:BF:C5:6D:E9:C6:11:F0:E8:ED:
                                A5:E5:D7:36:1B:F6:38:81:75:80:DC:FD:28:54:62:DD:
                                1C:6A:ED:19:10:02:20:42:E8:B4:12:D1:12:05:5D:C6:
                                28:3C:61:82:CD:95:3D:24:0E:60:21:3F:60:4A:4C:3D:
                                E5:D0:F1:8E:B6:CA:2B
                Signed Certificate Timestamp:
                    Version   : v1 (0x0)
                    Log ID    : 5C:DC:43:92:FE:E6:AB:45:44:B1:5E:9A:D4:56:E6:10:
                                37:FB:D5:FA:47:DC:A1:73:94:B2:5E:E6:F6:C7:0E:CA
                    Timestamp : May 15 03:00:30.731 2020 GMT
                    Extensions: none
                    Signature : ecdsa-with-SHA256
                                30:44:02:20:1C:EB:F6:DA:2A:93:8C:AD:08:91:87:9A:
                                59:BC:5B:9D:AD:BA:1B:70:33:AD:FF:CD:FC:66:8C:05:
                                1A:4E:BE:86:02:20:34:C3:49:D1:91:F8:06:53:E4:E4:
                                23:18:FE:BD:E2:5D:42:12:27:72:F1:9D:F1:FA:78:AB:
                                56:10:7E:A0:63:5C
            X509v3 Key Usage: critical
                Digital Signature, Key Encipherment
            X509v3 Extended Key Usage:
                TLS Web Server Authentication
            Authority Information Access:
                OCSP - URI:http://ev2.ocsp.secomtrust.net

            X509v3 Certificate Policies:
                Policy: 1.2.392.200091.100.721.1
                  CPS: https://repo1.secomtrust.net/spcpp/pfw/pfwev2ca/
                Policy: 2.23.140.1.1

            X509v3 Subject Alternative Name:
                DNS:www.ipa.go.jp
            X509v3 CRL Distribution Points:

                Full Name:
                  URI:http://repo1.secomtrust.net/spcpp/pfw/pfwev2ca/fullcrl.crl

                Full Name:
                  DirName:C = JP, O = "SECOM Trust Systems CO.,LTD.", CN = SECOM Passport for Web EV 2.0 CA, CN = CRL6

            X509v3 Authority Key Identifier:
                keyid:16:4B:FB:0C:97:38:8A:18:5A:54:A1:46:CF:89:24:47:CC:C4:76:B3

            X509v3 Subject Key Identifier:
                97:AA:86:CE:FE:61:78:95:E1:61:D9:DB:65:40:19:6B:61:26:82:C5
    Signature Algorithm: sha256WithRSAEncryption
         34:ec:7a:05:00:17:43:8d:07:c6:bd:a7:21:05:dd:79:fa:4b:
         3e:26:95:72:e7:f4:3d:b3:5c:20:6d:4b:07:e7:82:70:1a:9e:
         ae:f2:f6:de:6c:63:a5:56:0b:38:21:fa:f6:13:51:5d:96:eb:
         47:01:51:23:9c:80:c8:a4:b4:d0:0c:26:32:0a:ee:76:ed:2d:
         a8:39:28:d1:d4:cf:8b:76:ff:39:dd:b2:03:c8:66:32:07:16:
         4a:0b:9e:f9:cb:23:60:54:04:e5:ec:1f:cd:56:15:f4:14:67:
         18:6f:d3:4c:ff:84:fe:98:bd:af:0c:05:d2:36:ee:a8:42:25:
         5d:f0:1d:10:19:36:a1:b8:59:f5:97:5b:b3:49:2e:f3:55:e0:
         0f:b9:6a:9d:50:86:4b:2d:18:8b:03:4b:4e:b9:21:5d:55:91:
         f8:94:09:7d:29:d8:ba:58:a2:af:d3:6d:3d:7a:5e:81:47:10:
         eb:f6:c8:95:aa:65:86:16:42:24:c1:1c:08:78:55:ae:eb:ee:
         b5:0f:52:e5:88:c2:7f:8d:2a:6e:f8:30:b5:d4:92:0d:75:41:
         58:2f:f5:ed:5c:cc:0f:8f:67:cf:2a:90:b3:ea:11:a1:ae:f6:
         bd:46:0c:f0:a7:ec:52:fc:b0:5e:0f:ef:68:b2:09:4d:dc:6a:
         a6:0b:09:d3
← ctrl + cで停止

opensslコマンドでローカルのファイルを指定して確認する

  • 自分が運営するサイトであれば、ローカルにあるファイルを指定して、前述のopensslコマンドと同じ結果を得ることができます。コマンドは、下記の通りです。
niikawa@niikawa1:~$ openssl x509 -text -noout -in <証明書ファイル>

ブラウザを使ったSSL証明書の確認方法

ブラウザから証明書アイコンをクリックして確認する

  • ブラウザからアクセス可能な場合は、証明書アイコンをクリックし、証明書の情報が確認できます。

opensslコマンド vs ブラウザから見た場合の違い

  • ご覧の通り、opensslコマンドと同じ情報を得ることができますが、opensslコマンドとブラウザで見た時の違いを2点紹介します。
  • ブラウザで見た場合、シリアル番号の先頭が”0″ から始まっていることが分かります。opensslコマンドでは、Serial Numberの先頭が”0″から始まる場合は、”0″が省略して表示されます。シリアル番号の桁数が変わるため後から気付くこともできますが、opensslコマンドでシリアル番号を管理する場合には注意が必要です。
  • 有効期間がJST（ローカルのタイムゾーン）で表示されています。opensslコマンドでは、GMT で表示されていたため、タイムゾーンの時差に注意が必要です。