問題タブ [ssl-certificate]

私の友人は、誰もが SSL 証明書を理論的に発行できるのに、なぜ SSL 証明書にそんなにお金を払うのかと尋ねました。なぜですか？また、ブラウザの小さなロックが本当に信頼できるかどうかをどのように判断すればよいのでしょうか?

CSR を作成している最中ですが、RSA キーに最適な長さはどれでしょうか。

もちろん、384 はおそらく弱すぎますし、16384 はおそらく遅すぎます。

証明書の有効期間に応じて、使用する必要があるキーの長さについてコンセンサスはありますか?

編集：ほとんどの人と同じように、私は自分の鍵を適度に強くしたいと思っています。NSA が 2019 年に私の鍵を壊す可能性があることは心配していません。通常のビジネス (e コマース サイトなど) を行う計画を立てている場合のベスト プラクティスを知りたいだけです。

自己署名されたrootcacert.pemが1つあり、来月期限切れになります。特定の理由により、次のコマンドを使用してこのrootcacertの有効性を拡張しました。

openssl x509 -in rootcacert.pem -days 365 -out extendedrootcacert.pem --signkey rootcakey.pem -text

したがって、新しいルートcaをextendedrootcacert.pemとして取得します。新しいルートCAを使用すると、古いルートCAによって署名されたユーザー証明書と、この新しいルートCAによって署名された新しいユーザー証明書を使用できます。すべての機能は問題なく正常に動作します。

しかし、このextendedrootcacert.pemと元のrootcacert.pemファイルをメモ帳を使用して開いたところ、内容に違いがあることがわかりました。

rootcacert.pemには、秘密鍵とその他の情報（Private- Key、publicExponent、privateExponent、prime1、prime2、exponent1、exponent2、coefficient）があります。

http://ospkibook.sourceforge.net/docs/OSPKI-2.4.7/OSPKI-html/sample-key-components.htm

ただし、新しいextendedrootcacert.pemにはこの情報が含まれていません。他のすべてのフィールドは、両方の証明書で同じです。

元のrootcacert.pemがどのように生成されたかわかりません。

アプリケーションの機能に悪影響はありますか？この情報を新しい拡張ルートCAに含める方法はありますか？この情報を新しい拡張ルートCAに含めることは絶対に必要ですか？

入力に感謝します。

WebサービスへのSSL接続を試みているときに、次の例外が発生します。このエラーは、ローカルキーストア/証明書の有効期限が切れていることを意味しますか、それとも、証明書の有効期限が切れているためにリモートサーバーを信頼できないことを意味しますか？

keytool と openssl アプリケーションを使用して、Java キーストア ファイルを PEM ファイルに変換しようとしています。しかし、変換を行う良い方法が見つかりませんでした。何か案は？

キーストアを直接 PEM に変換する代わりに、最初に PKCS12 ファイルを作成してから、関連する PEM ファイルとキーストアに変換しようとしました。しかし、それらを使用して接続を確立できませんでした。（安全な接続を実装するには、PEMファイルとキーストアファイルが必要なだけであることに注意してください。「Javaキーストアファイルから開始する」などの制限はありません。:)私の場合、他の形式から開始してもかまいません）

ただし、 jks から pem への直接変換方法を使用することをお勧めします。

こんにちは、SSL証明書を更新すると、公開鍵は変更されますか、それとも期限切れの証明書と同じになりますか？

イントラネットでは自己署名証明書を使用しています。ユーザーにエラー メッセージを表示せずに Internet Explorer 8 でそれらを受け入れるにはどうすればよいですか? Internet Explorer 7 に対して行ったことは、明らかに機能していません。

編集: Internet Explorer 7 は、証明書を信頼されたルート証明機関に置いた場合、エラーを表示しません。Internet Explorer 8 では、証明書があってもエラーが表示されるようです。

Java によって作成された SSL 証明書を Eclipse のプロジェクトにインポートするにはどうすればよいですか?

通信にTCP/IPソケットを使用しているさまざまなプロセス間で安全な通信を提供する必要があります。認証と暗号化の両方が必要です。車輪の再発明ではなく、SSLとSslStreamクラスおよび自己署名証明書を使用したいと思います。私がやりたいのは、ローカルアプリケーションの既知のコピーに対してリモートプロセスの証明書を検証することです。（証明書を手動でコピーするつもりなので、認証局は必要ありません）。

これを行うには、アプリケーションが最初に実行されたときに新しい証明書を自動的に生成できるようにする必要があります。makecert.exeに加えて、このリンクは自己署名証明書を自動的に生成する方法を示しているように見えるので、それが始まりです。

SslStreamのAuthenticateAsServerメソッドとAuthenticateAsClientメソッドを見てきました。確認のためにコールバックを提供できるため、可能であるように見えます。しかし、今はその詳細に精通しているので、これを行うことは本当に不可能だと思います。

私は正しい方向に進んでいますか？より良い代替案はありますか？誰かが以前にこのようなことをしたことがありますか（基本的にクライアントサーバーではなくピアツーピアSSL）？