configuring-certificate-authority-with-openssl

OpenSSL で認証局を設定する

概要

認証局（CA）は PKI 階層における信頼の起点であり、デジタル証明書の発行、署名、失効を担います。このスキルでは、OpenSSL と Python の cryptography ライブラリを使用して、2 層の CA 階層（ルート CA + 中間 CA）を構築する方法を扱います。CRL の配布、OCSP レスポンダーの設定、証明書ポリシーの管理も含まれます。

使用する場面

• 環境内で OpenSSL を使った認証局機能を導入または設定する場合
• コンプライアンス要件に沿ったセキュリティ制御を確立する場合
• この分野のセキュリティアーキテクチャを構築または改善する場合
• この実装が必要なセキュリティ評価を実施する場合

前提条件

• 暗号技術の概念とツールに関する知識
• 安全に実行できるテスト環境またはラボ環境へのアクセス
• 必要な依存関係がインストールされた Python 3.8+
• テスト活動に必要な適切な権限

目標

• 自己署名証明書を持つルート CA を作成する
• ルート CA によって署名された中間 CA を作成する
• 中間 CA からサーバー証明書とクライアント証明書を発行する
• 証明書失効リスト（CRL）を設定する
• 証明書ポリシーと制約を実装する
• プログラムによって完全な PKI 階層を構築する

主な概念

CA 階層

Root CA (offline, air-gapped)
  |
  +-- Intermediate CA (online, operational)
        |
        +-- Server Certificates
        +-- Client Certificates
        +-- Code Signing Certificates

証明書拡張

拡張	目的	クリティカル
basicConstraints	CA:TRUE/FALSE、pathLenConstraint	はい
keyUsage	keyCertSign、cRLSign、digitalSignature	はい
extendedKeyUsage	serverAuth、clientAuth、codeSigning	いいえ
subjectKeyIdentifier	公開鍵のハッシュ	いいえ
authorityKeyIdentifier	発行者の鍵識別子	いいえ
crlDistributionPoints	CRL の URL	いいえ
authorityInfoAccess	OCSP レスポンダーの URL	いいえ

セキュリティに関する考慮事項

• ルート CA の秘密鍵はオフライン（エアギャップされた HSM）で保管する必要があります
• CA 鍵には最低でも 4096 ビット RSA または P-384 ECDSA を使用します
• 中間 CA にパス長制約を設定します
• 証明書ポリシー（OID）を実装します
• 失効確認のために CRL と OCSP を有効にします
• すべての証明書発行操作を監査します

検証基準

• ルート CA の自己署名証明書が有効である
• 中間 CA 証明書がルート CA につながる
• 発行済み証明書が中間 CA → ルート CA につながる
• パス長制約が適用されている
• CRL が生成され、アクセス可能である
• 失効した証明書が CRL に記載されている
• 証明書ポリシーが正しく埋め込まれている