performing-ssl-certificate-lifecycle-management

SSL 証明書ライフサイクル管理の実施

概要

SSL/TLS 証明書のライフサイクル管理には、X.509 証明書の申請、発行、展開、監視、更新、失効の全プロセスが含まれます。証明書管理の不備は、サービス停止やセキュリティインシデントの主な原因です。このスキルでは、Python と ACME プロトコルツールを使用して、証明書のライフサイクル全体を自動化します。

使用する場面

• SSL 証明書のライフサイクル管理を伴うセキュリティ評価を実施する場合
• 関連するセキュリティ事象へのインシデント対応手順に従う場合
• 定期的なセキュリティテストや監査を実施する場合
• 実地テストを通じてセキュリティ制御を検証する場合

前提条件

• 暗号技術の概念とツールに関する知識
• 安全に実行できるテスト環境またはラボ環境へのアクセス
• 必要な依存関係をインストールした Python 3.8 以降
• テスト活動に対する適切な許可

目標

• 証明書署名要求（CSR）をプログラムで生成する
• X.509 証明書を解析して検証する
• インフラストラクチャ全体で証明書の有効期限を監視する
• ACME プロトコル（Let's Encrypt）を使用して更新を自動化する
• 証明書失効チェック（CRL と OCSP）を実装する
• 複数のドメインにまたがる証明書インベントリを追跡する

主な概念

証明書のライフサイクル段階

1. 申請：鍵ペアと CSR を生成する
2. 発行：CA が検証して証明書を発行する
3. 展開：サーバーに証明書をインストールする
4. 監視：有効期限と正常性を追跡する
5. 更新：有効期限が切れる前に新しい証明書を申請する
6. 失効：侵害された証明書を無効にする

証明書の種類

種類	検証	用途
DV（ドメイン認証）	ドメインの所有権	ウェブサイト、API
OV（組織認証）	ドメインと組織の身元	ビジネスサイト
EV（拡張認証）	法的情報の完全な確認	E コマース、銀行
ワイルドカード	*.domain.com	複数のサブドメイン
SAN/UCC	複数のドメイン	複数ドメインのホスティング

セキュリティに関する考慮事項

• すべての証明書に自動監視を設定する
• RSA よりパフォーマンスに優れた ECDSA（P-256）証明書を使用する
• すべてのサーバーで OCSP ステープリングを有効にする
• Certificate Transparency ログの監視を実装する
• すべての証明書とその配置場所のインベントリを維持する
• CA の侵害シナリオ（鍵のピン留め、バックアップ CA）に備える

検証基準

• CSR の生成によって有効な PKCS#10 要求が作成される
• 証明書の解析によって関連するすべてのフィールドが抽出される
• 有効期限の監視によってしきい値内の証明書が検出される
• 証明書チェーンの検証によって信頼パスが確認される
• OCSP チェックによって失効した証明書が検出される
• 証明書インベントリによって展開済みのすべての証明書が追跡される