Manpages

1. 鍵 の エ ン ト リ

- 各 エ ン ト リ は 、 非 常 に 重 要 な 暗 号 化 の 鍵 の 情 報 を 保 持 し

2. 信 頼 で き る 証 明 書 の エ ン ト リ

- 各 エ ン ト リ は 、 第 三 者 か ら の 公 開 鍵 証 明

公 開 鍵 公 開 鍵 は 、 特 定 の エ ン テ ィ テ ィ に 関 連 付 け ら れ た 数 で す 。 公 開 鍵 は 、 該 当 す る エ ン テ ィ テ ィ と の 間 に 信 頼 で き る 関 係 を 持 つ 必 要 が あ る す べ て の 人 に 対 し て 公 開 す る こ と を 意 図 し た も の で す 。 公 開 鍵 は 、 署 名 を 検 証 す る の に 使 わ れ ま す 。

デ ジ タ ル 署 名 デ ー タ が 「 デ ジ タ ル 署 名 」 さ れ る と 、 そ の デ ー タ は 、 エ ン テ ィ テ ィ の 「 ア イ デ ン テ ィ テ ィ 」 と 、 そ の エ ン テ ィ テ ィ が デ ー タ の 内 容 に つ い て 知 っ て い る こ と を 証 明 す る 署 名 と と も に 格 納 さ れ ま す 。 エ ン テ ィ テ ィ の 非 公 開 鍵 を 使 っ て デ ー タ に 署 名 を 付 け る と 、 デ ー タ の 偽 造 は 不 可 能 に な り ま す 。 ア イ デ ン テ ィ テ ィ エ ン テ ィ テ ィ を 特 定 す る た め の 既 知 の 方 法 で す 。 シ ス テ ム に よ っ て は 、 公 開 鍵 を ア イ デ ン テ ィ テ ィ に す る も の が あ り ま す 。 公 開 鍵 の ほ か に も 、

署 名 署 名 は 、 な ん ら か の デ ー タ を 基 に エ ン テ ィ テ ィ

非 公 開 鍵 非 公 開 鍵 は 特 定 の エ ン テ ィ テ ィ だ け が 知 っ て い る 数 の こ と で 、 こ の 数 の こ と を 、 そ の エ ン テ ィ テ ィ の 非 公 開 鍵 と い い ま す 。 非 公 開 鍵 は 、 ほ か に 知 ら れ な い よ う に 秘 密 に し て お く こ と が 前 提 に な っ て い ま す 。 ど の よ う な 「 公 開 鍵 暗 号 化 シ ス テ ム 」 で も 、 非 公 開 鍵 と 公 開 鍵 が 対

エ ン テ ィ テ ィ エ ン テ ン テ ィ は 、 人 、 組 織 、 プ ロ グ ラ ム 、 コ ン ピ ュ ー タ 、 企 業 、 銀 行 な ど 、 一 定 の 度 合 い で 信 頼 の 対 象 と な る さ ま ざ ま な も の を 指 し ま す 。 公 開 鍵 暗 号 化 で は 、 そ の 性 質 上 、 ユ ー ザ の 公 開 鍵 に ア ク セ ス す る 必 要 が あ り ま す 。 大 規 模 な ネ ッ ト ワ ー ク 環 境 で は 、 互 い に 通 信 し て い る エ ン テ ィ テ ィ 間 で 以 前 の 関 係 が 引 き 続 き 確 立 さ れ て い る と 仮 定 し た り 、 使 わ れ て い る す べ て の 公 開 鍵 を 収 め た 信 頼 で き る リ ポ ジ ト リ が 存 在 す る と 仮 定 し た り す る こ と は 不 可 能 で す 。 証 明 書 は 、 こ の よ う な 公 開 鍵 配 布 の 問 題 に 対 す る 解 決 策 と し て 考 案 さ れ ま し た 。 「 証 明 書 発 行 局 」

•

commonName—人 の 通 称 。 「 Susan Jones」 な ど

•

organizationUnit—小 さ な 組 織 (部 、 課 な ど ) の 名 称 。 「 仕 入 部 」 な ど

•

organizationName—大 き な 組 織 の 名 称 。 「 ABCSystems, Inc.」 な ど

•

localityName—地 域 (都 市 ) 名 。 「 Palo Alto」 な ど

•

stateName—州 名 ま た は 地 方 名 。 「 California」 な ど

•

country—2 文 字 の 国 番 号 。 「 CH」 な ど

1. 信 頼 で き る 証 明 書 の リ ス ト に 証 明 書 を 追 加 す る

2.

1. 元 の 鍵 エ ン ト リ を コ ピ ー

(複 製 ) す る ( -keyclone を 参 照 )

製 し た エ ン ト リ の 新 し い 自 己 署 名 証 明 書 を 生 成 す る (以 下 を 参 照 )

エ ン ト リ の 証 明 書 署 名 要 求 を 生 成 し 、 応 答 と し て 送 ら れ て き た 証 明 書 ま た は 証 明 連 鎖 を イ ン ポ ー ト す る ( -certreq サ ブ コ マ ン ド と -import サ ブ コ マ ン ド を 参 照 )

4.

元 の (不 要 に な っ た ) エ ン ト リ を 削 除 す る ( -delete コ マ ン ド を 参 照 ) 自 己 署 名 証 明 書 を 生 成 す る に は 、 -selfcert サ ブ コ マ ン ド を 使 い ま す 。 た と え ば 、 次 の よ う に し ま す 。

example% keytool -selfcert -alias dukeNew -keypass b92kqmp
-dname "cn=Duke Smith, ou=Purchasing, o=BlueSoft, c=US" 生 成 さ れ た 証 明 書 は 、 指 定 し た 別 名 (こ の 例 で は dukeNew) に よ っ て 特 定 さ れ る キ ー ス ト ア エ ン ト リ に 、 要 素 を 1 つ だ け 持 つ 証 明 連 鎖 と し て 格 納 さ れ ま す 。 該 当 す る キ ー ス ト ア エ ン ト リ の 既 存 の 証 明 連 鎖 は 、 新 し い 証 明 連 鎖 に よ っ て 置 き 換 え ら れ ま す 。

使 用 法

以 下 で は 、 サ ブ コ マ ン ド と そ の オ プ シ ョ ン に つ い て 説 明 し ま す 。 コ マ ン ド と オ プ シ ョ ン を 指 定 す る と き は 、 次 の 点 に 注 意 し て く だ さ い 。

括 弧 で 囲 ま れ て い る す べ て の 項 目 は 、 そ の と お り に 指 定 す る 必 要 が あ る

-v 、 -rfc 、 お よ び -J オ プ シ ョ ン を 囲 む の に も 使 わ れ る が 、 こ れ ら の オ プ シ ョ ン は コ マ ン ド 行 で 指 定 さ れ た 場 合 に の み 意 味 を 持 つ (つ ま り 、 こ れ ら の オ プ シ ョ ン に は 、 オ プ シ ョ ン 自 体 を 指 定 し な い こ と 以 外 に 「 既 定 値 」 は 存 在 し な い )

-keypass オ プ シ ョ ン を コ マ ン ド 行 で 指 定 し な か っ た 場 合 は 、 keytool が キ ー ス ト ア の パ ス ワ ー ド か ら 非 公 開 鍵 の 復 元 を 試 み る 。 ユ ー ザ は 、 こ の 試 み が 失 敗 し た 場 合 に 非 公 開 鍵 の 入 力 を 求 め ら れ る

要 が あ る 。 た と え ば 、 -printcert サ ブ コ マ ン ド の 形 式 は 次 の と お り で あ る

example% keytool -printcert {-file cert_file} {-v}

-printcert サ ブ コ マ ン ド を 指 定 す る と き は 、 cert_file の 代 わ り に 実 際 の フ ァ イ ル 名 を 指 定 す る 。 次 に 例 を 示 す

example% keytool -printcert -file VScert.cer

む 必 要 が あ る

example% keytool こ れ は 、 次 の よ う に 指 定 す る こ と と 同 じ で あ る

example% keytool -help オ プ シ ョ ン の 既 定 値 オ プ シ ョ ン の 既 定 値 は 、 次 の と お り で す 。

-alias "mykey"
-keyalg "DSA"
-keysize 1024
-validity 90
-keystore ユ ー ザ の ホ ー ム デ ィ レ ク ト リ の .keystore と い う フ ァ イ ル
-file 読 み 込 み の 場 合 は 標 準 入 力 、 書 き 込 み の 場 合 は 標 準 出 力 署 名 ア ル ゴ リ ズ ム ( -sigalg オ プ シ ョ ン ) は 、 基 に な る 非 公 開 鍵 の ア ル ゴ リ ズ ム か ら 派 生 し ま す 。 基 に な る 非 公 開 鍵 の タ イ プ が DSA で あ り 、 -sigalg 非 公 開 鍵 の タ イ プ が RSA で あ る 場 合 、 -sigalg は 既 定 値 で MD5withRSA に な り ま す 。 ほ と ん ど の サ ブ コ マ ン ド で 使 わ れ る オ プ シ ョ ン
-v オ プ シ ョ ン は 、 -help を 除 く す べ て の サ ブ コ マ ン ド で 使 用 で き ま す 。 こ の オ プ シ ョ ン を 指 定 し た 場 合 、 コ マ ン ド は 「 冗 長 」 モ ー ド で 実 行 さ れ 、 詳 細 な 証 明 書 情 報 が 出 力 さ れ ま す 。 ま た 、 -Jjavaoption オ プ シ ョ ン も 、 任 意 の サ ブ コ マ ン ド で 使 用 で き ま す 。 こ の オ プ シ ョ ン を 指 定 し た 場 合 、 指 定 さ れ た -javaoption 文 字 列 が Java イ ン タ プ リ タ に 直 接 渡 さ れ ま す 。 keytool は 、 実 際 に は Java イ ン タ プ リ タ に 対 す る 「 ラ ッ パ ー 」 で す 。 こ の オ プ シ ョ ン に は 、 空 白 を 含 め る こ と は で き ま せ ん 。 こ の オ プ シ ョ ン は 、 実 行 環 境 ま た は メ モ リ 使 用 を 調 整 す る 場 合 に 便 利 で す 。 指 定 で き る イ ン タ プ リ タ オ プ シ ョ ン を 一 覧 表 示 す る に は 、 コ マ ン ド 行 で java -h ま た は java -X と 入 力 し て く だ さ い 。 次 の 3 つ の オ プ シ ョ ン は 、 キ ー ス ト ア に 対 す る 操 作 を 行 う す べ て の コ マ ン ド で 指 定 で き ま す 。
-storetype storetype こ の 修 飾 子 は 、 イ ン ス タ ン ス を 生 成 す る キ ー ス ト ア の タ イ プ を 指 定 し ま す 。 デ フ ォ ル ト の キ ー ス ト ア タ イ プ は 、 セ キ ュ リ テ ィ プ ロ パ テ ィ フ ァ イ ル 内 の keystore.type プ ロ パ テ ィ の 値 で 指 定 さ れ た タ イ プ で す 。 こ の 値 は 、 java.security.KeyStore の static getDefaultType メ ソ ッ ド で 取 得 で き ま す 。
-keystore keystore キ ー ス ト ア (デ ー タ ベ ー ス フ ァ イ ル ) の 場 所 を 指 定 し ま す 。 デ フ ォ ル ト は 、 ユ ー ザ の ホ ー ム デ ィ レ ク ト リ 内 の フ ァ イ ル .keystore で す 。 ユ ー ザ の ホ ー ム デ ィ レ ク ト リ は 、 user.home シ ス テ ム プ ロ パ テ ィ に よ っ て 決 ま り ま す 。
-storepass storepass キ ー ス ト ア の 完 全 性 を 保 護 す る た め に 使 う パ ス ワ ー ド を 指 定 し ま す 。 storepass は 、 6 文 字 以 上 で な け れ ば な り ま せ ん 。 指 定 し た パ ス ワ ー ド は 、 キ ー ス ト ア の 内 容 に ア ク セ ス す る す べ て の サ ブ コ マ ン ド で 使 わ れ ま す 。 こ の 種 の サ ブ コ マ ン ド を 実 行 す る と き に 、 コ マ ン ド 行 で -storepass オ プ シ ョ ン を 指 定 し な か っ た 場 合 は 、 パ ス ワ ー ド の 入 力 を 求 め ら れ ま す 。
−provider provider_class_name サ ー ビ ス プ ロ バ イ ダ が セ キ ュ リ テ ィ プ ロ パ テ ィ フ ァ イ ル の リ ス ト に 入 っ て い な い と き に 、 暗 号 化 サ ー ビ ス プ ロ バ イ ダ の マ ス タ ー ク ラ ス フ ァ イ ル の 名 前 を 指 定 し ま す 。 キ ー ス ト ア か ら 情 報 を 取 り 出 す 場 合 は 、 パ ス ワ ー ド を 省 略 で き ま す 。 パ ス ワ ー ド を 省 略 す る と 、 取 り 出 す 情 報 の 完 全 性 を チ ェ ッ ク で き な い の で 、 警 告 が 表 示 さ れ ま す 。 パ ス ワ ー ド の 扱 い に は 十 分 注 意 す る 必 要 が あ り ま す 。 「 パ ス ワ ー ド に 関 す る 注 意 事 項 」 を 参 照 し て く だ さ い 。 パ ス ワ ー ド に 関 す る 注 意 事 項 キ ー ス ト ア に 対 す る 操 作 を 行 う ほ と ん ど の サ ブ コ マ ン ド で は 、 ス ト ア の パ ス ワ ー ド が 必 要 で す 。 ま た 、 一 部 の サ ブ コ マ ン ド で は 、 非 公 開 鍵 の パ ス ワ ー ド が 必 要 に な る こ と が あ り ま す 。 パ ス ワ ー ド は コ マ ン ド 行 で 指 定 で き ま す (ス ト ア の パ ス ワ ー ド に は -storepass オ プ シ ョ ン 、 非 公 開 鍵 の パ ス ワ ー ド に は -keypass オ プ シ ョ ン を 使 用 )。 た だ し 、 テ ス ト を 目 的 と す る 場 合 、 ま た は 安 全 で あ る こ と が わ か っ て い る シ ス テ ム で 実 行 す る 場 合 以 外 は 、 コ マ ン ド 行 や ス ク リ プ ト で パ ス ワ ー ド を 指 定 し な い で く だ さ い 。 必 要 な パ ス ワ ー ド の オ プ シ ョ ン を コ マ ン ド 行 で 指 定 し な か っ た 場 合 は 、 パ ス ワ ー ド の 入 力 を 求 め ら れ ま す 。 password プ ロ ン プ ト で パ ス ワ ー ド を 入 力 す る と 、 入 力 し た パ ス ワ ー ド が エ コ ー さ れ 、 そ の ま ま 画 面 に 表 示 さ れ ま す 。 こ の た め 、 周 囲 に ほ か の ユ ー ザ が い る 場 合 は 、 パ ス ワ ー ド を 見 ら れ な い よ う に 注 意 し て く だ さ い 。 サ ブ コ マ ン ド 使 用 法 も 参 照 し て く だ さ い 。 キ ー ス ト ア へ の デ ー タ の 追 加
−genkey {−alias alias} {−keyalg keyalg} {−keysize keysize}

{−sigalg sigalg} [−dname dname] [−keypass keypass]
{−validity valDays} {−storetype storetype}
{−keystore keystore} [−storepass storepass]
[−provider provider_class_name] {−v}
{−Jjavaoption} 鍵 の ペ ア (公 開 鍵 お よ び 関 連 す る 非 公 開 鍵 ) を 生 成 し ま す 。 公 開 鍵 は X.509 v1 自 己 署 名 証 明 書 で ラ ッ プ さ れ ま す 。 証 明 書 は 、 単 一 の 要 素 を 持 つ 証 明 連 鎖 と し て 格 納 さ れ ま す 。 こ の 証 明 連 鎖 と 非 公 開 鍵 は 、 alias で 特 定 さ れ る 新 し い キ ー ス ト ア エ ン ト リ に 格 納 さ れ ま す 。

keyalg に は 、 鍵 の ペ ア を 生 成 す る の に 使 う ア ル ゴ リ ズ ム を 指 定 し 、 keysize に は 、 生 成 す る 各 鍵 の サ イ ズ を 指 定 し ま す 。 sigalg に は 、 自 己 署 名 証 明 書 に 署 名 を 付 け る と き に 使 う ア ル ゴ リ ズ ム を 指 定 し ま す 。 こ の ア ル ゴ リ ズ ム は 、 keyalg と 互 換 性 の あ る も の で な け れ ば な り ま せ ん 。 「 サ ポ ー ト さ れ る ア ル ゴ リ ズ ム と 鍵 の サ イ ズ 」 を 参 照 し て く だ さ い 。

dname に は 、 alias に 関 連 付 け 、 自 己 署 名 証 明 書 の issuer フ ィ ー ル ド と subject フ ィ ー ル ド と し て 使 う X.500 識 別 名 を 指 定 し ま す 。 コ マ ン ド 行 で 識 別 名 を 指 定 し な か っ た 場 合 は 、 識 別 名 の 入 力 を 求 め ら れ ま す 。

keypass に は 、 生 成 さ れ る 鍵 の ペ ア の う ち 、 非 公 開 鍵 を 保 護 す る の に 使 う パ ス ワ ー ド を 指 定 し ま す 。 パ ス ワ ー ド を 指 定 し な か っ た 場 合 は 、 パ ス ワ ー ド の 入 力 を 求 め ら れ ま す 。 こ の と き 、 Enter キ ー を 押 す と 、 キ ー ス ト ア の パ ス ワ ー ド と 同 じ パ ス ワ ー ド が 鍵 の パ ス ワ ー ド に 設 定 さ れ ま す 。 keypass は 、 6 文 字 以 上 で な け れ ば な り ま せ ん 。 パ ス ワ ー ド の 扱 い に は 十 分 注 意 す る 必 要 が あ り ま す 。 「 パ ス ワ ー ド に 関 す る 注 意 事 項 」 を 参 照 し て く だ さ い 。

valDays に は 、 証 明 書 の 有 効 日 数 を 指 定 し ま す 。

−import {−alias alias} {−file cert_file} [−keypass keypass]

{−noprompt} {−trustcacerts} {−storetype storetype}
{−keystore keystore} [−storepass storepass]
[−provider provider_class_name]
{−v} {−Jjavaoption} フ ァ イ ル cert_file か ら 証 明 書 ま た は 証 明 連 鎖 (証 明 連 鎖 の 場 合 は 、 PKCS#7 形 式 の 応 答 で 提 供 さ れ る も の ) を 読 み 込 み 、 alias に よ っ て 特 定 さ れ る キ ー ス ト ア エ ン ト リ に 格 納 し ま す 。 証 明 書 ま た は PKCS#7 応 答 を 標 準 入 力 か ら 読 み 込 み ま す 。 keytool で は 、 X.509 v1、 v2、 v3 の 証 明 書 、 お よ び 、 PKCS#7 形 式 の 証 明 書 か ら 構 成 さ れ て い る PKCS#7 形 式 の 証 明 連 鎖 を イ ン ポ ー ト で き ま す 。 イ ン ポ ー ト す る デ ー タ は 、 バ イ ナ リ エ ン コ ー デ ィ ン グ 方 式 、 ま た は プ リ ン ト 可 能 エ ン コ ー デ ィ ン グ 方 式 (Base64 エ ン コ ー デ ィ ン グ と も 呼 ば れ る ) の ど ち ら か で 提 供 す る 必 要 が あ り ま す 。 プ リ ン ト 可 能 エ ン コ ー デ ィ ン グ 方 式 は 、 イ ン タ ー ネ ッ ト RFC 1421 証 明 書 エ ン コ ー デ ィ ン グ 規 格 で 定 義 さ れ て い ま す 。 こ の エ ン コ ー デ ィ ン グ 方 式 の 場 合 、 証 明 書 は 「 -----BEGIN」 で 始 ま る 文 字 列 で 開 始 さ れ 、 「 -----END」 で 始 ま る 文 字 列 で 終 了 し な け れ ば な り ま せ ん 。 新 し く 信 頼 で き る 証 明 書 を イ ン ポ ー ト す る 場 合 、 キ ー ス ト ア に alias が 存 在 し て い て は い け ま せ ん 。 keytool は 、 キ ー ス ト ア に 証 明 書 を 追 加 す る 前 に 、 キ ー ス ト ア 内 に す で に 存 在 す る 信 頼 で き る 証 明 書 を 使 っ て 、 イ ン ポ ー ト す る 証 明 書 か ら (ル ー ト CA の ) 自 己 署 名 証 明 書 に 至 る ま で の 信 頼 の 連 鎖 の 構 築 を 試 み ま す 。

-trustcacerts オ プ シ ョ ン が 指 定 さ れ て い る 場 合 は 、 信 頼 の 連 鎖 を 構 築 す る と き に 、 ほ か の 証 明 書 も 考 慮 さ れ ま す 。 考 慮 の 対 象 と な る 証 明 書 は 、 cacerts と い う 名 前 の フ ァ イ ル に 含 ま れ る 証 明 書 で す 。 こ の フ ァ イ ル は 、 JDK セ キ ュ リ テ ィ プ ロ パ テ ィ デ ィ レ ク ト リ java.home/lib/security に あ り ま す 。 java.home は 、 JDK の イ ン ス ト ー ル 先 デ ィ レ ク ト リ で す 。 cacerts フ ァ イ ル は 、 CA の 証 明 書 を 含 む 、 シ ス テ ム 全 体 の キ ー ス ト ア で す 。 シ ス テ ム 管 理 者 は 、 キ ー ス ト ア タ イ プ に jks を 指 定 す る こ と で 、 keytool を 使 っ て こ の フ ァ イ ル の 構 成 と 管 理 を 行 う こ と が で き ま す 。 cacerts キ ー ス ト ア フ ァ イ ル は 、 次 に 示 す X.500 識 別 名 を 持 つ 5 つ の VeriSign ル ー ト CA 証 明 書 を 含 ん だ 状 態 で 出 荷 さ れ て い ま す 。

cacerts キ ー ス ト ア フ ァ イ ル の 初 期 パ ス ワ ー ド は 、 changeit で す 。 シ ス テ ム 管 理 者 は 、 JDK の イ ン ス ト ー ル 後 、 こ の フ ァ イ ル の パ ス ワ ー ド と デ フ ォ ル ト ア ク セ ス 権 を 変 更 す る 必 要 が あ り ま す 。

keytool が 、 イ ン ポ ー ト す る 証 明 書 か ら 自 己 署 名 証 明 書 (キ ー ス ト ア ま た は cacerts フ ァ イ ル に 含 ま れ て い る 自 己 署 名 証 明 書 ) に 至 る ま で の 信 頼 の パ ス の 構 築 に 失 敗 し た 場 合 は 、 イ ン ポ ー ト す る 証 明 書 の 情 報 を 表 示 し 、 ユ ー ザ に 確 認 を 求 め ま す 。 こ の 場 合 は 、 表 示 さ れ た 証 明 書 の フ ィ ン ガ ー プ リ ン ト と 、 ほ か の な ん ら か の (信 頼 で き る ) 情 報 源 (証 明 書 の 所 有 者 本 人 な ど ) か ら 入 手 し た フ ィ ン ガ ー プ リ ン ト と を 比 較 し ま す 。 「 信 頼 で き る 証 明 書 」 と し て 証 明 書 を イ ン ポ ー ト す る と き は 、 証 明 書 が 有 効 で あ る こ と を 慎 重 に 確 認 す る 必 要 が あ り ま す 。 詳 細 は 、 「 信 頼 で き る 証 明 書 の イ ン ポ ー ト に 関 す る 注 意 事 項 」 を 参 照 し て く だ さ い 。 イ ン ポ ー ト 操 作 は 、 証 明 書 を 確 認 す る 時 点 で 中 止 で き ま す 。 た だ し 、 -noprompt オ プ シ ョ ン が 指 定 さ れ て い る 場 合 、 ユ ー ザ と の 対 話 は 行 わ れ ま せ ん 。 証 明 書 応 答 を イ ン ポ ー ト す る と き は 、 キ ー ス ト ア 内 の 信 頼 で き る 証 明 書 、 お よ び ( -trustcacerts オ プ シ ョ ン が 指 定 さ れ て い る 場 合 は ) cacerts キ ー ス ト ア フ ァ イ ル で 構 成 さ れ た 証 明 書 を 使 っ て 証 明 書 応 答 が 検 査 さ れ ま す 。 証 明 書 応 答 が 単 一 の X.509 証 明 書 で あ る 場 合 、 keytool は 、 証 明 書 応 答 か ら (ル ー ト CA の ) 自 己 署 名 証 明 書 に 至 る ま で の 信 頼 連 鎖 の 確 立 を 試 み ま す 。 証 明 書 応 答 と 、 証 明 書 応 答 の 認 証 に 使 わ れ る 証 明 書 の 階 層 構 造 は 、 alias の 新 し い 証 明 書 連 鎖 を 形 成 し ま す 。 証 明 書 応 答 が PKCS#7 形 式 の 証 明 連 鎖 で あ る 場 合 、 keytool は 、 ま ず 連 鎖 を 並 べ 替 え て 、 ユ ー ザ の 証 明 書 が 最 初 に 、 ル ー ト CA の 自 己 署 名 証 明 書 が 最 後 に く る よ う に し た あ と 、 証 明 書 応 答 に 含 ま れ る ル ー ト CA の 証 明 書 と 、 キ ー ス ト ア 内 ま た は ( -trustcacerts オ プ シ ョ ン が 指 定 さ れ て い る 場 合 は ) cacerts キ ー ス ト ア フ ァ イ ル 内 の 信 頼 で き る 証 明 書 と を す べ て 比 較 し 、 一 致 す る も の が あ る か ど う か を 調 べ ま す 。 一 致 す る も の が 見 つ か ら な か っ た 場 合 は 、 ル ー ト CA の 証 明 書 の 情 報 を 表 示 し 、 ユ ー ザ に 確 認 を 求 め ま す 。 こ の 場 合 は 、 表 示 さ れ た 証 明 書 の フ ィ ン ガ ー プ リ ン ト と 、 ほ か の な ん ら か の (信 頼 で き る ) 情 報 源 (ル ー ト CA 自 身 な ど ) か ら 入 手 し た フ ィ ン ガ ー プ リ ン ト と を 比 較 し ま す 。 イ ン ポ ー ト 操 作 は 、 証 明 書 を 確 認 す る 時 点 で 中 止 で き ま す 。 た だ し 、 -noprompt オ プ シ ョ ン が 指 定 さ れ て い る 場 合 、 ユ ー ザ と の 対 話 は 行 わ れ ま せ ん 。

alias に 関 連 付 け ら れ た 以 前 の 証 明 連 鎖 は 、 新 し い 証 明 連 鎖 に よ っ て 置 き 換 え ら れ ま す 。 以 前 の 証 明 連 鎖 を 新 し い 証 明 連 鎖 で 置 き 換 え る こ と が で き る の は 、 有 効 な keypass、 つ ま り 該 当 す る エ ン ト リ の 非 公 開 鍵 を 保 護 す る た め の パ ス ワ ー ド を 指 定 し た 場 合 だ け で す 。 パ ス ワ ー ド を 指 定 し て お ら ず 、 非 公 開 鍵 の パ ス ワ ー ド が キ ー ス ト ア の パ ス ワ ー ド と 異 な る 場 合 は 、 非 公 開 鍵 の パ ス ワ ー ド の 入 力 を 求 め ら れ ま す 。 パ ス ワ ー ド の 扱 い に は 十 分 注 意 す る 必 要 が あ り ま す 。 「 パ ス ワ ー ド に 関 す る 注 意 事 項 」 を 参 照 し て く だ さ い 。

−selfcert {−alias alias} {−sigalg sigalg} {−dname dname}

{−validity valDays} [−keypass keypass]
{−storetype storetype} {−keystore keystore}
[−storepass storepass]
[−provider provider_class_name]
{−v} {−Jjavaoption}

alias に 関 連 付 け ら れ た 非 公 開 鍵 と 公 開 鍵 を 含 む キ ー ス ト ア の 情 報 を 使 っ て 、 X.509 v1 自 己 署 名 証 明 書 を 生 成 し ま す 。 コ マ ン ド 行 で dname が 指 定 さ れ て い る 場 合 は 、 証 明 書 の issuer フ ィ ー ル ド と subject フ ィ ー ル ド の 両 方 に 対 し て 、 dname が X.500 識 別 名 と し て 使 わ れ ま す 。 dname が 指 定 さ れ て い な い 場 合 は 、 (既 存 の 証 明 連 鎖 の 最 後 の ) alias に 関 連 付 け ら れ た X.500 識 別 名 が 使 わ れ ま す 。 生 成 さ れ た 証 明 書 は 、 単 一 の 要 素 を 持 つ 証 明 連 鎖 と し て 、 alias で 特 定 さ れ る キ ー ス ト ア エ ン ト リ に 格 納 さ れ ま す 。 該 当 す る エ ン ト リ の 既 存 の 証 明 連 鎖 は 、 新 し い 証 明 連 鎖 に よ っ て 置 き 換 え ら れ ま す 。

sigalg に は 、 証 明 書 に 署 名 を 付 け る と き に 使 う ア ル ゴ リ ズ ム を 指 定 し ま す 。 「 サ ポ ー ト さ れ る ア ル ゴ リ ズ ム と 鍵 の サ イ ズ 」 を 参 照 し て く だ さ い 。 非 公 開 鍵 は キ ー ス ト ア 内 で は パ ス ワ ー ド に よ っ て 保 護 さ れ て い る の で 、 非 公 開 鍵 に ア ク セ ス す る に は 、 適 切 な パ ス ワ ー ド を 提 供 す る 必 要 が あ り ま す 。 コ マ ン ド 行 で keypass を 指 定 し て お ら ず 、 非 公 開 鍵 の パ ス ワ ー ド が キ ー ス ト ア の パ ス ワ ー ド と 異 な る 場 合 は 、 非 公 開 鍵 の パ ス ワ ー ド の 入 力 を 求 め ら れ ま す 。 パ ス ワ ー ド の 扱 い に は 十 分 注 意 す る 必 要 が あ り ま す 。 「 パ ス ワ ー ド に 関 す る 注 意 事 項 」 を 参 照 し て く だ さ い 。

valDays に は 、 証 明 書 の 有 効 日 数 を 指 定 し ま す 。

−identitydb {−file idb_file} {−storetype storetype}

{−keystore keystore} [−storepass storepass]
[−provider provider_class_name]
{−v} {−Jjavaoption} フ ァ イ ル idb_file か ら JDK 1.1.x 形 式 の ア イ デ ン テ ィ テ ィ デ ー タ ベ ー ス を 読 み 込 み 、 ア イ デ ン テ ィ テ ィ デ ー タ ベ ー ス の エ ン ト リ を キ ー ス ト ア に 追 加 し ま す 。 フ ァ イ ル が 指 定 さ れ て い な い 場 合 は 、 標 準 入 力 か ら ア イ デ ン テ ィ テ ィ デ ー タ ベ ー ス を 読 み 込 み ま す 。 キ ー ス ト ア が 存 在 し な い 場 合 は 、 作 成 さ れ ま す 。 ア イ デ ン テ ィ テ ィ デ ー タ ベ ー ス の エ ン ト リ (「 ア イ デ ン テ ィ テ ィ 」 ) の う ち 、 キ ー ス ト ア に イ ン ポ ー ト さ れ る の は 、 信 頼 で き る も の と し て マ ー ク さ れ た エ ン ト リ だ け で す 。 そ の 他 の す べ て の エ ン ト リ は 無 視 さ れ ま す 。 信 頼 で き る ア イ デ ン テ ィ テ ィ ご と に 、 キ ー ス ト ア エ ン ト リ が 1 つ 作 成 さ れ ま す 。 ア イ デ ン テ ィ テ ィ の 名 前 は 、 キ ー ス ト ア エ ン ト リ の 「 別 名 」 と し て 使 わ れ ま す 。 信 頼 で き る ア イ デ ン テ ィ テ ィ か ら の す べ て の 非 公 開 鍵 は 、 ど れ も 同 じ パ ス ワ ー ド storepass で 暗 号 化 さ れ ま す 。 こ の パ ス ワ ー ド は 、 キ ー ス ト ア の 完 全 性 を 保 護 す る た め に 使 わ れ る パ ス ワ ー ド と 同 じ で す 。 keytool の -keypasswd コ マ ン ド の オ プ シ ョ ン を 使 え ば 、 あ と で 個 別 に 非 公 開 鍵 に パ ス ワ ー ド を 割 り 当 て る こ と が で き ま す 。 ア イ デ ン テ ィ テ ィ デ ー タ ベ ー ス 内 の ア イ デ ン テ ィ テ ィ は 、 そ れ ぞ れ が 同 じ 公 開 鍵 を 認 証 す る 複 数 の 証 明 書 を 含 ん で い る こ と が あ り ま す 。 一 方 、 非 公 開 鍵 を 格 納 す る キ ー ス ト ア の 鍵 エ ン ト リ に 含 ま れ る の は 、 そ の 非 公 開 鍵 と 、 単 一 の 「 証 明 連 鎖 」 (最 初 は 単 一 の 証 明 書 だ け ) で あ り 、 非 公 開 鍵 に 対 応 す る 公 開 鍵 は 連 鎖 内 の 最 初 の 証 明 書 に 含 ま れ て い ま す 。 ア イ デ ン テ ィ テ ィ か ら 情 報 を イ ン ポ ー ト す る 場 合 は 、 ア イ デ ン テ ィ テ ィ の 最 初 の 証 明 書 だ け が キ ー ス ト ア に 格 納 さ れ ま す 。 こ れ は 、 ア イ デ ン テ ィ テ ィ デ ー タ ベ ー ス 内 の ア イ デ ン テ ィ テ ィ の 名 前 が 、 対 応 す る キ ー ス ト ア エ ン ト リ の 別 名 と し て 使 わ れ 、 別 名 は キ ー ス ト ア 内 で 一 意 で あ る た め で す 。 デ ー タ の エ ク ス ポ ー ト

−certreq {−alias alias} {−sigalg sigalg} {−file certreq_file}

[−keypass keypass]
{−storetype storetype} {−keystore keystore}
[−storepass storepass]
[−provider provider_class_name]
{−v} {−Jjavaoption}

PKCS#10 形 式 を 使 っ て 証 明 書 署 名 要 求 (CSR) を 生 成 し ま す 。

CSR は 、 証 明 書 発 行 局 (CA) に 送 信 す る こ と を 目 的 と し た も の で す 。 CA は 、 証 明 書 要 求 者 を (通 常 は オ フ ラ イ ン で ) 認 証 し 、 証 明 書 ま た は 証 明 連 鎖 を 送 り 返 し ま す 。 こ の 証 明 書 ま た は 証 明 連 鎖 は 、 キ ー ス ト ア 内 の 既 存 の 証 明 連 鎖 (最 初 は 1 つ の 自 己 署 名 証 明 書 か ら 構 成 さ れ る ) に 置 き 換 え て 使 い ま す 。

alias に 関 連 付 け ら れ た 非 公 開 鍵 と X.500 識 別 名 は 、 PKCS#10 証 明 書 要 求 を 作 成 す る の に 使 わ れ ま す 。 非 公 開 鍵 は キ ー ス ト ア 内 で は パ ス ワ ー ド に よ っ て 保 護 さ れ て い る の で 、 非 公 開 鍵 に ア ク セ ス す る に は 、 適 切 な パ ス ワ ー ド を 提 供 す る 必 要 が あ り ま す 。 コ マ ン ド 行 で alias を 指 定 し て お ら ず 、 非 公 開 鍵 の パ ス ワ ー ド が キ ー ス ト ア の パ ス ワ ー ド と 異 な る 場 合 は 、 非 公 開 鍵 の パ ス ワ ー ド の 入 力 を 求 め ら れ ま す 。 パ ス ワ ー ド の 扱 い に は 十 分 注 意 す る 必 要 が あ り ま す 。 「 パ ス ワ ー ド に 関 す る 注 意 事 項 」 を 参 照 し て く だ さ い 。

sigalg に は 、 CSR に 署 名 を 付 け る と き に 使 う ア ル ゴ リ ズ ム を 指 定 し ま す 。 「 サ ポ ー ト さ れ る ア ル ゴ リ ズ ム と 鍵 の サ イ ズ 」 を 参 照 し て く だ さ い 。

CSR は 、 フ ァ イ ル certreq_file に 格 納 さ れ ま す 。 フ ァ イ ル が 指 定 さ れ て い な い 場 合 は 、 標 準 出 力 に CSR が 出 力 さ れ ま す 。

CA か ら の 応 答 を イ ン ポ ー ト す る に は 、 import コ マ ン ド を 使 い ま す 。

−export {−alias alias} {−file cert_file} {−storetype storetype}

{−keystore keystore} [−storepass storepass]
[−provider provider_class_name]
{−rfc} {−v} {−Jjavaoption}

alias に 関 連 付 け ら れ た 証 明 書 を (キ ー ス ト ア か ら ) 読 み 込 み 、 フ ァ イ ル cert_file に 格 納 し ま す 。 フ ァ イ ル が 指 定 さ れ て い な い 場 合 は 、 標 準 出 力 に 証 明 書 が 出 力 さ れ ま す 。 デ フ ォ ル ト で は 、 バ イ ナ リ エ ン コ ー デ ィ ン グ の 証 明 書 が 出 力 さ れ ま す 。 た だ し 、 -rfc オ プ シ ョ ン を 指 定 し た 場 合 は 、 プ リ ン ト 可 能 エ ン コ ー デ ィ ン グ 方 式 の 証 明 書 が 出 力 さ れ ま す 。 プ リ ン ト 可 能 エ ン コ ー デ ィ ン グ 方 式 は 、 イ ン タ ー ネ ッ ト RFC 1421 証 明 書 エ ン コ ー デ ィ ン グ 規 格 で 定 義 さ れ て い ま す 。

alias が 、 信 頼 で き る 証 明 書 を 参 照 し て い る 場 合 は 、 該 当 す る 証 明 書 が 出 力 さ れ ま す 。 そ れ 以 外 の 場 合 、 alias は 、 関 連 付 け ら れ た 証 明 連 鎖 を 持 つ 鍵 エ ン ト リ を 参 照 し ま す 。 こ の 場 合 は 、 連 鎖 内 の 最 初 の 証 明 書 が 返 さ れ ま す 。 こ の 証 明 書 は 、 alias に よ っ て 表 さ れ る エ ン テ ィ テ ィ の 公 開 鍵 を 認 証 す る 証 明 書 で す 。 デ ー タ の 表 示

−list {−alias alias} {−storetype storetype} {−keystore keystore}

[−storepass storepass]
[−provider provider_class_name]
{−v | −rfc} {−Jjavaoption}

alias で 特 定 さ れ る キ ー ス ト ア エ ン ト リ の 内 容 を (標 準 出 力 に ) 出 力 し ま す 。 別 名 が 指 定 さ れ て い な い 場 合 は 、 キ ー ス ト ア 全 体 の 内 容 が 表 示 さ れ ま す 。 こ の サ ブ コ マ ン ド は 、 デ フ ォ ル ト で は 証 明 書 の MD5 フ ィ ン ガ ー プ リ ン ト を 表 示 し ま す 。 -v オ プ シ ョ ン が 指 定 さ れ て い る 場 合 は 、 所 有 者 、 発 行 者 、 シ リ ア ル 番 号 な ど の 付 加 的 な 情 報 と と も に 、 人 間 が 読 む こ と の で き る 形 式 で 証 明 書 が 表 示 さ れ ま す 。 −rfc オ プ シ ョ ン が 指 定 さ れ て い る 場 合 は 、 プ リ ン ト 可 能 な エ ン コ ー デ ィ ン グ 方 式 で 証 明 書 の 内 容 が 表 示 さ れ ま す 。 プ リ ン ト 可 能 エ ン コ ー デ ィ ン グ 方 式 は 、 イ ン タ ー ネ ッ ト RFC 1421 証 明 書 エ ン コ ー デ ィ ン グ 規 格 で 定 義 さ れ て い ま す 。

-v オ プ シ ョ ン と -rfc オ プ シ ョ ン と を 同 時 に 指 定 す る こ と は で き ま せ ん 。

-printcert {-file cert_file} {-v} {-Jjavaoption} フ ァ イ ル cert_file か ら 証 明 書 を 読 み 込 み 、 人 間 が 読 む こ と の で き る 形 式 で 証 明 書 の 内 容 を 表 示 し ま す 。 フ ァ イ ル が 指 定 さ れ て い な い 場 合 は 、 標 準 入 力 か ら 証 明 書 を 読 み 込 み ま す 。 証 明 書 は 、 バ イ ナ リ エ ン コ ー デ ィ ン グ ま た は プ リ ン ト 可 能 エ ン コ ー デ ィ ン グ 方 式 で 表 示 で き ま す 。 プ リ ン ト 可 能 エ ン コ ー デ ィ ン グ 方 式 は 、 イ ン タ ー ネ ッ ト RFC 1421 証 明 書 エ ン コ ー デ ィ ン グ 規 格 で 定 義 さ れ て い ま す 。 注 : こ の コ マ ン ド は キ ー ス ト ア と は 関 係 な く 動 作 し ま す 。 キ ー ス ト ア の 管 理
−keyclone {−alias alias} [−dest dest_alias] [−keypass keypass]

{−new new_keypass} {−storetype storetype}
{−keystore keystore} [−storepass storepass]
[−provider provider_class_name]
{−v} {−Jjavaoption} 元 の エ ン ト リ と 同 じ 非 公 開 鍵 と 認 証 連 鎖 を 持 つ 、 新 し い キ ー ス ト ア エ ン ト リ を 作 成 し ま す 。

alias に は 、 元 の エ ン ト リ を 指 定 し ま す 。 alias を 指 定 し な か っ た 場 合 は 、 既 定 値 の mykey が 使 わ れ ま す 。 dest_alias に は 、 新 し い (複 製 先 の ) エ ン ト リ を 指 定 し ま す 。 コ マ ン ド 行 で 複 製 先 の 別 名 を 指 定 し な か っ た 場 合 は 、 別 名 の 入 力 を 求 め ら れ ま す 。 非 公 開 鍵 の パ ス ワ ー ド が キ ー ス ト ア の パ ス ワ ー ド と 異 な る 場 合 は 、 有 効 な keypass が 指 定 さ れ た 場 合 に の み 、 エ ン ト リ が 複 製 さ れ ま す 。 こ の と き 指 定 す る の は 、 alias に 関 連 付 け ら れ た 非 公 開 鍵 を 保 護 す る た め の パ ス ワ ー ド で す 。 コ マ ン ド 行 で こ の パ ス ワ ー ド が 指 定 さ れ ず 、 非 公 開 鍵 の パ ス ワ ー ド が キ ー ス ト ア の パ ス ワ ー ド と 異 な る 場 合 は 、 パ ス ワ ー ド の 入 力 を 求 め ら れ ま す 。 複 製 さ れ た エ ン ト リ の 非 公 開 鍵 は 、 必 要 に 応 じ て 別 の パ ス ワ ー ド で 保 護 で き ま す 。 コ マ ン ド 行 で -new オ プ シ ョ ン を 指 定 し な か っ た 場 合 は 、 新 し い エ ン ト リ の パ ス ワ ー ド の 入 力 を 求 め ら れ ま す 。 こ の と き 、 複 製 さ れ た 非 公 開 鍵 に 対 し て 同 じ パ ス ワ ー ド を 指 定 で き ま す 。 パ ス ワ ー ド の 扱 い に は 十 分 注 意 す る 必 要 が あ り ま す 。 「 パ ス ワ ー ド に 関 す る 注 意 事 項 」 を 参 照 し て く だ さ い 。 こ の サ ブ コ マ ン ド は 、 あ る 与 え ら れ た 鍵 の ペ ア に 対 応 す る 複 数 の 認 証 連 鎖 を 確 立 す る た め に 使 用 で き ま す 。 ま た 、 バ ッ ク ア ッ プ を 目 的 と し て 使 用 す る こ と も で き ま す 。

−storepasswd {−new new_storepass} {−storetype storetype}

{−keystore keystore} [−storepass storepass]
[−provider provider_class_name]
{−v} {−Jjavaoption} キ ー ス ト ア の 内 容 の 完 全 性 を 保 護 す る た め に 使 う パ ス ワ ー ド を 変 更 し ま す 。 new_storepass に は 、 新 し い パ ス ワ ー ド を 指 定 し ま す 。 new_storepass は 、 6 文 字 以 上 で な け れ ば な り ま せ ん 。 パ ス ワ ー ド の 扱 い に は 十 分 注 意 す る 必 要 が あ り ま す 。 「 パ ス ワ ー ド に 関 す る 注 意 事 項 」 を 参 照 し て く だ さ い 。

−keypasswd {−alias alias} [−keypass old_keypass]

[−new new_keypass] {−storetype storetype}
{−keystore keystore} [−storepass storepass]
[−provider provider_class_name]
{−v} {−Jjavaoption}

alias に よ っ て 特 定 さ れ る 非 公 開 鍵 を 保 護 す る た め の パ ス ワ ー ド を 、 old_keypass か ら new_keypass に 変 更 し ま す 。 コ マ ン ド 行 で -keypass オ プ シ ョ ン を 指 定 し て お ら ず 、 非 公 開 鍵 の パ ス ワ ー ド が キ ー ス ト ア の パ ス ワ ー ド と 異 な る 場 合 は 、 非 公 開 鍵 の パ ス ワ ー ド の 入 力 を 求 め ら れ ま す 。 コ マ ン ド 行 で -new オ プ シ ョ ン を 指 定 し な か っ た 場 合 は 、 新 し い パ ス ワ ー ド の 入 力 を 求 め ら れ ま す 。 パ ス ワ ー ド の 扱 い に は 十 分 注 意 す る 必 要 が あ り ま す 。 「 パ ス ワ ー ド に 関 す る 注 意 事 項 」 を 参 照 し て く だ さ い 。

−delete [−alias alias] {−storetype storetype}

{−keystore keystore} [−storepass storepass]
[−provider provider_class_name]
{−v} {−Jjavaoption}

alias に よ っ て 特 定 さ れ る エ ン ト リ を キ ー ス ト ア か ら 削 除 し ま す 。 コ マ ン ド 行 で 別 名 を 指 定 し な か っ た 場 合 は 、 別 名 の 入 力 を 求 め ら れ ま す 。 ヘ ル プ の 表 示

使 用 例

こ こ で は 、 自 分 の 鍵 の ペ ア お よ び 信 頼 で き る エ ン テ ィ テ ィ か ら の 証 明 書 を 管 理 す る た め の キ ー ス ト ア を 作 成 す る 場 合 を 例 と し て 示 し ま す 。 鍵 の ペ ア の 生 成 ま ず 、 キ ー ス ト ア を 作 成 し て 鍵 の ペ ア を 生 成 す る 必 要 が あ り ま す 。 次 に 示 す の は 、 実 行 す る コ マ ン ド の 例 で す 。

example% keytool -genkey -dname "cn=Mark Jones, ou=Java, o=Sun, c=US"
-alias business -keypass kpi135 -keystore /working/mykeystore
-storepass ab987c -validity 180 注 : 上 の コ マ ン ド 例 は 、 読 み や す く す る た め に 複 数 の 行 に 分 け て あ り ま す が 、 実 際 に は 1 行 で 指 定 す る 必 要 が あ り ま す 。 こ の 例 で は 、 working デ ィ レ ク ト リ に mykeystore と い う 名 前 の キ ー ス ト ア を 作 成 し (キ ー ス ト ア は ま だ 存 在 し て い な い と 仮 定 す る )、 作 成 し た キ ー ス ト ア に パ ス ワ ー ド ab987c を 割 り 当 て ま す 。 生 成 す る 公 開 鍵 と 非 公 開 鍵 の ペ ア に 対 応 す る エ ン テ ィ テ ィ の 「 識 別 名 」 は 、 通 称 が MarkJones 、 組 織 単 位 が Java 、 組 織 が Sun 、 2 文 字 の 国 番 号 が US で す 。 公 開 鍵 と 非 公 開 鍵 の サ イ ズ は ど ち ら も 1024 ビ ッ ト で 、 鍵 の 作 成 に は デ フ ォ ル ト の DSA 鍵 生 成 ア ル ゴ リ ズ ム を 使 用 し ま す 。 こ の コ マ ン ド は 、 公 開 鍵 と 識 別 名 情 報 を 含 む 自 己 署 名 証 明 書 (デ フ ォ ル ト の SHA1withDSA 署 名 ア ル ゴ リ ズ ム を 使 用 ) を 作 成 し ま す 。 証 明 書 の 有 効 期 間 は 180 日 で す 。 証 明 書 は 、 別 名 business で 特 定 さ れ る キ ー ス ト ア エ ン ト リ 内 の 非 公 開 鍵 に 関 連 付 け ら れ ま す 。 非 公 開 鍵 に は パ ス ワ ー ド kpi135 が 割 り 当 て ら れ ま す 。 オ プ シ ョ ン の 既 定 値 を 使 う 場 合 は 、 上 に 示 し た コ マ ン ド を 大 幅 に 短 く す る こ と が で き ま す 。 実 際 に は 、 オ プ シ ョ ン を 1 つ も 指 定 せ ず に コ マ ン ド を 実 行 す る こ と も 可 能 で す 。 既 定 値 を 持 つ オ プ シ ョ ン で は 、 オ プ シ ョ ン を 指 定 し な け れ ば 既 定 値 が 使 わ れ 、 必 要 な 値 に つ い て は 入 力 を 求 め ら れ ま す 。 た と え ば 、 単 に 次 の よ う に 入 力 す る こ と も で き ま す 。

example% keytool -genkey こ の 場 合 は 、 mykey と い う 別 名 で キ ー ス ト ア エ ン ト リ が 作 成 さ れ 、 新 し く 生 成 さ れ た 鍵 の ペ ア 、 お よ び 90 日 間 有 効 な 証 明 書 が こ の エ ン ト リ に 格 納 さ れ ま す 。 こ の エ ン ト リ は 、 ホ ー ム デ ィ レ ク ト リ 内 の .keystore と い う 名 前 の キ ー ス ト ア に 置 か れ ま す 。 こ の キ ー ス ト ア が ま だ 存 在 し て い な い 場 合 は 、 作 成 さ れ ま す 。 識 別 名 情 報 、 キ ー ス ト ア の パ ス ワ ー ド 、 お よ び 非 公 開 鍵 の パ ス ワ ー ド に つ い て は 、 入 力 を 求 め ら れ ま す 。 以 下 で は 、 オ プ シ ョ ン を 指 定 し な い で -genkey コ マ ン ド を 実 行 し た も の と し て 例 を 示 し ま す 。 情 報 の 入 力 を 求 め ら れ た 場 合 は 、 最 初 に 示 し た -genkey コ マ ン ド の 値 を 入 力 し た も の と し ま す (た と え ば 、 非 公 開 鍵 の パ ス ワ ー ド に は kpi135 と 指 定 )。 証 明 書 発 行 局 に 対 す る 署 名 付 き 証 明 書 の 要 求 現 時 点 で 手 元 に あ る の は 、 1 通 の 自 己 署 名 証 明 書 だ け で す 。 証 明 書 に 証 明 書 発 行 局 (CA) の 署 名 が 付 い て い れ ば 、 ほ か の ユ ー ザ か ら 証 明 書 が 信 頼 で き る 可 能 性 も 高 く な り ま す 。 CA の 署 名 を 取 得 す る に は 、 ま ず 、 証 明 書 署 名 要 求 (CSR) を 生 成 し ま す 。 た と え ば 、 次 の よ う に し ま す 。

example% keytool -certreq -file MarkJ.csr

CSR (デ フ ォ ル ト 別 名 mykey に よ っ て 特 定 さ れ る エ ン テ ィ テ ィ の CSR) が 作 成 さ れ 、 MarkJ.csr と い う 名 前 の フ ァ イ ル に 置 か れ ま す 。 こ の フ ァ イ ル は 、 VeriSign な ど の CA に 提 出 し ま す 。 CA は 要 求 者 を (通 常 は オ フ ラ イ ン で ) 認 証 し 、 要 求 者 の 公 開 鍵 を 認 証 し た 署 名 付 き の 証 明 書 を 送 り 返 し ま す 。 場 合 に よ っ て は 、 CA が 証 明 書 の 連 鎖 を 返 す こ と も あ り ま す 。 証 明 書 の 連 鎖 で は 、 各 証 明 書 が 連 鎖 内 の そ の 前 の 署 名 者 の 公 開 鍵 を 認 証 し ま す 。

CA か ら の 証 明 書 の イ ン ポ ー ト 作 成 し た 自 己 署 名 証 明 書 は 、 証 明 連 鎖 で 置 き 換 え る 必 要 が あ り ま す 。 証 明 連 鎖 で は 、 各 証 明 書 が 、 「 ル ー ト 」 CA を 起 点 と す る 連 鎖 内 の 次 の 証 明 書 の 署 名 者 の 公 開 鍵 を 認 証 し ま す 。

CA か ら の 証 明 書 応 答 を イ ン ポ ー ト す る に は 、 キ ー ス ト ア か 、 ( import コ マ ン ド で 説 明 し て い る よ う に ) cacerts キ ー ス ト ア フ ァ イ ル 内 に 1 つ 以 上 の 「 信 頼 で き る 証 明 書 」 を 必 要 と し ま す 。

を 認 証 す る 「 ル ー ト 」 CA の 証 明 書 ) だ け を 必 要 と す る

書 が 必 要 で 、 そ の 証 明 書 が 自 己 署 名 さ れ な い 場 合 は 、 さ ら に そ の 証 明 書 の 署 名 者 用 の 証 明 書 を 必 要 と す る 。 こ の よ う に し て 自 己 署 名 さ れ る 「 ル ー ト 」 CA の 証 明 書 ま で そ れ ぞ れ 証 明 書 を 必 要 と す る

cacerts キ ー ス ト ア フ ァ イ ル は 、 5 つ の VeriSign ル ー ト CA 証 明 書 を 含 ん だ 状 態 で 出 荷 さ れ て い る の で 、 VeriSign の 証 明 書 を 、 信 頼 で き る 証 明 書 と し て キ ー ス ト ア 内 に イ ン ポ ー ト す る 必 要 は な い 可 能 性 が あ り ま す 。 た だ し 、 ほ か の CA に 対 し て 署 名 付 き 証 明 書 を 要 求 し て い て 、 こ の CA の 公 開 鍵 を 認 証 す る 証 明 書 が 、 cacerts に ま だ 追 加 さ れ て い な い 場 合 は 、 該 当 す る CA か ら の 証 明 書 を 、 「 信 頼 で き る 証 明 書 」 と し て イ ン ポ ー ト す る 必 要 が あ り ま す 。 通 常 、 CA か ら の 証 明 書 は 、 自 己 署 名 証 明 書 、 ま た は ほ か の CA に よ っ て 署 名 さ れ た 証 明 書 で す (後 者 の 場 合 は 、 該 当 す る ほ か の CA の 公 開 鍵 を 認 証 す る 証 明 書 も 必 要 )。 た と え ば 、 ABC と い う 企 業 が CA だ と し ま す 。 こ の と き 、 こ の CA の 公 開 鍵 を 認 証 す る 自 己 署 名 証 明 書 と 考 え ら れ る ABCCA.cer と い う 名 前 の フ ァ イ ル を 、 ABC か ら 入 手 し た と し ま す 。 「 信 頼 で き る 証 明 書 」 と し て 証 明 書 を イ ン ポ ー ト す る 前 に 、 証 明 書 が 有 効 で あ る こ と を 必 ず 確 認 し て く だ さ い 。 ま ず 、 証 明 書 の 内 容 を 表 示 し ( -printcert サ ブ コ マ ン ド 、 ま た は -noprompt オ プ シ ョ ン な し で -import サ ブ コ マ ン ド を 使 用 )、 表 示 さ れ た 証 明 書 の フ ィ ン ガ ー プ リ ン ト が 、 期 待 さ れ る フ ィ ン ガ ー プ リ ン ト と 一 致 す る か ど う か を 確 認 し ま す 。 証 明 書 を 送 信 し た 人 物 に 連 絡 し 、 こ の 人 物 が 提 示 し た (ま た は 安 全 な 公 開 鍵 の リ ポ ジ ト リ に よ っ て 提 示 さ れ る ) フ ィ ン ガ ー プ リ ン ト と 、 上 の コ マ ン ド で 表 示 さ れ た フ ィ ン ガ ー プ リ ン ト と を 比 較 し ま す 。 フ ィ ン ガ ー プ リ ン ト が 一 致 す れ ば 、 送 信 途 中 で ほ か の 何 者 か (攻 撃 者 な ど ) に よ る 証 明 書 の す り 替 え が 行 わ れ て い な い こ と を 確 認 で き ま す 。 送 信 途 中 で こ の 種 の 攻 撃 が 行 わ れ て い た 場 合 、 チ ェ ッ ク を 行 わ ず に 証 明 書 を イ ン ポ ー ト す る と 、 攻 撃 者 に よ っ て 署 名 さ れ た す べ て の も の を 信 頼 す る こ と に な り ま す 。

ABCCA.cer を 有 効 な 証 明 書 と し て 信 頼 す る 場 合 は 、 証 明 書 を キ ー ス ト ア に 追 加 で き ま す 。 た と え ば 、 次 の よ う に し ま す 。

example% keytool -import -alias abc -file ABCCA.cer

ABCCA.cer フ ァ イ ル の デ ー タ を 含 む 「 信 頼 で き る 証 明 書 」 の エ ン ト リ が キ ー ス ト ア 内 に 作 成 さ れ 、 該 当 す る エ ン ト リ に abc と い う 別 名 が 割 り 当 て ら れ ま す 。

CA か ら の 証 明 書 応 答 の イ ン ポ ー ト 証 明 書 署 名 要 求 の 提 出 先 の CA の 公 開 鍵 を 認 証 す る 証 明 書 を イ ン ポ ー ト し た あ と は (ま た は 同 種 の 証 明 書 が す で に cacerts フ ァ イ ル 内 に 存 在 し て い る 場 合 は )、 証 明 書 応 答 を イ ン ポ ー ト し 、 自 己 署 名 証 明 書 を 証 明 連 鎖 で 置 き 換 え る こ と が で き ま す 。 こ の 証 明 連 鎖 は 、 CA の 応 答 が 連 鎖 の 場 合 、 証 明 書 署 名 要 求 に 対 す る 応 答 と し て CA か ら 送 り 返 さ れ た 証 明 連 鎖 で す 。 ま た 、 CA の 応 答 が 単 一 の 証 明 書 の 場 合 は 、 こ の 証 明 書 応 答 と 、 イ ン ポ ー ト 先 の キ ー ス ト ア 内 ま た は cacerts キ ー ス ト ア フ ァ イ ル 内 に す で に 存 在 す る 信 頼 で き る 証 明 書 と を 使 っ て 構 築 し た 証 明 連 鎖 で す 。 た と え ば 、 証 明 書 署 名 要 求 を VeriSign に 送 信 し た と し ま す 。 送 り 返 さ れ た 証 明 書 の 名 前 が VSMarkJ.cer だ と す る と 、 次 の よ う に し て 応 答 を イ ン ポ ー ト で き ま す 。

example% keytool -import -trustcacerts -file VSMarkJ.cer 公 開 鍵 を 認 証 す る 証 明 書 の エ ク ス ポ ー ト た と え ば 、 jarsigner(1) ツ ー ル を 使 っ て Java ARchive (JAR) フ ァ イ ル に 署 名 を 付 け た と し ま す 。 こ の JAR フ ァ イ ル は ク ラ イ ア ン ト に よ っ て 使 わ れ ま す が 、 ク ラ イ ア ン ト 側 で は 署 名 を 認 証 し た い と 考 え て い ま す 。 ク ラ イ ア ン ト が 署 名 を 認 証 す る 方 法 の 1 つ に 、 ま ず 自 分 の 公 開 鍵 の 証 明 書 を 「 信 頼 で き る 」 エ ン ト リ と し て ク ラ イ ア ン ト の キ ー ス ト ア に イ ン ポ ー ト す る 方 法 が あ り ま す 。 そ の た め に は 、 証 明 書 を エ ク ス ポ ー ト し て 、 ク ラ イ ア ン ト に 提 供 し ま す 。 た と え ば 、 次 の よ う に し て 、 証 明 書 を MJ.cer と い う 名 前 の フ ァ イ ル に コ ピ ー し ま す 。 こ の エ ン ト リ に は 「 mykey 」 と い う 別 名 が 使 わ れ て い る と し ま す 。

example% keytool -export -alias mykey -file MJ.cer 証 明 書 と 署 名 付 き JAR フ ァ イ ル を 入 手 し た ク ラ イ ア ン ト は 、 jarsigner(1) ツ ー ル を 使 っ て 署 名 を 認 証 で き ま す 。 鍵 の ペ ア を 保 持 し た ま ま で の 識 別 名 の 変 更 所 属 部 課 の 変 更 や 転 勤 な ど に よ っ て 、 識 別 名 が 変 更 さ れ た と し ま す 。 こ の よ う な 場 合 は 、 識 別 名 を 更 新 す る 一 方 で 、 引 き 続 き 以 前 と 同 じ 公 開 鍵 と 非 公 開 鍵 の ペ ア を 使 用 す る こ と が で き ま す 。 た と え ば 、 名 前 が Susan Miller で 、 以 前 に sMiller と い う 別 名 で 鍵 エ ン ト リ を 作 成 し て い た と し ま す 。 識 別 名 は 、 次 の よ う に 指 定 し て い ま し た 。

"cn=Susan Miller, ou=Finance Department, o=BlueSoft, c=us" こ こ で 、 所 属 部 課 が Finance Department か ら Accounting Department に 変 更 に な っ た と し ま す 。 こ の 場 合 、 以 前 に 生 成 し た 公 開 鍵 と 非 公 開 鍵 の ペ ア を 使 い 続 け な が ら 識 別 名 を 更 新 す る に は 、 次 の よ う に し ま す 。 ま ず 、 鍵 エ ン ト リ を コ ピ ー (複 製 ) し ま す 。

example% keytool -keyclone -alias sMiller -dest sMillerNew こ の 例 で は 、 ス ト ア の パ ス ワ ー ド お よ び 元 の 非 公 開 鍵 の パ ス ワ ー ド と 複 製 先 の 非 公 開 鍵 の パ ス ワ ー ド を コ マ ン ド 行 で 指 定 し て い な い の で 、 パ ス ワ ー ド の 入 力 を 求 め ら れ ま す 。 鍵 エ ン ト リ を コ ピ ー し た あ と は 、 連 鎖 内 の 最 初 の 証 明 書 が 変 更 後 の 識 別 名 を 使 う よ う に す る た め に 、 コ ピ ー し た 鍵 エ ン ト リ に 関 連 付 け ら れ て い る 証 明 連 鎖 を 変 更 す る 必 要 が あ り ま す 。 ま ず 、 適 切 な 名 前 で 自 己 署 名 証 明 書 を 生 成 し ま す 。

example% keytool -selfcert -alias sMillerNew
-dname "cn=Susan Miller, ou=Accounting Department, o=BlueSoft, c=us" 次 に 、 こ の 新 し い 証 明 書 の 情 報 に 基 づ い て 証 明 書 署 名 要 求 を 生 成 し ま す 。

example% keytool -certreq -alias sMillerNew

CA の 証 明 書 応 答 を 入 手 し た ら 、 応 答 を イ ン ポ ー ト し ま す 。

example% keytool -import -alias sMillerNew -file VSSMillerNew.cer 証 明 書 応 答 の イ ン ポ ー ト 後 は 、 古 い 識 別 名 が 使 わ れ て い る 元 の 鍵 エ ン ト リ を 削 除 で き ま す 。

example% keytool -delete -alias sMiller

関 連 項 目

jar(1)、 jarsigner(1) 次 に つ い て は 、 java.sun.com を 参 照 ま た は 検 索 し て く だ さ い 。
Security in Java 2 Platform @

http://java.sun.com/docs/books/tutorial/security1.2/index.html