![[PukiWiki]](image/pukiwiki.png "[PukiWiki]")
[[Open棟梁Project>http://opentouryo.osscons.jp/]] - [[マイクロソフト系技術情報 Wiki>http://techinfoofmicrosofttech.osscons.jp/]] 「[[マイクロソフト系技術情報 Wiki>http://techinfoofmicrosofttech.osscons.jp/]]」は、「[[Open棟梁Project>https://github.com/OpenTouryoProject/]]」,「[[OSSコンソーシアム .NET開発基盤部会>https://www.osscons.jp/dotNetDevelopmentInfrastructure/]]」によって運営されています。 -[[戻る>証明書]] * 目次 [#z7e6f5ba] #contents *概要 [#mbf609f4] [[X.509証明書>証明書]]関係の「あるある」の纏め。 Windowsの証明書ストア（リポジトリ）とAPIが密結合しているため、~ 予期せぬ問題が起きることがある。ココではそれらをまとめた。 *プロダクト固有のストア [#z85522c8] プロダクトによっては、 >[[プロダクト固有の証明書ストア（リポジトリ）を使用しているケース>証明書#dccdb7e5]] があるが、その場合、動作が異なることになる。 *制御できること [#l2ef348e] **[[証明書信頼リスト (CTL)]] [#m441d413] -Microsoft Updateなどでルート証明書の配信ができる。 -Windows7（2008 R2）からは、オンラインでルート証明書の配信ができる。 **[[証明書失効リスト (CRL)]] [#n00a296c] オンラインで証明書を直ちに失効させることができる。 **その他 [#a5a198d4] ***証明書の利用目的 [#y38609be] 利用目的だけをdisable（信頼停止）にできるらしい。 *ルート証明書までの証明書チェーンが無い [#d1d084c1] **CTL、CRLでチェーンが切れる。 [#o46a78d3] -CTLによるルート証明書の削除 -CRLによるルート証明書の失効 によって、証明書チェーンが切れる。 **オレオレ証明書関連 [#y1b496e9] ルート証明書までの証明書チェーンが無い~ >[[自己（署名）証明書（所謂オレオレ証明書）では、証明書を使用できないことがある。>証明書#c43fe324]]~ （例えば、X509Certificate2に証明書をロードできないことがある） ルート証明書を「信頼されたルート証明機関」にインストールするなどして対応可能。 *[[証明書信頼リスト (CTL)]] 関連 [#a9e0fa66] **ルート証明書情報の更新 [#q1bbd3d9] 突然、通信ができなくなるなどの問題発生が発生し得るため、ルート証明書の更新の影響は大きい。 ***2015/03/16 [#ha8945e7] -Microsoft、不正な証明書を失効する更新プログラムを公開 - ITmedia エンタープライズ~ http://www.itmedia.co.jp/enterprise/articles/1503/18/news059.html ***2015/11/30 [#ke584cf0] -MSが証明書信頼リストを更新--デルのルート証明書問題に対応 - ZDNet Japan~ https://japan.zdnet.com/article/35074332/ ***2016/04/22 [#d261258e] -【追記有(2016.04.22)】Windowsが遂にSymantecG1ルートを捨てるらしい - 情緒不安定。~ http://ls-ltr.hatenablog.com/entry/2016/03/29/012706 -2016年4月のマイクロソフト社のルート証明書情報更新の影響と対策に関するご案内（続報） | Symantec~ https://knowledge.symantec.com/jp/support/ssl-certificates-support/index?page=content&id=ALERT2009 *[[証明書失効リスト (CRL)]] 関連 [#f0103e69] -オンラインで直ちに証明書を失効させられる可能性がある。 -CRLへのアクセスによって、処理遅延が発生することがある。 **処理遅延 [#aaa2674c] -クライアント（ブラウザ）によって、サイトの表示に時間がかかることがあります | Symantec~ https://knowledge.symantec.com/jp/support/ssl-certificates-support/index?page=content&id=SO22954&actp=LIST&viewlocale=ja_JP *その他 [#g8b1f6ab] **特定の証明書の特定の利用を拒否 [#tb83d065] 色々調べてみると、これらは、CTL、CRL以外の方式で制御されている模様。 ***SHA1＋SSLの組み合わせを拒否（2017/01/01） [#ze08943e] Windows は 2017 年 1 月 1 日で SHA-1 で署名した TLS 証明書での SSL 通信を拒否する。 -SSLサーバー証明書 : SHA-1 証明書の受付終了と SHA-2 証明書への移行について｜Cybertrust.ne.jp~ https://www.cybertrust.ne.jp/sureserver/productinfo/sha1ms.html -SHA-1 ウェブサーバー証明書は 2017 年２月から警告！~ ウェブサイト管理者は影響の最終確認を – 日本のセキュリティチーム~ https://blogs.technet.microsoft.com/jpsecurity/2016/11/25/sha1countdown/ ---- Tags: [[:セキュリティ]], [[:暗号化]], [[:証明書]]
