僕が以前の騒動のとき、こんなことを言っていました。
「トップページに『セキュアの無駄遣い』と胸を張って書けるほどセキュアを強化しよう」
まず、その第一段階としてメール受信用の通信を暗号化すること。
そのために学生会予算の横領まがいのことをして本を買ったぐらいだ。
あっ、一応正当な方法ですよ。が、ちょっと罪悪感を感じるほどだということだけ。
その本を読んでいろいろ考えてまぁ大方理解できた。
準備として認証局、CAの作り方
1.openssl.cnfに適当な設定をする
2.CAコマンドを実行して、できあがり
2でできる大量のファイルの中に公開鍵があるから、これを加工してこれがCAの証明書。
まぁこれをばら撒いておけばこのCAの証明したものは信じるわけだな。
そのためのCAなんでこれを有効利用するべきなんだが…まぁしてないな。
鍵を作り、自分で証明する手順は
1.openssl.cnfに適当な設定をする (Server用に設定)
2.RSA鍵のペアを作る
3.CAの登録の申請データ(CSR)を作る
4.証明するためにそのCSRをCAに登録・署名する
5.署名されたデータを元に証明書を作る
と、こうすると2でできた片割れの秘密鍵と、5でできた証明書を使うわけだな。
で、これをそれぞれに登録すると。
Apache2にはmod_ssl-apache2 パッケージを導入して、鍵・証明書・CAの証明書を登録。
Dovecotには鍵・証明書と、CAの証明書(1.0以降の新しい機能)を登録すればOK。
さて、これでいけるはず…あれ、FirefoxもThunderbirdも-8101エラーを出す。
これは証明書がおかしいよと。
でも実はIEでは通る。はて、なぜ。
実はさっき何気なく書いたけど、openssl.cnfの設定がクライアント用の設定で。
これをちゃんとサーバー用の設定に書き換えればいけた。
そうやって作り直し。
これでちゃんとMozilla系でも通った。
まぁMozilla系のが概して規則にうるさいので、まぁ安心していいでしょう。
Firefoxは比較的HTML・CSSの標準に従ってるけど、
Operaもそうなんよ。でもOperaとFirefoxの違いは、IEのいいかげんな解釈をある程度生かすか、殺すか。
そういうわけでMozillaは何かと規則にうるさいけど、まぁいい点検にはなる。
まぁそういうわけで、警告は出るもののまぁ通る。
まぁしょうがないですね、自分で証明してるから信用ならんわな。
結局自分で証明する意味は、誰か証明しているように見えるだけだな。
しかし、Server Teamの証明書を証明してるのが同じ組織のCA Teamなんだからねぇ…
一応部署の名前は変えてるよ。これ一緒はまずいから。
これでCAの証明書に信頼されたCAの証明があればいいんだけどね。
ちなみに今回の工作でHTTPSの工作もしたといったけど理由はWebメールもやってるから。
WebメールのディレクトリはSSL以外不許可にしておいた。
だからhttps://〜でアクセスしないといけない。
自動リダイレクトは面倒だからカット。http://〜でアクセスしてもそこだけ自動リダイレクトしないよ。
単に403出すだけ。
Dovecotの設定はこれでIMAPSだけにしてもいいのだけど、
Webメールの設定がめんどくさいので外には漏らさないように続けています。
それと一応POP3Sも有効にしてる。まぁでもなぁ…これはニーズないと思うけど。
まぁできることは確認したから封鎖するわ。
さて、あとSMTPについても、転送についてはSSLを用いてSMTP-AUTHを必要とするようにすれば完成かな。
ESMTP言うSMTP拡張においてSSLを使った通信、SMTP-AUTHをサポートしてる。
まぁなんやら言うようだけど、ESMTPを使ってるところは多いけど全部じゃないからな。
さて、まぁそれができてからにするかな。
ちなみに今の標語は「まだ、その域に達していない」、まぁなんでやねんいうのはあるけどな。
さて…あとMXレコード問題が解決すれば終わりなんだけどな…
やれやれ。