SSLサーバ証明書はどこに保存されているの？（証明書ストア）

SSLサーバ証明書は、（基本的に）ウェブサーバ内の「証明書ストア」に保存されている暗号化されたファイルです。
サイトにアクセスがあると相手に提示して、通信内容が正しいことを証明するのに使われます。

YouTube動画でも話しています。

1. サイトがSSLサーバ証明書を取得する流れ

お店のホームページを作っています。
サイトの「セキュリティ保護」ができていないようなのですが、そもそもセキュリティ証明書の仕組みがよくわかりません。

どんな情報をどこに記載されていると、「セキュリティ保護」されたことになるのでしょうか？

確かに。
そもそも「セキュリティ証明書」って、いったい何がどこにあるの？

ウェブサイトの通信をセキュリティ保護（暗号化）するには、「認証局（CA：Certification Authority）」に申請して「SSLサーバ証明書」を受け取る必要があります。

「SSLサーバ証明書」は、2つの役割がある電子証明書です。

役割１）サイト運営者の実在証明
役割２）通信の暗号化
電子証明書）暗号で保護されたテキストファイル

サイト運営者は認証局に、サーバ証明書への署名依頼に必要な情報（CSR）を送ります。
ドメイン名やウェブサーバの公開鍵などです。
レンタルサーバを利用している場合は、サーバ管理会社などを介して登録できます。

すると、SSLサーバ証明書というデータを作ってくれます。
これで認証局が「このドメイン名はこのウェブサーバが正当です」と「お墨付き」を与えてくれたことになります。

受け取ったサーバ証明書は、ウェブサーバの「証明書ストア」という場所に保存します。
証明書ストアは、ウェブサーバのファイルシステムやレジストリなどにあります。
ウェブサイトにアクセスがあると、相手に提示するために送信します。

飲食店が食品衛生管理責任者資格の証明書を店頭に掲示しているような感じだね。

目次に戻る

1-1. CRTファイル

もう少し詳しくみると、SSL証明書に関連するファイルには、主にKEYファイル・CSRファイル・CRTファイル・CERファイルがあります¹。
認証局に生成してもらうのは、CRTです。

ファイル拡張子	内容
.key	秘密鍵ファイル（非公開）
.csr	「Certificate Signing Request」の略。秘密鍵を元に作った公開鍵ファイル。コモンネームなどの情報も付いている。
.crt .cer	どちらも「Certificate」の略。サーバ証明書。公開してよい。 CSRファイルの正しさを認証局が証明。 UNIX系のサーバで生成すると .crt、Windows系のサーバで生成すると .crt ²。

KEYは、ウェブサーバ側で生成する秘密鍵です。
openssl genrsaコマンドを使うと、ランダムなキーを生成してファイルに保存できます。

openssl genrsa -out server.key 2048

RSA 秘密キーの生成には、基本的に 2 つの素数の生成が含まれます。秘密キーを生成すると、生成の進行状況を示すさまざまなシンボルが出力されます。（…）
キーの生成はランダムなプロセスであるため、キーの生成にかかる時間は多少異なる場合があります。
/docs/man1.0.2/man1/genrsa.html

キーを生成するだけなら、MacBookのターミナルでもできます。

CSRは、KEYを元に生成します。
KEYファイルをCSR生成で利用したら、すべてのセキュリティ証明の元になるので外部に公開してはいけません³。

一方、CSRは公開鍵です。
認証局に依頼してCSRをもとにCRT, CERを生成してもらいます。