脱力系備忘録BloG

無料でSSL証明書（SSLサーバ証明書）を発行してくれるサービスです。
認証方式は「ドメイン認証型(DV)」のみですので、アドレスバーを緑にすることはできません。

通常は自分で鍵など必要ファイルを作成し、認証局にお金を払って、広く信頼されている署名の付いた証明書を発行してもらいます。
ので、手間とお金がかかります。
それを全てなくしてしまうのが「Let's encrypt」です。
これは、専用のコマンドをサーバーに導入し、そのコマンドで鍵の作成から証明書の受け取りまで、あるいは証明書を各設定ファイルに書き込むことまでやってしまおうという取り組みです。

【通常】

【Let's encrypt】



●秘密鍵ファイルにパスワード設定をせずに作成するんだね
→別にいらんか

●国コードや組織名の入力もないんだな
→別にいらんか。今までも適当だったし。



有効期間が90日しかありません。
これは、この企画の狙いがSSL発行を簡素化、自動化し、普及を促進するためだと思います。
短期間化することで、管理者の尻を叩いて自動化の仕組みを導入させようという意図でしょう。



●テスト環境
OS:FreeBSD10.2
WEB:Apache2.2
IMAP:Dovecot2



専用コマンドがPORTSで提供されています。

PORTSを更新

# portsnap fetch
# portsnap extract　※初回
# portsnap update　※二回目以降

# cd /usr/ports/security/py-letsencrypt
# make install clean

pkgが古いと怒られる。

# pkg upgrade

# make install clean

途中マニュアルを作るか？みたいなことを聞いてきたけど全てチェックをはずして進めました。

インストール完了。
コマンドは
/usr/local/bin/letsencrypt
です。

それでは証明書を取得します。
SSL証明書を取りたいFQDNをhttpd.confに「非SSL」で登録し、外部から「http://」でWEBアクセスできるようにしておきます。
（例）


もし、SSL接続(https://)専用ドメインにする場合、「/usr/home/tori/dummy-directory」ディレクトリは作成するだけでOKです。index.htmlとかいりません。
しかし、90日後のSSL証明書更新処理に備え、このhttpd.conf設定は証明書取得後も残しておくことになると思います。普段の運用中に外部からアクセスがあっても問題ないように気をつけてください。

httpdを起動して以下のコマンドを実行。
※「certonly」オプションは証明書を取得するまでで止めるオプションです。Apache2.4なら「run」オプションで設定ファイルの更新までやってくれるようです。

# letsencrypt certonly --webroot -w /usr/home/tori/dummy-directory -d ssl.toriatama.bird -m admin@toriatama.bird --agree-tos

実行すると、このドメインが有効か？WEBアクセス確認されます。
また、メールも有効なものでないと失敗します（特にメールが届くわけではない）。
成功した場合、

IMPORTANT NOTES:
- Congratulations! Your certificate and chain have been saved at
   /usr/local/etc/letsencrypt/live/ssl.toriatama.bird/fullchain.pem.
   ～

というコメントが表示されます。
ということで、
/usr/local/etc/letsencrypt/live/ssl.toriatama.bird
ディレクトリを見てみると
cert.pem
chain.pem
fullchain.pem
privkey.pem
ができています。
上記ファイルは全てシンボリックリンクで、本体は
/usr/local/etc/letsencrypt/archive/ssl.toriatama.bird
cert*.pem
chain*.pem
fullchain*.pem
privkey*.pem
です。
※「*」は数字。初めての取得時に「1」が付き、以後、更新するたびに数値が上がっていく
なお、各ファイルの意味はこちらのサイトに詳しく書かれています。

では、各種設定ファイルに採用しましょう。

●httpd.confの設定


●DOVECOT設定
10-ssl.confを編集




取得時のコマンドとほぼ同じ。

# letsencrypt certonly --webroot -w /usr/home/tori/dummy-directory -d ssl.toriatama.bird --renew-by-default

前述したように更新時に新しいファイルがナンバリングされて作成されますが、自動的に「live」ディレクトリ配下のシンボリックリンクが更新されるので、「live」配下のファイルを使用している場合はファイル名の変更処理を行う必要がありません。
注意点として、更新処理の際に「http://FQDN」へのアクセスがあるため、証明書を取りたいURLが外部からWEBアクセスできるようにしておく必要があります（非SSL）。
それと、更新後Apacheの再起動が必要。DOVECOTもたぶん必要。

そして、前述したように有効期間が短いため手動更新は現実的ではない。CRONを使って自動的に更新させたい。そこで、以下のようなバッチを書いてみた。

letsencrypt.sh


これをCRONで月一ぐらいで動かせばいい気がする。
んで、ngファイルにログが書かれた場合はメールが飛んでくるようになったらいいなあ（チラッ




上記のように複数指定する。
この場合、一番最初のドメイン名の証明書格納ディレクトリが作成され、その中のファイル群も単独取得時と同じ構成になっているが、証明書が複数ドメインに対応した内容になっている。
httpd.confの該当VirtualHostディレクティブでそのファイルを指定する。



先に書いたようにこのサービスは「ドメイン認証型」のみ提供するようです。
この「DV認証」では通信の秘匿が保証されるだけで、サイトの信頼性が保証される訳ではありません。
銀行などは言うに及ばず、一般企業もSSL証明書は「実在証明型(OV)」、さらに信頼性を目指した「Extended Validation型(EV)」が必要でしょう。
ですので、SSL証明書業界が破綻することはありませんが・・・RapidSSLやPositiveSSLといった格安が売りのDV型証明書は・・・その存在意義がなくなるかもしれませんね。
そして、それらを売りにしていた取次ぎ業者も・・・。
この世界は変化が速く、大きいので・・・怖い・・・。明日は我が身か・・・。

まあ、今のとこ「Let's Encrypt」は「サイトシール」を発行していないので、それが欲しい方は他を利用することになるでしょうし、取得方法の違いもあってまだ少し住み分けが続きそうですが。

格安のサイトシール付きSSL証明書が欲しい方はSSLボックス