cacert

CAcert.org

http://www.cacert.org/ でやっている、個人の信頼の輪によってSSLのような証明をしようというもの。無料でオレオレ認証局よりはマシなものができる。

参加

http://www.cacert.org/ から「日本語」を選び、「参加」を選択。名前、生年月日、メールアドレスに嘘を書くと、必要な保証を受けることができないので注意。

ルート証明書

トップページ→ルート証明書→PEM/DERのどちらかでインストール

個人情報

保証人は連絡先情報を公開したほうがよい？

• アカウント情報→連絡先→住所録リスト→「リストに加えてほしい」

所在地の設定。

• アカウント情報→所在地→Japan→… (区や市がちゃんと作られてないこともあり)

メールアカウント & GPG、ドメイン

利用するメールアドレス、GPG鍵を設定。

• メールアカウント→追加 でアドレスを記入、送信。届いたメールのURLをクリックすると追加される。
• 「gpg --export -a GPGのID」で鍵を吐かせておき、GPG/PGP鍵→新規作成 でペースト。このとき、鍵に上記のメールアカウントで登録していないアドレスがあるとエラーになる。また、CAcert登録時の名前とGPG鍵の名前が違うとやはりエラーになる。

利用するドメインを設定。

• ドメイン→追加 でドメインを記入、管理者アドレスを指定して送信。届いたメールのURLをクリックすると追加される。

クライアント証明書

いろいろなログインで利用できるクライアント証明書(メールアカウントとセット？)。

• クライアント証明書→新規作成→(作りたいアドレスに追加をチェック) でCSR、証明書が作成される。示されたアドレスをクリックすると証明書がインストールされる。

Sign by class 1 root certificateでいいのかな？

これでCAcertの証明書ログインなどもできるようになる。

サーバ証明書

よくあるSSL証明書。

1. 前記のとおりドメインを追加しておく。
2. サーバ証明書→新規作成 で Sign by class 3 root certificateな状態で、サーバの鍵から作成したCSR(証明書要求)テキストをペースト。
3. certificateファイルが出力されるので、これをファイルに保存してwebサーバなどを設定。

注意書きにもあるとおり、Common Name(サーバー名)以外の情報(組織など)はすべて削除される。情報送付は試したことがない。

保証

有効なサーバ証明書を作ったり、ほかの人を証明したりするには、保証人(assurer)から保証(assure)を受け、所定のポイントを得る必要がある。35ポイントでサーバ証明書を作ることができ、100ポイントでほかの人を保証する保証人になることができる。

保証を受けるにあたっては、次の手順になる。

1. 公的身分証明書を1つ以上用意する。日本国内では免許証など。国外ではパスポートや国際免許がよい。一度の証明時に2つ身分証明書があるなら高いポイントが得られる。
2. ログイン→CAcert信頼の輪→A4 - WoTフォーム を選び、このPDFを印刷する。非日本語圏の人に保証してもらうときには、英語モードで英語ファイルを取得する。
3. Names, Date of Brith, Email Addressを確認する。
4. Applicant's signatureに署名を記入する。パスポートと同じもの(アルファベットならアルファベット、漢字なら漢字)で記入するのがよい。
5. 多数の人が集まって保証を受けるときには、「CAcert Assurer」の項のPhoto ID shownに「Passport」や「Driver's license」などの身分証明書名、Location of Face-to-face Meetingに「hogehoge-World event, Tokyo, Japan」などのように書いておくとよい(保証人に事前に確認しておくこと)。
6. 保証人にWoTシート、身分証明書を渡し、本人確認をしてもらう。
7. 後日、保証人は受け取ったWoTシートを基にWeb経由でポイントを与える。