セキュリティ
Lotus Notes 認証者およびインターネット認証者は、CA プロセスを使用するよう設定できます。Lotus Notes 認証者は、登録されてから CA プロセスに移行されます。一方、インターネット認証者は CA プロセスを使用して作成と登録が行われます。
CA プロセスを使用する理由は、次のとおりです。
発行済み証明書リスト (ICL)どの認証者にも、その認証者の作成時または CA プロセスへの移行時に作成された発行済み証明書リスト (ICL) が 1 つあります。ICL は、発行済みの有効な各証明書のコピー、証明書失効リスト (インターネット認証者の場合)、CA 設定文書が格納されるデータベースです。システム管理者が認証者を作成し、その認証者のパブリックキーを使って署名すると、設定文書が生成されます。設定文書をいったん作成すると、編集することはできません。 CA 設定文書には、次のものが含まれます。
詳しくは、「認証者を変更する」を参照してください。
証明書失効リスト (CRL)CRL は、退職した従業員の証明書など、失効したインターネット証明書を示すタイムスタンプ付きのリストです。CA プロセスでは、各インターネット認証者について CRL を発行し、それを管理します。CRL と認証者は 1 対 1 で関連付けられ、その認証者から署名を受けて、その認証者の ICL データベース内に存在します。 CRL は、新しいインターネット認証者の作成時に設定します。ここでは、CRL の有効期間と新規に CRL を発行する間隔を指定できます。CRL の設定が済むと、該当する認証者は CRL を定期的に発行するようになります。CRL は自動で実行されます。
CRL を使用すると、システム管理者は、自組織内で発行された証明書を管理できます。証明書の対象者が異動した場合やキーが改ざんされている場合、証明書を簡単に失効させることができます。HTTP サーバーおよび Web ブラウザでは、CRL をチェックすることにより、該当の証明書が失効していて、認証者から信頼されていない状態になっているかどうかを判断できます。インターネットサイト文書を使用して Lotus Domino 上でインターネットプロトコルを設定する場合は、CRL のチェックをプロトコルごとに有効にすることもできます。
CRL には、2 つの種類があります。スケジュールされた CRL と即時の CRL です。スケジュールされた CRL の場合は、CRL の有効期間と新規に CRL を発行する間隔を指定します。最後の CRL が発行された時点以降に失効した証明書がない場合でも、各認証者は、指定されたタイミングで CRL を発行します。つまり、管理者が証明書を失効させると、認証者がスケジュールに従って次に発行する CRL に反映されます。CRL の有効期間は、各 CRL の発行間隔より長くしてください。そうすれば、CRL を有効な状態に保つことができます。そうでない場合、CRL は新しい CRL が発行される前に期限切れになってしまいます。
ただし、深刻なセキュリティ侵害が発生した場合、たとえば管理者が非常に強力な証明書を失効させる必要がある場合や、認証者の証明書が改ざんされている場合などは、システム管理者が即時の CRL (スケジュール外の CRL) を手動で発行し、緊急の失効を有効にできます。このような緊急の失効により、次にスケジュールされている CRL のタイミングや内容が影響を受けることはありません。即時の CRL は、Tell コマンドを使って発行します。
証明書の失効について詳しくは、「証明書を失効させる」の項目を参照してください。
インターネットサイト文書の CRL チェックの有効化について詳しくは、「インターネットサイト文書のセキュリティを設定する」の項目を参照してください。
スケジュールされた CRL の設定について詳しくは、「サーバーベース CA の認証者を作成する」の項目を参照してください。
スケジュール外の CRL の発行について詳しくは、「認証機関プロセスの Tell コマンド」の項目を参照してください。
関連項目