[初回公開] 2020年05月29日
ブラウザとウェブサイト間の通信を暗号化するために https と呼ばれる通信方式が一般的に利用されており、その通信が問題ないことを示すために SSL 証明書が用いられていますが、民間が発行する証明書ではなく大学など学術機関向けに利用できるサービス「UPKI電子証明書」の申請とサーバへの設定方法について紹介いたします。
このページの目次
１．UPKI 電子証明書とは
UPKI（University Public Key Infrastructure）電子証明書とは、国立情報学研究所(NII)が運用提供する SSL 証明書で、NII に参加する大学や短期大学、そして高等専門学校等で利用できます。
条件を満たせば研究機関や法人も NII に参加が可能となっています。
大学等であれば無償で利用することができ、証明書の有効期間は 1 年 1 ヶ月となっており、仮に 3 月 10 日に証明書が発行されれば、有効期限は翌年の 04 月 10 日までとなります。
また、NII に参加する学術機関以外の組織に対しては有償で証明書が発行されます。
実際に利用して困ったこととして、初めて申請を行った際に必要な書類やファイルの準備が不十分で、申請がスムーズに進まず時間がかかってしまったことがありました。特にCSRやTSVの作成方法に慣れていなかったため、手順をよく確認しながら準備する必要があると痛感しました。この経験から、事前に必要な情報やツールを把握し、担当部署と連携を密にすることが重要だと感じました。
２．UPKI 証明書と民間の証明書の違い
UPKI 証明書と民間の証明書の違いとしては、発行者と認証組織が異なるだけで SHA-2 (SHA-256) 署名アルゴリズムとなっています。
発行の流れは CSR を送付して後日証明書を受け取る点については変わりありません。
ホスティングサービスでは無償で利用できる Let’s Encrypt も SHA-2 を採用していますが、ホスティング事業者が証明書の期限を迎える前に更新してくれるので利用者は特に手続きや作業は必要ありません。
それに対して UPKI 証明書は有効期限を迎える前に NII に更新発行申請を行い、ウェブサーバに証明書の入れ替え作業が必要となります。
SSL 証明書を導入することでブラウザとウェブサイト間の通信が暗号化されるため改ざんと盗聴を防ぐことができます。
個人情報やクレジットカードの入力の際には通信を暗号化することが常識となってきている中、個人情報を含んでいなくても常時暗号化通信する風潮が高まってきており、ウェブサイトだけでなくスマートフォンのアプリがサーバと通信する際も暗号化を義務付ける動きにあります。
３．UPKI 電子証明書の申請方法
UPKI 電子証明書の申請方法としては、証明書生成に必要な CSR と TSV と呼ばれる申請書式が必要となります。
CSR と TSV をもって NII に発行申請すると当日または翌営業日には新しい SSL 証明書のダウンロード URL が通知されます。
申請に際しては大学の情報システム担当部門から NII へ連絡するのが一般的となり、もし委託業者が事前準備を行う場合は CSR の作成と TSV 作成ツールを利用して用意することが多く、次の流れとなります。
- CSR 生成時に入力する組織情報（DN情報）を手元に用意します。
- SSL 証明書を設置するサーバに乱数生成用ファイルを３つ用意します。
- 上記(2)を利用して鍵ペアを生成します。
- 上記(3)を利用して CSR を生成します。
- 下記の TSV 生成ツールより TSV を生成します。
https://certs.nii.ac.jp/tsv-tool/ - CSR と TSV を NII の窓口となっている部署課から発行申請します。
TSV 生成ツールはインターネット上に公開されており、下図の画面よりボタン「作成開始」をクリックし、組織名など必要な項目を入力すると TSV をダウンロードすることができます。
４．UPKI 電子証明書をサーバへ設定する方法
UPKI 電子証明書をサーバへ設定する方法としては、一般的に用いられている SSL 証明書の設置・更新手順とほぼ変わりません。
証明書の発行申請を行うと早ければ当日または後日に証明書と中間 CA 証明書のダウンロード URL が送付され、サーバには次の手順で証明書の設置を行います。
- UPKI 電子証明書をダウンロードします。
- 中間 CA 証明書をダウンロードします。
- 上記(1)と(2)をサーバにアップロードします。（アップロード先は /etc/httpd/conf.d/ssl.conf で指定します）
- ウェブサーバの再起動を行います。
- ブラウザでウェブサイトにアクセスして証明書の内容が表示されるか確認します。
証明書の有効期限は約 1 年となっているため、ブラウザで証明書の内容を表示して有効期限が 1 年後になっていれば問題なくサーバに設置されていることになります。
まとめ
UPKI電子証明書は学術機関向けに提供されるSSL証明書であり、無償で利用できる点が大きな魅力です。
民間の証明書と比べて発行や更新の手続きに若干の手間がありますが、セキュリティ面では同様に高い水準を保っています。
申請やサーバ設定の際には事前準備をしっかり行い、手順を理解して進めることが重要です。
今回紹介した方法を参考に、安心して暗号化通信を実現してください。
