6.13. 新しいマスターキーの設定

手順6.2 ラップされたマスターキーの生成および転送

1. Token Key Service セキュリティーデータベースへのアクセスに必要な内部 PIN を取得します。

   # cat /var/lib/pki/pki-tomcat/tks/conf/password.conf
   
   internal=649713464822
   internaldb=secret12
   replicationdb=-752230707
   

2. TKS インスタンスの alias/ ディレクトリーを開きます。

   # cd /var/lib/pki/pki-tomcat/alias

3. transport という名前のトランスポートキーを作成します。

   # tkstool -T -d . -n transport

   注記
   tkstool ユーティリティーは、生成された 3 つのセッションキーごとにキー共有と KCV 値を出力します。この手順の後半で新しいデータベースにトランスポートキーを再生成する必要がある場合に、それらをファイルに保存し、失われた場合はキーを再生成します。
4. プロンプトが表示されたら、データベースのパスワードを入力します。次に、画面の指示に従って、ランダムなシードを生成します。

   A random seed must be generated that will be used in the
   creation of your key.  One of the easiest ways to create a
   random seed is to use the timing of keystrokes on a keyboard.
   
   To begin, type keys on the keyboard until this progress meter
   is full.  DO NOT USE THE AUTOREPEAT FUNCTION ON YOUR KEYBOARD!
   
   
   Continue typing until the progress meter is full:
   
   |************************************************************|
   
   Finished.
   
   
   Type the word "proceed" and press enter
   

5. 次のプロンプトにより、一連のセッションキーが生成されます。最終メッセージになるまで、画面の指示に従ってください。

   Successfully generated, stored, and named the transport key!

6. トランスポートキーを使用してマスターキーを生成してラップし、これを file という名前のファイルに保存します。

   # tkstool -W -d . -n new_master -t transport -o file 
   Enter Password or Pin for "NSS Certificate DB":
   Retrieving the transport key (for wrapping) from the specified token . . .
   Generating and storing the master key on the specified token . . .
   Naming the master key "new_master" . . .
   Successfully generated, stored, and named the master key!
   Using the transport key to wrap and store the master key . . .
   Writing the wrapped data (and resident master key KCV) into the
    file called "file" . . .
   
          wrapped data:   47C0 06DB 7D3F D9ED
                          FE91 7E6F A7E5 91B9
          master key KCV: CED9 4A7B
          (computed KCV of the master key residing inside the wrapped data)
   

7. ラップされたマスターキーを適切な場所またはファシリティーにコピーします。
8. 必要な場合は、HSM またはファシリティーで新しいセキュリティーデータベースを生成します。

   # tkstool -N -d <directory>

   新たなデータベースで生成した鍵と同じ鍵を生成する -l オプションを追加します。この方法でトランスポートキーを再生成するには、この手順で前のステップで生成した各セッションキーに対してセッションキー共有と KCV を入力する必要があります。

   # tkstool -I -d <directory> -n verify_transport

9. トランスポートキーを使用して、ファイルに保存されているマスターキーをアンラップします。要求されたら、セキュリティーデータベースの PIN を入力します。

   # tkstool -U -d directory -n new_master -t verify_transport -i file
   Enter Password or Pin for "NSS Certificate DB":
   Retrieving the transport key from the specified token (for
    unwrapping) . . .
   Reading in the wrapped data (and resident master key KCV) from
    the file called "file" . . .
   
        wrapped data:   47C0 06DB 7D3F D9ED
                        FE91 7E6F A7E5 91B9
        master key KCV: CED9 4A7B
        (pre-computed KCV of the master key residing inside the wrapped data)
   
   Using the transport key to temporarily unwrap the master key to
   recompute its KCV value to check against its pre-computed KCV value . . .
        master key KCV: CED9 4A7B
        (computed KCV of the master key residing inside the wrapped data)
        master key KCV: CED9 4A7B
        (pre-computed KCV of the master key residing inside the wrapped data)
   
   Using the transport key to unwrap and store the master key on the
    specified token . . .
   Naming the master key "new_master" . . .
   Successfully unwrapped, stored, and named the master key!
   

10. 鍵がデータベースに追加されたことを確認します。

    # tkstool -L -d
    slot:  NSS User Private Key and Certificate Services
    token:  NSS Certificate DB
    
    Enter Password or Pin for "NSS Certificate DB":
    			 <0> transport
    			 <1> new_master