5.3. CMC を使用した証明書の要求と受信

1. ユーザーまたは CA 管理者として共有トークンを作成します。詳細は、「共有シークレットトークンの作成」 を参照してください。

   注意: ユーザーがトークンを作成した場合、ユーザーはトークンを CA 管理者に送信する必要があります。CA 管理者がトークンを作成した場合、管理者はユーザーがトークン生成に使用するパスワードを共有する必要があります。セキュアな方法でパスワードを送信します。

2. CA 管理者として、LDAP のユーザーエントリーに Shared Token を追加します。詳細は、計画、インストール、デプロイメントのガイド (Common Criteria Edition) の 9.6.3 証明書登録用ユーザーエントリーへの CMC 共有シークレットの追加 および CMC 共有シークレット機能の有効化 を参照してください。

3. CMCRequest ユーティリティーに渡される設定ファイルで以下のパラメーターを使用します。

   • identification.enable
   • identification
   • witness.sharedSecret
   • identityProofV2.enable
   • identityProofV2.hashAlg
   • identityProofV2.macAlg
   • request.useSharedSecret
   • request.privKeyId

4. CA で必要な場合は、CMCRequest ユーティリティーに渡される設定ファイルで以下のパラメーターも使用します。

   • popLinkWitnessV2.enable
   • popLinkWitnessV2.keyGenAlg

   • popLinkWitnessV2.macAlg

     注記

     CA で popLinkWitness が必要かどうかの詳細は、計画、インストール、デプロイメントのガイド (Common Criteria Edition) の 9.6.2 「PopLinkWitnessV2 機能の有効化」で設定パラメーターの値を確認してください。

5. CMC 登録設定ファイルでパラメーターがどのように使用されるかについては、以下の例を参照してください。たとえば、要求元ユーザーの nssdb に shrTok_example_request.cfg を作成します。

   ### numRequests: Total number of PKCS10 requests or CRMF requests.
   numRequests=1
   
   ### input: full path for the PKCS10 request or CRMF request,
   ### The content must be in Base-64 encoded format.
   ### Multiple files are supported. They must be separated by a space.
   input=/home/user_name/.dogtag/nssdb/request.csr
   
   ### output: full path for the CMC request in binary format
   output=/home/user_name/.dogtag/nssdb/cmc-request.bin
   
   ### tokenname: name of the token where agent signing cert can be found (default is internal)
   tokenname=internal
   request.useSharedSecret=true
   
   ### nickname: nickname for the agent certificate which will be used to sign the CMC full request. This is not needed for shared secret enrollments.
   #nickname=
   
   ### dbdir: directory for cert8.db, key3.db and secmod.db
   dbdir=/home/user_name/.dogtag/nssdb/
   
   ### password: password for cert8.db which stores the agent certificate
   password=password
   
   ### format: request format, pkcs10 if request is created using PKCS10Client, or crmf if request created using CRMFPopClient
   format=<pkcs10 or crmf>
   
   ### identityProofV2.enable: if true, then the request will contain this control. Otherwise, false.
   ### Note that if both identityProof and identityProofV2 are enabled,
   ### identityProofV2 takes precedence; Only one of them can be active at a time
   ### Supported hashAlg are:
   ### SHA-256, SHA-384, and SHA-512
   ### Supported macAlg are:
   ### SHA-256-HMAC, SHA-384-HMAC, and SHA-512-HMAC
   identityProofV2.enable=true
   identityProofV2.hashAlg=SHA-512
   identityProofV2.macAlg=SHA-256-HMAC
   
   ### identityProofV2.sharedSecret: Shared Secret
   ### The shared secret passphrase assigned when creating shared token with CMCSharedToken command
   witness.sharedSecret=<shared secret>
   
   popLinkWitnessV2.enable=true
   popLinkWitnessV2.keyGenAlg=SHA-256
   popLinkWitnessV2.macAlg=SHA-256-HMAC
   
   request.privKeyId=<output from PKCS10Client | CRMFPopClient xxx.priv>
   
   ### identification works with identityProofV2
   identification.enable=true
   identification=<The UID of the requesting user in LDAP>

   注記

   共有シークレットを使用した CMC 登録のより完全な例については、計画、インストール、デプロイメントのガイド (Common Criteria Edition) の「CMC 共有トークンのテスト」を参照してください。

CSR の生成

1. 証明書が要求されるユーザーまたはエンティティーの証明書データベースディレクトリーに移動します。以下に例を示します。

   $ cd /home/user_name/.dogtag/nssdb/

2. KRA トランスポート証明書を検索します。以下に例を示します。

   $ pki -p 8443 ca-cert-find --name "DRM Transport Certificate"

3. 前の手順で取得した KRA トランスポート証明書のシリアル番号を使用して、証明書をファイルに保存します。たとえば、シリアル番号 12345 の証明書を kra.transport ファイルに保存するには、以下を実行します。

   $ pki -p 8443 ca-cert-export 12345 --output kra.transport

4. CRMFPopClient ユーティリティーを使用して、POP_NONE で CRMF 要求を作成します。このとき、RSA 秘密鍵は KRA トランスポート証明書によってラップされます。たとえば、要求を生成して /home/user_name/.dogtag/nssdb/crmf.req ファイルに保存するには、以下を実行します。

   $ CRMFPopClient -d . -p token_password -n "cn=subject_name" -q POP_NONE -b kra.transport -w "AES KeyWrap/Wrapped" -v -o crmf.req -oaep
   
   Initializing security database: .
   archival option enabled
   Loading transport certificate
   Parsing subject DN
   RDN: CN=subject_name
   Generating key pair: temporary: false
   CryptoUtil: generateRSAKeyPair: calling kg.setKeyPairUsages
   Keypair private key id: 2500b867acad0064bdba3fde9762a3ff1487fcfa
   Using key wrap algorithm: AES KeyWrap/Wrapped
   Creating certificate request
   Creating CRMF request
   Storing CRMF request into crmf.req
   Storing CRMF request key id into crmf.req.keyId

CMCRequest 初回トリップ (EncryptedPop)

1. 次の内容で、CMCRequest ユーティリティーの設定ファイル (例: cmc-crmf-request.cfg) を作成します。

   #numRequests: Total number of PKCS10 requests or CRMF requests.
   numRequests=1
   
   #input: full path for the PKCS10 request or CRMF request,
   #the content must be in Base-64 encoded format
   input=/home/user_name/.dogtag/nssdb/crmf.req
   
   #output: full path for the CMC request in binary format
   output=/home/user_name/.dogtag/nssdb/cmc-round_1.req
   
   #tokenname: name of token where agent signing cert can be found
   #(default is internal)
   tokenname=internal
   
   #nickname: nickname for user certificate which will be used
   #to sign the CMC full request.
   nickname=signing_certificate
   
   #dbdir: directory for cert9.db, key4.db and pkcs11.txt
   dbdir=/home/user_name/.dogtag/nssdb/
   
   #password: password for cert9.db which stores the agent certificate
   password=password
   
   #format: request format, either pkcs10 or crmf
   format=crmf
   
   decryptedPop.enable=false
   request.selfSign=false

2. CMC 要求を作成します。

   $ CMCRequest cmc-crmf-request.cfg
   
   cert/key prefix =
   path = /home/user_name/certs_db
   CryptoManger initialized
   token internal logged in...
   got signerCert: signing_certificate
   createPKIData: begins
   k=0
   createPKIData:  format: crmf
   useSharedSecret is false...
   signData: begins:
   getPrivateKey: got signing cert
   signData:  got signer privKey
   createSignedData: begins
   getSigningAlgFromPrivate: begins.
   getSigningAlgFromPrivate: found signingKeyType=EC
   getSigningAlgFromPrivate: using SignatureAlgorithm: ECSignatureWithSHA256Digest
   createSignedData: digest created for pkidata
   createSignedData: digest algorithm =ECSignatureWithSHA256Digest
   createSignedData: building cert chain
   signData: signed request generated.
   getCMCBlob: begins
   getCMCBlob: generating signed data
   
   The CMC enrollment request in base-64 encoded format:
   
   . . . output omitted . . .
   
   
   The CMC enrollment request in binary format is stored in /home/user_name/.dogtag/nssdb/cmc-round_1.req

   コマンドが成功すると、CMCRequest ユーティリティーは、要求設定ファイルの output パラメーターで指定されたファイルに CMC 要求を保存します。

3. 後の手順で CMC 要求を CA に送信するために使用する HttpClient の設定ファイル (例: cmc-submit.cfg) を作成します。作成されたファイルに以下の内容を追加します。

   #host: host name for the http server
   host=server.example.com
   
   #port: CA port number
   port=8443
   
   #secure: true for secure connection, false for nonsecure connection
   secure=true
   
   #input: full path for the enrollment request, the content must be in
   #binary format
   input=/home/user_name/.dogtag/nssdb/cmc-round_1.req
   
   #output: full path for the response in binary format
   output=/home/user_name/.dogtag/nssdb/cmc-response_round_1.bin
   
   #tokenname: name of token where TLS mutual authentication cert can be found
   #(default is internal)
   #This parameter will be ignored if secure=false
   tokenname=internal
   
   #dbdir: directory for cert9.db, key4.db and pkcs11.txt
   #This parameter will be ignored if secure=false
   dbdir=/home/user_name/.dogtag/nssdb/
   
   #clientmode: true for client authentication, false for no client authentication
   #This parameter will be ignored if secure=false
   clientmode=true
   
   #password: password for cert9.db
   #This parameter will be ignored if secure=false and clientauth=false
   password=password
   
   #nickname: nickname for client certificate
   #This parameter will be ignored if clientmode=false
   nickname=signing_certificate
   
   #servlet: servlet name
   servlet=/ca/ee/ca/profileSubmitUserSignedCMCFull?profileId=caFullCMCUserSignedCert

4. CMC 要求を CA に送信します。

   $ HttpClient cmc-submit.cfg
   
   Total number of bytes read = 5578
   after SSLSocket created, thread token is NSS FIPS 140-2 User Private Key
   client cert is not null
   handshake happened
   writing to socket
   
   Response Headers begin
   HTTP/1.1 200
   Content-Type: application/pkcs7-mime
   Content-Length: 3317
   Date: Thu, 25 Jan 2024 21:58:32 GMT
   Connection: close
   End
   
   Total number of bytes read = 3317
   
   . . . output omitted . . .
   
   The response in binary format is stored in /home/user_name/.dogtag/nssdb/cmc-response_round_1.bin

   コマンドが成功すると、HTTPClient ユーティリティーは、CMC 応答を、設定ファイルの output パラメーターで指定されたファイルに保存します。

5. 応答ファイルを CMCResponse ユーティリティーに渡して応答を確認します。以下に例を示します。

   $ CMCResponse -d /home/user_name/.dogtag/nssdb/ -i /home/user_name/.dogtag/nssdb/cmc-response_round_1.bin

   最初のトリップが成功すると、CMCResponse は以下のような出力を表示します。

   Certificates:
       Certificate:
           Data:
               Version:  v3
               Serial Number: 0x425C240
               Signature Algorithm: SHA256withRSA - 1.2.840.113549.1.1.11
               Issuer: CN=CA Signing Certificate,OU=rhcs10-RSA-RootCA,O=Example-rhcs10-RSA-RootCA
               Validity:
                   Not Before: Thursday, September 28, 2023 4:06:41 PM EDT America/New_York
                   Not  After: Monday, September 28, 2043 4:06:41 PM EDT America/New_York
               Subject: CN=CA Signing Certificate,OU=rhcs10-RSA-RootCA,O=Example-rhcs10-RSA-RootCA
   ...
   Number of controls is 3
   Control #0: CMC encrypted POP
   	 OID: {1 3 6 1 5 5 7 7 9}
   		 encryptedPOP decoded
   Control #1: CMCStatusInfoV2
   	 OID: {1 3 6 1 5 5 7 7 25}
   	 BodyList: 1
   	 OtherInfo type: FAIL
   		 failInfo=POP required
   Control #2: CMC ResponseInfo
   	 requestID: 15
   CMC Full Response.
   ERROR: CMC status for [1]: pop required

CMCRequest の 2 回目のトリップ (DecryptedPop)

1. 2 回目のトリップでは、後の手順で使用する DecryptedPOP の設定ファイル (例: /home/user_name/.dogtag/nssdb/cmc_DecryptedPOP.cfg) を作成します。

   #numRequests: Total number of PKCS10 requests or CRMF requests.
   numRequests=1
   
   #input: full path for the PKCS10 request or CRMF request,
   #the content must be in Base-64 encoded format
   #this field is actually unused in the 2nd trip
   input=/home/user_name/.dogtag/nssdb/crmf.req
   
   #output: full path for the CMC request in binary format
   #this field is actually unused in 2nd trip
   output=/home/user_name/.dogtag/nssdb/cmc2.req
   
   #tokenname: name of token where agent signing cert can be found
   #(default is internal)
   tokenname=internal
   
   #nickname: nickname for agent certificate which will be used
   #to sign the CMC full request.
   nickname=signing_certificate
   
   #dbdir: directory for cert9.db, key4.db and pkcs11.txt
   dbdir=/home/user_name/.dogtag/nssdb/
   
   #password: password for cert9.db which stores the agent
   #certificate
   password=password
   
   #format: request format, either pkcs10 or crmf
   format=crmf
   
   decryptedPop.enable=true
   request.selfSign=false
   oaep=true
   encryptedPopResponseFile=/home/user_name/.dogtag/nssdb/cmc-response_round_1.bin
   
   request.privKeyId=-25aa0a8aad395ebac7e6a19c364f0dcb5350cfef
   decryptedPopRequestFile=/home/user_name/.dogtag/nssdb/cmc.DecryptedPOP.req

   注記

   request.privKeyId= パラメーター値には、CRMFPopClient を実行した後に keyId ファイルに保存された秘密鍵 ID (例: crmf.req.keyId) を入力します。

2. DecryptPOP CMC 要求を作成します。

   $ CMCRequest /home/user_name/cmc.DecryptedPOP.cfg
   
   cert/key prefix =
   path = /home/user_name/.dogtag/nssdb
   CryptoManger initialized
   token internal logged in...
   got signerCert: signing_certificate
   got request privKeyId: -5db9e71d7f6fbf8cca8dba3f933aa1beea69fb5f
   got private key
   processEncryptedPopResponse:  begins.
   processEncryptedPopResponse:  previous response read.
   processEncryptedPopResponse: Number of controls is 3
   processEncryptedPopResponse: Control #0: CMC encrypted POP
   processEncryptedPopResponse:    OID: {1 3 6 1 5 5 7 7 9}
   processEncryptedPopResponse:      encryptedPOP decoded successfully
   processEncryptedPopResponse: Control #1: CMCStatusInfoV2
   processEncryptedPopResponse:    OID: {1 3 6 1 5 5 7 7 25}
   processEncryptedPopResponse:    BodyList: 1
   processEncryptedPopResponse:    OtherInfo type: FAIL
   processEncryptedPopResponse:      failInfo=POP required
   processEncryptedPopResponse:    what we expected, as decryptedPOP.enable is true;
   processEncryptedPopResponse: Control #2: CMC ResponseInfo
   processEncryptedPopResponse:    requestID: 256
   processEncryptedPopResponse: ends
   constructDecryptedPopRequest: begins
   constructDecryptedPopRequest:  previous response parsed.
   constructDecryptedPopRequest: symKey unwrapped.
   constructDecryptedPopRequest: challenge decrypted.
   constructDecryptedPopRequest: Yay! witness verified
   constructDecryptedPopRequest: calculating POP Proof Value
   constructDecryptedPopRequest: popProofValue length = 32
   constructDecryptedPopRequest: constructing DecryptedPOP...
   constructDecryptedPopRequest: DecryptedPOP constructed successfully
   constructDecryptedPopRequest: adding decryptedPop control
   constructDecryptedPopRequest: decryptedPop control added
   constructDecryptedPopRequest: regInfo control added
   constructDecryptedPopRequest:  completes.
   useSharedSecret is false...
   signData: begins:
   getPrivateKey: got signing cert
   signData:  got signer privKey
   createSignedData: begins
   getSigningAlgFromPrivate: begins.
   getSigningAlgFromPrivate: found signingKeyType=EC
   getSigningAlgFromPrivate: using SignatureAlgorithm: ECSignatureWithSHA256Digest
   createSignedData: digest created for pkidata
   createSignedData: digest algorithm =ECSignatureWithSHA256Digest
   createSignedData: building cert chain
   signData: signed request generated.
   getCMCBlob: begins
   getCMCBlob: generating signed data
   
   The CMC enrollment request in base-64 encoded format:
   
   . . . output omitted . .
   
   
   The CMC enrollment request in binary format is stored in /home/user_name/.dogtag/nssdb/cmc.DecryptedPOP.req

   コマンドが成功すると、CMCRequest ユーティリティーは、要求設定ファイルの decryptedPopRequestFile パラメーターで指定されたファイルに CMC 要求を保存します。

3. 後の手順で DecryptedPOP CMC 要求を CA に送信するために使用する、HttpClient の設定ファイル (例: decrypted_POP_cmc-submit.cfg) を作成します。作成されたファイルに以下の内容を追加します。

   #host: host name for the http server
   host=server.example.com
   
   #port: CA port number
   port=8443
   
   #secure: true for secure connection, false for nonsecure connection
   secure=true
   
   #input: full path for the enrollment request, the content must be in binary format
   input=/home/user_name/.dogtag/nssdb/cmc.DecryptedPOP.req
   
   #output: full path for the response in binary format
   output=/home/user_name/.dogtag/nssdb/cmc-response_round_2.bin
   
   #tokenname: name of token where TLS mutual authentication cert can be found (default is internal)
   #This parameter will be ignored if secure=false
   tokenname=internal
   
   #dbdir: directory for cert9.db, key4.db and pkcs11.txt
   #This parameter will be ignored if secure=false
   dbdir=/home/user_name/.dogtag/nssdb/
   
   #clientmode: true for client authentication, false for no client authentication
   #This parameter will be ignored if secure=false
   clientmode=true
   
   #password: password for cert9.db
   #This parameter will be ignored if secure=false and clientauth=false
   password=password
   
   #nickname: nickname for client certificate
   #This parameter will be ignored if clientmode=false
   nickname=signing_certificate
   
   #servlet: servlet name
   servlet=/ca/ee/ca/profileSubmitCMCFull?profileId=caFullCMCUserSignedCert

4. DecryptedPOP CMC 要求を CA に送信します。

   $ HttpClient decrypted_POP_cmc-submit.cfg
   
   Total number of bytes read = 5676
   after SSLSocket created, thread token is NSS FIPS 140-2 User Private Key
   client cert is not null
   handshake happened
   writing to socket
   
   Response Headers begin
   HTTP/1.1 200
   Content-Type: application/pkcs7-mime
   Content-Length: 4210
   Date: Fri, 26 Jan 2024 00:41:57 GMT
   Connection: close
   end
   
   Total number of bytes read = 4210
   
   . . . output omitted . . .
   
   
   The response in binary format is stored in /home/user_name/.dogtag/nssdb/cmc-response_round_2.bin

   コマンドが成功すると、HTTPClient ユーティリティーは、CMC 応答を、設定ファイルの output パラメーターで指定されたファイルに保存します。

5. CMC の応答を PKCS #7 証明書チェーンに変換するには、CMCResponse ユーティリティーの -i パラメーターに CMC 応答ファイルを渡します。以下に例を示します。

   $ CMCResponse -i cmc-response_round_2.bin -o encryption_only_certs.p7

   または、-v ユーティリティーに渡して個々の証明書を PEM 形式で表示します。

   2 回目のトリップが成功すると、CMCResponse は以下のような出力を表示します。

   Certificates:
       Certificate:
           Data:
               Version:  v3
               Serial Number: 0x35EEA2A
               Signature Algorithm: SHA256withRSA - 1.2.840.113549.1.1.11
               Issuer: CN=CA Signing Certificate,OU=rhcs10-RSA-SubCA,O=Example-rhcs10-RSA-RootCA
               Validity:
                   Not Before: Thursday, January 25, 2024 5:09:51 PM EST America/New_York
                   Not  After: Tuesday, July 23, 2024 5:09:51 PM EDT America/New_York
               Subject: CN=user_name,UID=example,OU=keyArchivalExample
   
   . . .
   
   Number of controls is 1
   Control #0: CMCStatusInfoV2
      OID: {1 3 6 1 5 5 7 7 25}
      BodyList: 1
      Status: SUCCESS
   CMC Full Response.
   
   PKCS#7 now stored in file: encryption_only_certs.p7

6. 証明書が正常に発行されると、ユーザーはその証明書を自分の /home/user_name/.dogtag/nssdb/ データベースにインポートできるようになります。以下に例を示します。

   # pki -d /home/user_name/.dogtag/nssdb/ -c <password> client-cert-import "user_name certificate" --cert encryption_only_certs.p7