のりのお仕事

Webアプリでセキュリティを考えると、SSLによる暗号化は外せないとおもいます。


SSLによる暗号化を行うには、サーバー証明書が必要になります。
正式な証明書の発行は、証明書の発行機関で発行してもらうのですが、
テスト用の環境で正式な証明書を発行してもらうのはお金もかかるので、
自分で作成していきます。

IISでは、サーバー証明書を発行するためのツールがあります。
以下のサイトから、ダウンロードが可能です。

http://www.microsoft.com/downloads/details.aspx?FamilyID=56FC92EE-A71A-4C73-B628-ADE629C89499&displaylang=en

インストールすると、スタートメニューに「IIS Resources」が追加されます。
その中に、「Self SSL」がありますので、起動してください。

コマンドプロンプトが表示されると思います。
画面の最後にサンプルが表示されていると思います。
selfssl.exe /N:CN=VM-WS2003 /K:1024 /V:7 /S:1 /P:443

このコマンドを実行すると、サーバー証明書が発行されます。
オプションは /N:CN=サーバー名　/K:サイズ　/V:有効期間　/S:サイト番号
/P:ポート番号
となっています。

このまま実行しても問題ないのですが、有効期間が7日では短いので、
1年に変更します。
この場合は、/V:365にすればOKです。
selfssl.exe /N:CN=VM-WS2003 /K:1024 /V:365 /S:1 /P:443
で実行しました。

IISマネージャでSSLポートに443と表示されていれば、登録完了です。
「プロパティ」の「ディレクトリセキュリティ」を開いて、「証明書の表示」を開くと、証明書の内容を確認することができます。

SSLでの接続を確認するために、httpsで接続します。
ただし、この証明書は正規の証明書ではないため、警告がでますが、
気にせず続けてください。
表示がでれば完了です。

今度は逆にhttpで接続を試みます。
保護されている場合は、httpsで接続するように警告がでます。

これで暗号化での通信ができるようになりました。
外部のネットワークにつなくわけではありませんが、
個人情報を扱う場合は、暗号化は必須になると思います。