OpenSSLについて

質問

現在、ＳＳＬ導入に向けて勉強＆準備をしています。

CentOS5.5でＡｐａｃｈｅ＋ＯｐｅｎＳＳＬを使ってＳＳＬを導入しようと考えていまして
認証局はベリサインを利用しようと思っています。

以下のベリサインの導入手順を参考に作業をしています。
https://www.verisign.co.jp/ssl/help/csr/capache_new.html

# rpm -qa | grep openssl
でOpenＳＳＬが入っていることを確認しましたので
上記手順書の最初の秘密鍵を作成しようとしたのですが

/usr/local/ssl/bin
というディレクトリがなく、whichコマンドでパスを調べ /usr/bin/にあることがわかり
そのディレクトリに読みかえて作業を行い始めましたが、
これで問題ないのでしょうか？

ちなみに、この件で色々ぐぐってみるとOpenSSLが既に入っていても
ソースからOpenSSLをインストールするような解説を見かけましたので
新たにソースから入れたほうがよいのでしょうか？

回答No.2

Wr5 · ベストアンサー

>/usr/bin/にあることがわかり
>そのディレクトリに読みかえて作業を行い始めましたが、
>これで問題ないのでしょうか？

/usr/binに秘密鍵ファイルなどが作成されるのは……あまり好ましくないかと思われます。
opensslのrpmパッケージでインストールを行った場合、/etc/pki以下に公開鍵などのファイルが格納されているかと思われます。
まぁ、変なディレクトリ(公開ディレクトリとか/tmp(ファイルが削除される可能性がある)とか)でなければ、まぁ大丈夫だとは思いますが……。
/usr/local/certsの下で作業(パソコンおやじさんのサイト例 http://www.aconus.com/~oyaji/www/certs_linux.htm )していたり、
/etc/pki/tls/certsの下で作業(CentOSで自宅サーバ構築のサイト例 http://centossrv.com/apache-ssl.shtml )していたり…といろいろありますね。

>ちなみに、この件で色々ぐぐってみるとOpenSSLが既に入っていても
>ソースからOpenSSLをインストールするような解説を見かけましたので
>新たにソースから入れたほうがよいのでしょうか？

パッケージ管理されている状態でソースからインストールする場合、依存関係でかなり大変なことになることが予想されます。
それらを1つずつ解決し、安全に構築できる自信がありますか？
apache(というかmod_ssl)なども変更になるでしょうし、ディストリビュータからセキュリティパッチが公開された場合も自分でビルドし直しなど、全ての対策を行う必要があります。
# パッケージ管理から外れるのですから、ディスリビュータから提供されるものが整合性の取れる状態になっている保証がありません。

お礼

早速、ご教授いただきありがとうございます。
私の現在の知識ではソースからインストールは見送ったほうがよさそうですね。
教えていただきましたサイトを参考にしてＳＳＬを導入してみます。

回答No.1

lupin-333333

あなたの場合、まず、ここから

「デーモンとは」

http://search.yahoo.co.jp/search?b=1&n=10&ei=UTF-8&fr=ie8sc&p=Linux+%22%E3%83%87%E3%83%BC%E3%83%A2%E3%83%B3%E3%81%A8%E3%81%AF%22

それを理解できたら、その起動要件、仕組みを理解してください。

「OpenSSLのデーモン」とは

http://search.yahoo.co.jp/search?p=Linux+%22%E3%83%87%E3%83%BC%E3%83%A2%E3%83%B3%22+%22OpenSSL%22&aq=-1&oq=&ei=UTF-8&fr=ie8sc&n=10&x=wrt

通常デーモンなど、サーバークライアントモデルのモジュールでは、

http://search.yahoo.co.jp/search?p=UNIX+Linux+%E3%82%B5%E3%83%BC%E3%83%90%E3%83%BC%E3%82%AF%E3%83%A9%E3%82%A4%E3%82%A2%E3%83%B3%E3%83%88%E3%83%A2%E3%83%87%E3%83%AB&aq=-1&oq=&ei=UTF-8&fr=ie8sc&n=10&x=wrt

http://itpro.nikkeibp.co.jp/word/page/10001814/

ラーパーなる物があるか、特定ユーザーで起動するため、そのユーザー固有のプロファイルで(.cshrc .profile)で環境が整えられています。環境が整えられているとは、コマンドが在るフォルダーのパスや、ライブラリーがデーモンの起動とともに、メインのモジュールが理解できていて、呼び出すことが可能と言う意味です。

インストールが成功していれば、サンプル設置記録や、ブログにある、パスを示していなくても問題在りません。

ただし、それは、必ずしも１００％そうであるとはいいきれない部分もあります。市販ソフトなら、バグとして

（フリーや、シェアーウェーのソフトは２００５年ごろまで５０％がデフォルト以外のフォルダーに設置すると問題があった。開発者が馬鹿なんで）、

直してもらえますが、対処のソフトはオープンソースなので自分で治すか、報告して、いつか直るのを待つしかありません。

OpenSSLクラスになれば、かなりの実績があり、業務用、基幹用としてもつかわれているので、そういった初期問題は、すでにクリアーされています（歴史があり、かなり昔からある）。

また

/usr/local/ssl/bin

などLinux、UNIX系は、シンボリックリンクなど実態は別のところに在る場合があります。実態は、/usr/local以下にあり、コマンドを/usr/binの下にハードリンク又はシンボリックリンクで置くなんて事はよくあります。

path　の順番なんで、どちらを最初にヒットさせたいかは、その環境変数で設定してください。

例：

http://search.yahoo.co.jp/search?b=1&n=10&ei=UTF-8&fr=ie8sc&p=Linux+%22%2Fusr%2Flocal%22+%22%E3%82%B7%E3%83%B3%E3%83%9C%E3%83%AA%E3%83%83%E3%82%AF%E3%83%AA%E3%83%B3%E3%82%AF%22

http://www.atmarkit.co.jp/flinux/rensai/linuxtips/119setlink.html

なんかは、そうですね。

＞ソースからOpenSSLをインストールするような解説

これは、ちょっと意味合いが違います。Javaもそうですが、複数設置できて、その利点は、複数のバージョンを、それぞれのアプリで選択して使用できるので、互換性が無い場合、そのようにします。

これを可能とするのが、ラッパーなど、環境変数や、ユーザーごとのプロファイルです。

いくつも入れてもいいですが、その分パソコンのリソースを使うので、パフォーマンスに影響します。

お礼

詳しくご説明いただき、ありがとうございます。
教えていただきましたサイトなどをもとに、知識をつけていきたいと思います。