CRLのアクセスログ

サーバーの入れ替えに伴いウェブサーバのログデータを退避しました。今のウェブサーバーのソフトウェアは2004年10月頃から使っていますが、その辺りからテスト用にCRL(証明書失効リスト)を公開しています。
(途中、サーバーを停止させたりしている時期もありました。)

・2004年度後期 JNSA S/MIME WGのメーラー毎のS/MIME署名メール検証テスト
・2005年度後期 ECOM 2005年度 CAdES/XAdES長期署名相互運用性テスト
・2007年度 ECOM 2007年度 CAdES/XAdES長期署名相互運用性テスト
・実験後、テスト用署名データをECOMサイトで公開

2004年10月からのCRLの月毎のアクセス数をグラフにするとこんな感じ。





ECOMのテストはテストケース毎にCRLファイルを分けていたので、それなりのアクセス数になっています。ECOMのテスト後にテスト用の署名データや証明書などを公開するようにしたので、テスト後もちらほら継続的にアクセスはあったりします。

2004年10月からのCRLのアクセスの国内からの割合はこんな感じ。国内実験がメインなので7割が日本っていうのは当然ですが、国外からも意外にあったりします。





国外からのアクセスの内訳を見てみるとこんな感じ。





フランス、スペインはECOMの2007年度の実験に参加してもらっているので、それなりにアクセスがあるのは当然なんですが、トルコ、ハンガリー、スウェーデンなどECOMテストに参加していない国からのアクセスも結構あったりします。ECOMの英語版のページでテスト用長期署名をダウンロードできるようにしてあるんですが、これを観て実際に長期署名検証をしようとしてみてくれてるんだろうと思います。

トルコはトルコ政府がETSIのリモートテストにも参加していたりして長期署名に真剣に取り組んでいるみたいですね。

しかし、パキスタンって本当かなぁ、、、ログ取得時期とGeoIPのデータの時期が間違っているのかなぁ、、、本当だとしたらちょっとびっくりですね。

これらのCRLは、ふらっとサイトに来てダウンロードして帰るような代物ではないので、署名の実装があって検証しようとしてみたという所では割と信憑性のある数字なのかな、、、とも思います。

CAdESとXAdESの属性証明書の参照情報の問題？

こちらは朝の５時、CAdESとXAdESの属性証明書関連の参照情報・値情報の記述でよせばいいのに標準策定者の属性証明書の認識不足から来る、重箱の隅をつつくような、でも大きな議論に発展しそうな問題を見つけてしまったような気がする、、、、、、、見つけなきゃ良かった、、、、（Ｔ＿Ｔ）

次のプラグテストに間に合うように一応資料は作ってみる予定、、、、このブログでも紹介できるとよいなぁ、、と思います。

属性証明書は面倒臭いし殆ど誰も使ってないので、修正したとしても誰も喜ばないですし、突っ込んでもしょうがないんですけどね、、、、(じゃぁ、仕様に入れるな、みたいな、、、、（＾＾；

STF351初日会議終了

今、１８：１５、ミーティング一日目ようやく終わりました。実りはあったような無かったような微妙な感じですね。CAdESのテスト用のファイル名のゴタゴタがやや解決したようなので、まぁ、それはよかったかなと、、、、、

９：００からきっかり始まったので相当疲れて脳がスポンジのようです（Ｔ＿Ｔ）

２１時スタートでカルロスさんの知り合いの弁護士の人と一緒に会食しましょうということになってしまい、これまた大変。一日は長い、、、、、
＜追記＞
弁護士の方と会うのはカルロスさんだけで、大学の予算関係のことだそう。自分の英語力しょぼすぎ（Ｔ＿Ｔ）ＳＴＦメンバだけで２１時にオープンする地元の人しか来なさそうな創作フレンチっぽいレストランに行きました。
地図だけぽっと渡されて店に現地集合だったので、心細かったんですが、何とかトラムに乗って、ZARAでお土産になりそうなもの見たりして時間を潰し店まで辿りつきました。５分前頃行ったら先にピーターが来て、他のお客さんもズラ〜〜ッと１０人ぐらい店の前で待っていました。月曜だというのに結構人気の店なのかも。

アボカドと蟹のイチゴソース添え、海老とズッキーニのカレーソース・ライス添えなんか食べてなかなか美味しかったです。（良かった、英語のメニューくれて。スペイン語なんか読めるわけがないし、説明されてもよくわからない）写真撮るのは恥ずかしくてやめてしまった、、、、撮ればよかった、、、、

今日の２枚：




カタルーニャ工科大の研究室棟のところでは、過去の計算機とかが展示されてるんですが、この「１」って書いてあるのが1986年のCentury Data Systems社のハードディスクです。私はロクロか揚水ポンプかと思いましたよ。「１」の数字の下の黒いのがディスクを回すためのモーターだと思います。手前の「５」が3.5インチのサムソンのフツーのハードディスクなので大きさも迫力あるでしょ。





これは、名機 DEC VAX-11です。大学で触ったことがあります。これは処理速度が1 MIPSなんですが、Pentium 4で9700 MIPSぐらいあるそうです。MD5 Chosen-Prefix Collisionsで有名になったPS3は18000 MIPSぐらいあるそうです。ありゃ、でもPS3のやつは流行のグラフィックスチップを使った計算だからもっと速いのかな、、、、

IETF S/MIME WGのMLにもテストの案内

Fwd: Invitation to the ETSI 3rd Remote XAdES/CAdES Plugtests

IETF S/MIME ワーキンググループもメーリングリストにもプラグテストの案内を出させて頂きました。

OpenXAdESのXAdES-XLの検証依頼

最近、たま〜〜にいろんなところから、XAdESやCAdESの署名が送られてきて、検証してみてください、、、、と来ることがあります。ありがたい話です。

一昨日、エストニアのオープンソースのXAdES長期署名のライブラリのプロジェクトOpenXAdESをやっているSK(www.sk.ee)という会社の人から「検証してちょ」と連絡が来ました。

この人は去年のプラグテストにも参加していて、その時も署名に誤りがあって「×」をつけたんですが、直ったのでまた検証してみてくださいとの事でした。

SigAndRefsTimeStampのついたXAdES-XLなんで早速検証してみるに、タイムスタンプトークンのXAdESプロパティを読み込む際にエラーになっており、トークンの部分のBase64を取り出してみるにTimeStampTokenでなくてTimeStampResp(タイムスタンプ応答)が入ってしまっていました。

これって、前もエラー報告出したんですが直ってなくて残念、、、、

一連のXAdESのDN問題のブログ記事で書いた通り使っている証明書が問題が起きがちなもので、出てきたDNの文字列を見るとRDNの順序もおかしいし、G=とかemailAddress=とかが入っているので、一致検証も難しそうな雰囲気です。検証側の問題ですが、ここのもnonRepudiationビットだけの証明書が、、、(こちらを参照)

まぁ、オープンソースといってもピンキリですな、、、、、

メジャーではないオープンソースはトホホな実装のものが多いですな。どれだけ多くの人がコードをレビューしたかってことなんでしょうな、、、、、

ETSI全ウェブサイトの接続不能(ほぼ解決？)

ETSIのウェブサイト
http://www.etsi.org

ETSI Remote CAdES/XAdESプラグテスト用のポータルサイト

http://xades-portal.etsi.org/

が、一昨日夕方ぐらいよりちょっと信じられないような理由でフランス国内以外からは接続不能になっています。ETSI 3rd Remote XAdES/CAdES Plugtestsの申し込みやスケジュールの確認でアクセスして接続できなかった方には大変ご迷惑おかけしています。

状況が入り次第またアナウンスできるかもしれません。

＃こんなんで、大丈夫かいな、、、、

＜追記＞
2009.01.27 00:47現在: xades-portal.etsi.org を含め接続は復旧した模様
疎通確認済
2009.01.23 19:00現在: メンバ向けの状況説明？
昨晩、大規模なサーバー停止があり
・メールは問題なし
・www.etsi.org は復旧
・docbox.etsi.org は 2009.01.21 CET夜間のデータをリストア
・portal.etsi.org 等は影響調査中との事
・xades-portal.etsi.org は別管理で水曜日からのネットワーク障害
　とは無関係そう
2009.01.23 14:00現在: ftp://docbox.etsi.orgは復旧しているように見える
2009.01.23 13:33現在: www.etsi.orgは接続可能になるも.NETのSQLエラー
2009.01.23 12:16現在: listsrv.etsi.orgはBad Request
2009.01.23 12:16現在: docbox.etsi.org, portal.etsi.org (FTP,HTTP)も接続不能

うるう秒の実験君

このまえのデ協のWGで、昨年末あったうるう秒の話題になったんですが、日本の多くのタイムスタンプサービスや時刻配信局はうるう秒であるUTC時刻で2008年12月31日23時59分60秒、日本時間でいう2009年1月1日8時59分60秒は、利用者側で不具合がおきないようサービスを停止させておくという措置を取っていたそうです。

ASN.1プリミティブはITU-T X.680で規定されていてGeneralizedTimeは以下のように42章で以下のように定義されています。値はVisibleStringでありISO 8601で規定された時刻表現である限りは何でもよく

GeneralizedTime ::= [UNIVERSAL 24] IMPLICIT VisibleString

うるう秒でも表現して構わないようです。

GeneralizedTime: 20081231235960Z

一方、UTCTimeは同じく43章で規定されており秒は0..59の範囲しか使えないので、うるう秒を表現することはできません。

じゃぁ、うるう秒を含むような
・X.509証明書
・タイムスタンプトークン
・長期署名フォーマット
ってどうなるんだろうとう疑問が沸々沸いてきたので、まぁ、作ってみました。

ASN.1を扱うライブラリに完全に依存しているし、ANSIのCの時刻なんかは絶対アウトだろうな、、、と思うわけです。

うるう秒を含むX.509証明書

証明書の有効期限のnotBeforeが、昨年のうるう秒(GeneralizedTime 20081231235960Z)であるような証明書を作ってみて読めるか試してみました。

・OpenSSL
UTC時刻 2008年12月31日23時59分00秒 (と60秒戻ってしまった)
・Windows証明書ビューア
開こうとしても「このファイルは"セキュリティ証明書"として
使用することはできません」と表示されてしまいます。
・Windows PKCS#12のインポート
「インポート中のキーは正しくエンコードされていません。」
と表示され失敗
・Java 1.6 JCE SUN Provider(algorithm="X.509")
例外発生 java.security.cert.CertificateParsingException: Parse Generalized time, invalid format
・Java 1.6 JCE BC(BouncyCastle) Provider(algorithm="X.509")
読み込み成功。"200901010000Z"と同じ扱い。
・Java 1.6 JCE IAIK 3.142 Provider(algorithm="X.509")
読み込み成功。"200901010000Z"と同じ扱い。

テスト結果：
・WindowsやSun Javaなどはうるう秒証明書に対応していない
・暗号ライブラリ OpenSSL, BouncyCastle, IAIKはうるう秒証明書に(概ね)対応している

genTimeがうるう秒であるようなRFC 3161タイムスタンプトークン

とりあえず入手できた某RFC 3161タイムスタンプトークン検証ツールで試してみたところ、正しく"20081231235960Z"であるように表示されています。すばらしい。

うるう秒を含むCAdES長期署名フォーマット

署名タイムスタンプのgenTimeにうるう秒が含まれるようなCAdES長期署名ファイルを生成し、手持ちのツールやライブラリで検証してみました。

自前のCAdES実装では特に問題なく検証できました。時刻はうるう秒としてそのまま扱われていました。

うるう秒を含むXAdES長期署名フォーマット

署名タイムスタンプのgenTimeにうるう秒が含まれるようなXAdES長期署名ファイルを生成し、手持ちのツールやライブラリで検証してみました。

自前のXAdES実装では特に(大きな)問題なく検証できました。時刻はUTC時刻2009年1月1日0時0分0秒として扱われていました。

とある私のではない別の実装でXAdES-T署名を検証してみましたが、署名タイムスタンプのエラーになってしまいました。時刻がパーズできないせいなのか、どうかがちょっとわかりません。

今日は、こんなところで、、、、

前回ETSI 2nd Remote XAdES Plugtestの報告書

2008年9月8日から18日にかけて開催された前回のETSIのXAdESプラグテストの結果が公開されました。

過去のテストイベントの説明
・http://xades-portal.etsi.org/pub/pastevents.shtml
ETSI 2nd Remote XAdES Plugtestの報告書
・http://xades-portal.etsi.org/pub/FinalReport-2ndRemoteXAdESPlugtest-200809.pdf

なんかレポート見ると、うちの実装とのマークが赤くなっていて相互運用性に問題があるように勘違いされそうですが、これは間違っている署名を正しく間違っていると検証できているためです。ECOMのテストと違って問題があってもどちらが悪いか白黒はっきりさせないんですよね、、、、、、

ETSI STF-351(Interoperability framework for XML Advanced Electronic Signatures (XAdES)) の役割分担についても新しくページを作ってもらいました。

ETSI STF-351 Team
・http://xades-portal.etsi.org/pub/STF-351_presentation.shtml

ETSI 3rd Remote XAdES/CAdES Plugtestsのご案内

ECOMの会員向けにプラグテストの案内文を作り配信しました。
CAdESのテストケースドキュメントも書き終わりました。
2月2日・3日にバルセロナでテストの最終打合せに行く予定です。

2月下旬にETSI(欧州通信規格協会)における
XAdESとCAdESの長期署名フォーマットの
国際相互運用実験(ETSI 3rd Remote XAdES/CAdES Plugtests)が
開催されますのでご案内申し上げます。
http://www.etsi.org/plugtests/xades2/html/aboutXAdES_CAdES.htm

日本に居ながらにしてインターネットを介し参加できる
長期署名フォーマットのETSI主催のテストとして、
XAdESでは2回目、CAdESでは初めてのテストとなります。

年度末の忙しい時期ではございますが、
より多くの日本からの参加をお待ちしております。

■スケジュール

2009.02.06 オンライン参加申込〆
2009.02.06 参加者とETSIのNDA締結〆
2009.02.06 クレジットカードでの参加費支払い〆
2009.02.13? 参加者説明会(電話会議)
2009.02.16 テスト開始
2009.02.27 テスト終了
※海外送金の場合は別途ETSI事務局と相談となります。

■参加費用

500ユーロ (別途、付加価値税19.6%が必要)

■実験手順

- ルート証明書、署名ポリシ、署名対象データ、
　テストケース記述XMLファイル等を含むファイルをダウンロード
- 参加者用署名者証明書の発行
- OCSPレスポンダ、タイムスタンプサーバの疎通確認
- 生成・検証テスト
　- テストケースに基づき署名生成(CAdES/XAdES共に35署名程度)
　- 生成した署名をアップロード
　- 他参加者の署名をダウンロード
　- 他参加者の署名を検証
　- 署名検証結果をXMLファイルとしアップロード
- 失効系検証テスト
　- 失敗系署名のセット(20程度)をダウンロード
　- AdES署名検証
　- 署名検証結果をXMLファイルとしアップロード

■連絡手段

- メーリングリストリスト
- 電話会議(4程度?)＋チャット

■実験結果レポート

実験結果レポートは
- 公表を許可した組織は組織名入りで
- しなかった企業は匿名で
公表されます。

前回(2008年9月)の実験結果は近々公開されます。

■日本語ヘルプデスク

今回は特に日本語ヘルプデスクのようなものは
特別設けない予定でおります。
(ご要望が多いようでしたら検討します。)

ETSI STFテレカン初め

今日は年が明けて最初のETSI STF351の電話会議になります。

2月末に行われる"ETSI 3rd Remote XAdES/CAdES Plugtests"の準備に本格的に取り掛かります。

プラグテストまでの参加者のスケジュールはこうなっています。

2009.02.06 オンライン登録〆
2009.02.06 参加者とETSIのNDA締結〆
2009.02.06 参加費のカード払い〆(海外送金の場合別途)
2009.02.16 テスト開始
2009.02.27 テスト終了

ウェブカム忘れないようにしないと、、、、、、