サーバ認証

リモートクライアントは、サーバ認証を使用することで、データベースサーバのアイデンティティを確認できます。デジタル署名と証明書フィールドの確認が一緒に機能して、サーバ認証が実現します。

デジタル署名

データベースサーバ証明書には、データの整合性を維持し、不正侵入を防ぐための、複数のデジタル署名が含まれています。デジタル署名の作成は、次の手順で行われます。

証明書で実行されるアルゴリズムが、ユニークな値またはハッシュを生成します。
証明書への署名または認証局のプライベートキーを使用して、ハッシュが暗号化されます。
デジタル署名と呼ばれる暗号化ハッシュが、証明書に埋め込まれます。

デジタル署名は、自己署名、あるいはエンタープライズルート証明書または認証局の署名を受けています。

クライアントアプリケーションがデータベースサーバにアクセスする場合、各クライアントがトランスポートレイヤセキュリティを使用するように設定されていると、サーバはその証明書のコピーをクライアントに送信します。クライアントは、証明書に含まれているサーバのパブリックキーを使用して証明書のデジタル署名を復号化し、証明書の新しいハッシュを算出して、2 つの値を比較します。値が一致する場合は、サーバの証明書の整合性が確認されます。

FIPS 認定の RSA 暗号化を使用している場合は、RSA を使用して証明書を生成する必要があります。

証明書フィールドの確認

グローバル署名証明書を使用する場合、各クライアントは証明書のフィールド値を確認して、同じ認証局が他のクライアント用に署名した証明書を信頼することを避けなければなりません。この問題を解決するには、証明書の識別情報部分のフィールド値をテストするようにクライアントに要求します。認証局は、署名を行ったすべての証明書の識別情報が正確であることを保証する必要があります。

createcert ユーティリティを使用して証明書を作成する場合は、組織、組織単位、通称のフィールドに値を入力します。対応するクライアント接続パラメータを使用して、これらのフィールドを確認します。サードパーティの認証局を使用して証明書にグローバル署名している場合は、証明書フィールドを確認してください。

組織組織フィールドは、certificate_company 暗号化プロトコルオプションに対応します。
組織単位 組織単位フィールドは、certificate_unit 暗号化プロトコルオプションに対応します。
通称通称フィールドは、certificate_name 暗号化プロトコルオプションに対応します。

trusted_certificates プロトコルオプションの使用

Encryption 接続パラメータで TLS を指定する場合、これが唯一の必須プロトコルオプションです。クライアントは、trusted_certificates 暗号化プロトコルオプションを使用して、信頼できるデータベースサーバ証明書を指定します。信頼できる証明書は、サーバの自己署名証明書、パブリックエンタープライズルート証明書、民間認証局に属する証明書のいずれかです。

参照

DocCommentXchange で意見交換できます