1

OpenSSLを使用して証明書のsubjectaltnameのothernameに日本語の性別を格納しようとしています。

まず、openssl.cnfに以下の文を追加し、othernameの値を設定しました。

Sex = 1.1.1.5

[ v3_req ]

# Extensions to add to a certificate request

basicConstraints = CA:FALSE
keyUsage = nonRepudiation, digitalSignature, keyEncipherment

subjectAltName = otherName:Sex;UTF8String:男性

次にOpenSSLコマンドでpemファイルを作成

openssl req -x509 -nodes -days 730 -newkey rsa:2048 -keyout cert.pem
-out cert.pem

ブラウザに読み込むためpfxファイルを作成

openssl pkcs12 -export -out cert.pfx -in cert.pem -name "test"

pfxファイルをブラウザにインポートした後、証明書ストアを確認したところ、othernameに16進数で値は入っていましたが、正確に変換されていませんでした。

Other Name:
     1.1.1.5=0c 07 c2 92 6a c2 90 c2 ab

期待値としてはUTF-8の16進数に変換されていると思ったのですが結果としては16進数のShift-JISに近い値でした。

「男性」の16進数UTF-8:   e7 94 b7 e6 80 a7
「男性」の16進数Shift-JIS:92 6a 90 ab

正しい値を設定するにはどうすれば良いでしょうか。よろしくお願いします。

追記
@sanadanへの指摘からopenssl.cnfをUTF-8で保存をして、上記処理を再度実施しました。
結果としてはまだうまく変換できませんでした。

UTF8Stringの場合は正しく変換されていない。BITSTRINGの場合は先頭にゴミが入る。他のフォーマットを試してみたがうまく変換されない。正しくはe794b7 e680a7 となるべき。

設定1
subjectAltName = otherName:Sex;UTF8String:男性
結果1
Other Name:
     1.1.1.5=0c 0c c3 a7 c2 94 c2 b7 c3 a6 c2 80 c2 a7



設定2
subjectAltName = otherName:Sex;BITSTRING:男性
結果2
Other Name:
     1.1.1.5=03 07 00 e7 94 b7 e6 80 a7

上記のように先頭に無駄な文字が入ってしまいますが、BITSTRINGの場合が一番マシに変換できました。

4
  • 1
    openssl.cnfをShift-JISで編集していませんか? UTF-8で編集してみてください。
    – sanadan
    Commented 2015年6月9日 13:09
  • @sanadan ありがとうございます。UTF-8で実施した結果を質問に追記しました。
    – NaNash
    Commented 2015年6月10日 14:05
  • string_maskはUTF8Stringを含むものに設定されていますか?詳細は不明ですが、Windows版のopensslでは組織名が日本語のCSRをうまく作ることができない、といった情報もありました。 knowledge.symantec.com/jp/support/ssl-certificates-support/…
    – unarist
    Commented 2015年6月10日 23:43
  • @unarist string_maskはutf8onlyを設定しているので問題はありません。リンクの情報はWindowsのコマンドプロンプトで日本語入力ができないので組織名を日本語に設定できないということですので、今回のopenssl.cnfに設定として日本語を指定している場合は問題ないと思います。しかし、LInuxでも同様の問題が発生するのか調査してみます。ありがとうございます。
    – NaNash
    Commented 2015年6月11日 14:54

1 件の回答 1

2

設定ファイルがutf8なのにlatinとして受け取っているので、そのlatinをまたutf8にするパターンの文字化けでした。
5年も前なので解決済みでしょうが、私もはまってしまいました。
で、 asn1ASN1_generate_nconf とにらめっこの末、以下の記述で解決しました。

FORMAT:UTF8,UTF8:男性

ただ、設定ファイルの書き方によって、FORMATより前に色々書く必要があります。
私は以下の記述で解決しました。

otherName.1=1.1.1.5;FORMAT:UTF8,UTF8:男性

この質問に回答するには、ログインする必要があります。

求めていた回答ではありませんか? のタグが付いた他の質問を参照する。