3.2OpenSSLとHTTPSの設定

平文のHTTPは通信内容が盗聴・改ざんされうるため、実運用のWebサーバーはほぼ例外なくHTTPS化されています。ApacheでのTLS設定と、その裏側で鍵・証明書を扱うOpenSSLの基本操作は、L2で問われる実務スキルの中核です。

3.2.1証明書・鍵の保管場所とopenssl操作

• 証明書・秘密鍵・CA証明書は慣習的に/etc/ssl/（Debian系に多い）または/etc/pki/（RHEL系に多い）配下に配置されます。
• opensslコマンドは秘密鍵の生成、証明書署名要求（CSR）の作成、自己署名証明書の発行、証明書内容の確認など、鍵・証明書のライフサイクル全般を扱います。

3.2.2ApacheのTLSディレクティブ

• SSLEngine onでそのVirtualHostにSSL/TLSを有効化。SSLCertificateFileでサーバー証明書、SSLCertificateKeyFileで対応する秘密鍵のパスを指定します（証明書と鍵は必ずペア）。
• SSLProtocolで許可するプロトコルバージョン（例：古いSSLv3を無効化しTLSのみ許可）、SSLCipherSuiteで許可する暗号スイートの組み合わせを制御し、脆弱な設定を排除します。
• クライアント証明書認証などでCAを検証させたい場合はSSLCACertificateFile（1ファイルにまとめたCA証明書）またはSSLCACertificatePath（CA証明書を格納したディレクトリ）を指定します。

典型的な導入手順を追うと理解が深まります。まずopensslで秘密鍵を生成し、その鍵をもとにCSR（証明書署名要求）を作成して認証局へ送るか、社内検証用なら自己署名証明書をその場で発行します。得られた証明書と秘密鍵は/etc/ssl/や/etc/pki/配下に配置し、パーミッションを絞って秘密鍵が読めるのはroot（またはApacheの実行ユーザー）に限定します。ApacheのVirtualHost設定では、まずSSLEngine onでTLSを有効化し、SSLCertificateFile /etc/ssl/certs/example.crt、SSLCertificateKeyFile /etc/ssl/private/example.keyのように証明書と鍵のパスをそれぞれ指定します。ここで証明書と鍵の組み合わせを取り違えると起動時にエラーになるため、ペアの整合性は最初に確認すべき点です。さらにSSLProtocol -all +TLSv1.2 +TLSv1.3のように古いプロトコルを明示的に無効化し、SSLCipherSuiteで弱い暗号を除外した組み合わせのみを許可することで、脆弱ないわゆる「なんでも許可」の設定を避けます。クライアント証明書による相互TLSが必要な場合は、SSLCACertificateFileまたはSSLCACertificatePathで信頼するCAの情報を追加します。これらのディレクティブはApache固有ですが、鍵や証明書そのものの生成・検証・変換は一貫してopensslコマンドの守備範囲です。

3.2.3この節のまとめ

• SSLEngine onで有効化、SSLCertificateFile＝証明書／SSLCertificateKeyFile＝秘密鍵。保管は/etc/ssl/・/etc/pki/
• SSLProtocol＝許可プロトコル／SSLCipherSuite＝許可暗号、CA検証はSSLCACertificateFile（1ファイル）／SSLCACertificatePath（ディレクトリ）。鍵・証明書操作はopenssl