自堕落な技術者の日記

サーバーの入れ替えに伴いウェブサーバのログデータを退避しました。今のウェブサーバーのソフトウェアは2004年10月頃から使っていますが、その辺りからテスト用にCRL(証明書失効リスト)を公開しています。
(途中、サーバーを停止させたりしている時期もありました。)

・2004年度後期 JNSA S/MIME WGのメーラー毎のS/MIME署名メール検証テスト
・2005年度後期 ECOM 2005年度 CAdES/XAdES長期署名相互運用性テスト
・2007年度 ECOM 2007年度 CAdES/XAdES長期署名相互運用性テスト
・実験後、テスト用署名データをECOMサイトで公開

2004年10月からのCRLの月毎のアクセス数をグラフにするとこんな感じ。





ECOMのテストはテストケース毎にCRLファイルを分けていたので、それなりのアクセス数になっています。ECOMのテスト後にテスト用の署名データや証明書などを公開するようにしたので、テスト後もちらほら継続的にアクセスはあったりします。

2004年10月からのCRLのアクセスの国内からの割合はこんな感じ。国内実験がメインなので7割が日本っていうのは当然ですが、国外からも意外にあったりします。





国外からのアクセスの内訳を見てみるとこんな感じ。





フランス、スペインはECOMの2007年度の実験に参加してもらっているので、それなりにアクセスがあるのは当然なんですが、トルコ、ハンガリー、スウェーデンなどECOMテストに参加していない国からのアクセスも結構あったりします。ECOMの英語版のページでテスト用長期署名をダウンロードできるようにしてあるんですが、これを観て実際に長期署名検証をしようとしてみてくれてるんだろうと思います。

トルコはトルコ政府がETSIのリモートテストにも参加していたりして長期署名に真剣に取り組んでいるみたいですね。

しかし、パキスタンって本当かなぁ、、、ログ取得時期とGeoIPのデータの時期が間違っているのかなぁ、、、本当だとしたらちょっとびっくりですね。

これらのCRLは、ふらっとサイトに来てダウンロードして帰るような代物ではないので、署名の実装があって検証しようとしてみたという所では割と信憑性のある数字なのかな、、、とも思います。

こちらは朝の５時、CAdESとXAdESの属性証明書関連の参照情報・値情報の記述でよせばいいのに標準策定者の属性証明書の認識不足から来る、重箱の隅をつつくような、でも大きな議論に発展しそうな問題を見つけてしまったような気がする、、、、、、、見つけなきゃ良かった、、、、（Ｔ＿Ｔ）

次のプラグテストに間に合うように一応資料は作ってみる予定、、、、このブログでも紹介できるとよいなぁ、、と思います。

属性証明書は面倒臭いし殆ど誰も使ってないので、修正したとしても誰も喜ばないですし、突っ込んでもしょうがないんですけどね、、、、(じゃぁ、仕様に入れるな、みたいな、、、、（＾＾；

今、１８：１５、ミーティング一日目ようやく終わりました。実りはあったような無かったような微妙な感じですね。CAdESのテスト用のファイル名のゴタゴタがやや解決したようなので、まぁ、それはよかったかなと、、、、、

９：００からきっかり始まったので相当疲れて脳がスポンジのようです（Ｔ＿Ｔ）

２１時スタートでカルロスさんの知り合いの弁護士の人と一緒に会食しましょうということになってしまい、これまた大変。一日は長い、、、、、
＜追記＞
弁護士の方と会うのはカルロスさんだけで、大学の予算関係のことだそう。自分の英語力しょぼすぎ（Ｔ＿Ｔ）ＳＴＦメンバだけで２１時にオープンする地元の人しか来なさそうな創作フレンチっぽいレストランに行きました。
地図だけぽっと渡されて店に現地集合だったので、心細かったんですが、何とかトラムに乗って、ZARAでお土産になりそうなもの見たりして時間を潰し店まで辿りつきました。５分前頃行ったら先にピーターが来て、他のお客さんもズラ〜〜ッと１０人ぐらい店の前で待っていました。月曜だというのに結構人気の店なのかも。

アボカドと蟹のイチゴソース添え、海老とズッキーニのカレーソース・ライス添えなんか食べてなかなか美味しかったです。（良かった、英語のメニューくれて。スペイン語なんか読めるわけがないし、説明されてもよくわからない）写真撮るのは恥ずかしくてやめてしまった、、、、撮ればよかった、、、、

今日の２枚：




カタルーニャ工科大の研究室棟のところでは、過去の計算機とかが展示されてるんですが、この「１」って書いてあるのが1986年のCentury Data Systems社のハードディスクです。私はロクロか揚水ポンプかと思いましたよ。「１」の数字の下の黒いのがディスクを回すためのモーターだと思います。手前の「５」が3.5インチのサムソンのフツーのハードディスクなので大きさも迫力あるでしょ。





これは、名機 DEC VAX-11です。大学で触ったことがあります。これは処理速度が1 MIPSなんですが、Pentium 4で9700 MIPSぐらいあるそうです。MD5 Chosen-Prefix Collisionsで有名になったPS3は18000 MIPSぐらいあるそうです。ありゃ、でもPS3のやつは流行のグラフィックスチップを使った計算だからもっと速いのかな、、、、

Fwd: Invitation to the ETSI 3rd Remote XAdES/CAdES Plugtests

IETF S/MIME ワーキンググループもメーリングリストにもプラグテストの案内を出させて頂きました。

ETSIのウェブサイト
http://www.etsi.org

ETSI Remote CAdES/XAdESプラグテスト用のポータルサイト

http://xades-portal.etsi.org/

が、一昨日夕方ぐらいよりちょっと信じられないような理由でフランス国内以外からは接続不能になっています。ETSI 3rd Remote XAdES/CAdES Plugtestsの申し込みやスケジュールの確認でアクセスして接続できなかった方には大変ご迷惑おかけしています。

状況が入り次第またアナウンスできるかもしれません。

＃こんなんで、大丈夫かいな、、、、

＜追記＞
2009.01.27 00:47現在: xades-portal.etsi.org を含め接続は復旧した模様
疎通確認済
2009.01.23 19:00現在: メンバ向けの状況説明？
昨晩、大規模なサーバー停止があり
・メールは問題なし
・www.etsi.org は復旧
・docbox.etsi.org は 2009.01.21 CET夜間のデータをリストア
・portal.etsi.org 等は影響調査中との事
・xades-portal.etsi.org は別管理で水曜日からのネットワーク障害
　とは無関係そう
2009.01.23 14:00現在: ftp://docbox.etsi.orgは復旧しているように見える
2009.01.23 13:33現在: www.etsi.orgは接続可能になるも.NETのSQLエラー
2009.01.23 12:16現在: listsrv.etsi.orgはBad Request
2009.01.23 12:16現在: docbox.etsi.org, portal.etsi.org (FTP,HTTP)も接続不能

このまえのデ協のWGで、昨年末あったうるう秒の話題になったんですが、日本の多くのタイムスタンプサービスや時刻配信局はうるう秒であるUTC時刻で2008年12月31日23時59分60秒、日本時間でいう2009年1月1日8時59分60秒は、利用者側で不具合がおきないようサービスを停止させておくという措置を取っていたそうです。

ASN.1プリミティブはITU-T X.680で規定されていてGeneralizedTimeは以下のように42章で以下のように定義されています。値はVisibleStringでありISO 8601で規定された時刻表現である限りは何でもよく

GeneralizedTime ::= [UNIVERSAL 24] IMPLICIT VisibleString

うるう秒でも表現して構わないようです。

GeneralizedTime: 20081231235960Z

一方、UTCTimeは同じく43章で規定されており秒は0..59の範囲しか使えないので、うるう秒を表現することはできません。

じゃぁ、うるう秒を含むような
・X.509証明書
・タイムスタンプトークン
・長期署名フォーマット
ってどうなるんだろうとう疑問が沸々沸いてきたので、まぁ、作ってみました。

ASN.1を扱うライブラリに完全に依存しているし、ANSIのCの時刻なんかは絶対アウトだろうな、、、と思うわけです。

うるう秒を含むX.509証明書

証明書の有効期限のnotBeforeが、昨年のうるう秒(GeneralizedTime 20081231235960Z)であるような証明書を作ってみて読めるか試してみました。

・OpenSSL
UTC時刻 2008年12月31日23時59分00秒 (と60秒戻ってしまった)
・Windows証明書ビューア
開こうとしても「このファイルは"セキュリティ証明書"として
使用することはできません」と表示されてしまいます。
・Windows PKCS#12のインポート
「インポート中のキーは正しくエンコードされていません。」
と表示され失敗
・Java 1.6 JCE SUN Provider(algorithm="X.509")
例外発生 java.security.cert.CertificateParsingException: Parse Generalized time, invalid format
・Java 1.6 JCE BC(BouncyCastle) Provider(algorithm="X.509")
読み込み成功。"200901010000Z"と同じ扱い。
・Java 1.6 JCE IAIK 3.142 Provider(algorithm="X.509")
読み込み成功。"200901010000Z"と同じ扱い。

テスト結果：
・WindowsやSun Javaなどはうるう秒証明書に対応していない
・暗号ライブラリ OpenSSL, BouncyCastle, IAIKはうるう秒証明書に(概ね)対応している

genTimeがうるう秒であるようなRFC 3161タイムスタンプトークン

とりあえず入手できた某RFC 3161タイムスタンプトークン検証ツールで試してみたところ、正しく"20081231235960Z"であるように表示されています。すばらしい。

うるう秒を含むCAdES長期署名フォーマット

署名タイムスタンプのgenTimeにうるう秒が含まれるようなCAdES長期署名ファイルを生成し、手持ちのツールやライブラリで検証してみました。

自前のCAdES実装では特に問題なく検証できました。時刻はうるう秒としてそのまま扱われていました。

うるう秒を含むXAdES長期署名フォーマット

署名タイムスタンプのgenTimeにうるう秒が含まれるようなXAdES長期署名ファイルを生成し、手持ちのツールやライブラリで検証してみました。

自前のXAdES実装では特に(大きな)問題なく検証できました。時刻はUTC時刻2009年1月1日0時0分0秒として扱われていました。

とある私のではない別の実装でXAdES-T署名を検証してみましたが、署名タイムスタンプのエラーになってしまいました。時刻がパーズできないせいなのか、どうかがちょっとわかりません。

今日は、こんなところで、、、、

2008年9月8日から18日にかけて開催された前回のETSIのXAdESプラグテストの結果が公開されました。

過去のテストイベントの説明
・http://xades-portal.etsi.org/pub/pastevents.shtml
ETSI 2nd Remote XAdES Plugtestの報告書
・http://xades-portal.etsi.org/pub/FinalReport-2ndRemoteXAdESPlugtest-200809.pdf

なんかレポート見ると、うちの実装とのマークが赤くなっていて相互運用性に問題があるように勘違いされそうですが、これは間違っている署名を正しく間違っていると検証できているためです。ECOMのテストと違って問題があってもどちらが悪いか白黒はっきりさせないんですよね、、、、、、

ETSI STF-351(Interoperability framework for XML Advanced Electronic Signatures (XAdES)) の役割分担についても新しくページを作ってもらいました。

ETSI STF-351 Team
・http://xades-portal.etsi.org/pub/STF-351_presentation.shtml

ISOにもなっているPDF(1.7 ISO 32000-1)のドキュメントを長期保存するときに、そのままではCAdES(ETSI TS 101 733, RFC 5126)などの長期署名フォーマットで保存することが難しかったため、3年ほど前からECOMで木村さんが主体的にうまい格納方法を考え、ETSI ESIとAdobe (or ISO TC171)に継続的にインプットしてくれました。

それが、ようやく昨年ぐらいに実を結びETSIのCAdES/XAdESの専門家とAdobeのメンバがタッグを組みETSI STF364 Advanced Electronic Signatures for PDFにおいてPDFの長期署名のための標準化を行っています。

現在、PDF 1.7 (ISO 32000-1)ベースに、CAdES長期署名を用いて長期保存するためのプロファイルのドラフトがETSI ESI内でレビューされています。

木村さんの提案した増分更新による(CAdESを使った長期)署名延長は「PDF serial signature」と　ちゃんとした名前もつきましたし、私がECOMから提案してきたPKCS#7とCAdESとの差異の吸収によりPKCS#7の代わりにCAdESを入れても(ほぼ)問題無くなったかと思います。

ドラフトではPDF/Aとの関係についても(まぁ)解決されています。

コメントの締め切りは1月26日で、2月9日までにコメントが無ければESIで承認されたことになるそうです。(既にコメントは出ていますが、、、)

幾つか心配な事があるので、コメントしないといけません。

ECOMの会員向けにプラグテストの案内文を作り配信しました。
CAdESのテストケースドキュメントも書き終わりました。
2月2日・3日にバルセロナでテストの最終打合せに行く予定です。

2月下旬にETSI(欧州通信規格協会)における
XAdESとCAdESの長期署名フォーマットの
国際相互運用実験(ETSI 3rd Remote XAdES/CAdES Plugtests)が
開催されますのでご案内申し上げます。
http://www.etsi.org/plugtests/xades2/html/aboutXAdES_CAdES.htm

日本に居ながらにしてインターネットを介し参加できる
長期署名フォーマットのETSI主催のテストとして、
XAdESでは2回目、CAdESでは初めてのテストとなります。

年度末の忙しい時期ではございますが、
より多くの日本からの参加をお待ちしております。

■スケジュール

2009.02.06 オンライン参加申込〆
2009.02.06 参加者とETSIのNDA締結〆
2009.02.06 クレジットカードでの参加費支払い〆
2009.02.13? 参加者説明会(電話会議)
2009.02.16 テスト開始
2009.02.27 テスト終了
※海外送金の場合は別途ETSI事務局と相談となります。

■参加費用

500ユーロ (別途、付加価値税19.6%が必要)

■実験手順

- ルート証明書、署名ポリシ、署名対象データ、
　テストケース記述XMLファイル等を含むファイルをダウンロード
- 参加者用署名者証明書の発行
- OCSPレスポンダ、タイムスタンプサーバの疎通確認
- 生成・検証テスト
　- テストケースに基づき署名生成(CAdES/XAdES共に35署名程度)
　- 生成した署名をアップロード
　- 他参加者の署名をダウンロード
　- 他参加者の署名を検証
　- 署名検証結果をXMLファイルとしアップロード
- 失効系検証テスト
　- 失敗系署名のセット(20程度)をダウンロード
　- AdES署名検証
　- 署名検証結果をXMLファイルとしアップロード

■連絡手段

- メーリングリストリスト
- 電話会議(4程度?)＋チャット

■実験結果レポート

実験結果レポートは
- 公表を許可した組織は組織名入りで
- しなかった企業は匿名で
公表されます。

前回(2008年9月)の実験結果は近々公開されます。

■日本語ヘルプデスク

今回は特に日本語ヘルプデスクのようなものは
特別設けない予定でおります。
(ご要望が多いようでしたら検討します。)

今日は年が明けて最初のETSI STF351の電話会議になります。

2月末に行われる"ETSI 3rd Remote XAdES/CAdES Plugtests"の準備に本格的に取り掛かります。

プラグテストまでの参加者のスケジュールはこうなっています。

2009.02.06 オンライン登録〆
2009.02.06 参加者とETSIのNDA締結〆
2009.02.06 参加費のカード払い〆(海外送金の場合別途)
2009.02.16 テスト開始
2009.02.27 テスト終了

ウェブカム忘れないようにしないと、、、、、、