[1] [DFN[[[Certificate Download Specification]]]] は、[[証明書]]の[[ダウンロード]]に関する仕様書です。 * 仕様書 [REFS[ - [2] [CITE@en-US[NSS Certificate Download Specification - Mozilla | MDN]] ([TIME[2014-05-07 16:41:21 +09:00]] 版) ]REFS] * ファイル形式 [13] 次のファイル形式が規定されています。 [FIG(middle list)[ - [[PKCS#7 certificate chain]] - [[Netscape Certificate Sequence]] - [CODE[[[.pem]]]] ]FIG] [14] また [[DER]] 符号化された[[証明書]]も採用しています。 * MIME 型 [9] 次の [[MIME型]]が規定されています。 [FIG(middle list)[ - [CODE(MIME)@en[[[application/x-x509-user-cert]]]] - [CODE(MIME)@en[[[application/x-x509-ca-cert]]]] - [CODE(MIME)@en[[[application/x-x509-email-cert]]]] ]FIG] ;; [10] >>3 の時点では [CODE(MIME)@en[[[application/x-x509-email-cert]]]] はまだ無かったようです。 >>18 や >>4 には含まれており、 [[Netscape4]] 時代に追加されたものと思われます。 ;; [11] [CODE(MIME)@en[[[application/x-x509-server-cert]]]] も使われることがあるようですが、当仕様書には含まれていません。 ;; [33] 少なくても [[Chrome]] は、その他に [CODE(MIME)@en[[[application/x-pkcs12]]]] にも対応しているように見えます。 ([[Chrome]] は [CODE(MIME)@en[[[application/x-x509-email-cert]]]] に対応していないように見えます。) [TIME[2015-05-07T13:13:25.100Z]] [15] これらの [[MIME型]]はファイル形式を示すものではなく (>>13 のいずれでも良いようです)、 [[ダウンロード]]した[[証明書]]をどう処理するべきかを指定するもののようです。 ;; [16] 用途によって少しずつ[[証明書]]に記述するべき内容も違っているので、 広義のファイル形式ではあるのですが... [23] [CODE(MIME)@en[[[application/x-x509-user-cert]]]] は、 [[Webブラウザー]]の[[利用者]]の[[証明書]]を表しています。 最初の[[証明書]]は[[利用者]]の[[証明書]]でなければなりません。 [SRC[>>2]] ;; [12] [CODE(HTMLe)@en[[[keygen]]]] [[要素]]を含む[[フォームの提出]]で[[公開鍵]]を受け取った[[サーバー]]が[[証明書]]を生成し、 [[Webブラウザー]]に[[ダウンロード]]させるために使うことができます。 [25] [CODE(MIME)@en[[[application/x-x509-ca-cert]]]] は、 [[CA証明書]]を表しています。 最初の[[証明書]]は[[CA証明書]]でなければなりません。 [SRC[>>2]] [27] [CODE(MIME)@en[[[application/x-x509-email-cert]]]] は、 他の[[利用者]]の [[S/MIME]] 用[[証明書]]を表しています。 最初の[[証明書]]は[[利用者]]の[[証明書]]でなければなりません。 [SRC[>>2]] ;; [29] 人や [[CA]] が [[Webサイト]]に[[証明書]]を用意して、 その人宛に[[電子メール]]を送りたい人がこれを[[ダウンロード]]して使うことが想定されています [SRC[>>2]]。 * 処理 [20] 与えられた[[ファイル]]に[[証明書]]が複数含まれる場合、 最初の[[証明書]]が文脈依存の方法で処理されます [SRC[>>2]]。 [21] ここでいう文脈依存の方法は、[[ダウンロード]]の際の [[MIME型]]により決まります。 [[NSS]] を使った[[サーバー]]では、管理画面オプションの選択肢により決まります。 [SRC[>>2]] [FIG(switch)[ :[24] [CODE(MIME)@en[[[application/x-x509-user-cert]]]]: [[証明書]]に対応する[[秘密鍵]]が[[利用者]]の[[ローカル鍵データベース]]に存在しなければ、 エラーを表示して停止します [SRC[>>2]]。そうでなければ、[[利用者]]の[[証明書]]として[[ローカル証明書データベース]]に追加します。 :[26] [CODE(MIME)@en[[[application/x-x509-ca-cert]]]]: [[CA]] を信頼するかどうかを決めるダイアログを表示します [SRC[>>2]]。 :[28] [CODE(MIME)@en[[[application/x-x509-email-cert]]]]: 他の[[利用者]]の[[証明書]]として[[ローカル証明書データベース]]に追加します。 ]FIG] [22] 最初以外の[[証明書]]は、 [CODE[[[BasicConstraints]]]] により [[CA証明書]]であるとされており、既に[[ローカル証明書データベース]]に含まれていないなら、 信頼されていない [[CA]] として[[ローカル証明書データベース]]に追加されます。 [SRC[>>2]] [34] [[Chrome]] は [CODE(MIME)@en[[[application/x-x509-user-cert]]]] には対応していますが、 [CODE(MIME)@en[[[application/x-x509-ca-cert]]]] には対応していないようです。 [TIME[2015-08-13T07:38:14.700Z]] [40] [[Chrome]] で [CODE[application/x-x509-ca-cert]] の [[.pemファイル]]を開くと、危険なファイルの警告が表示されます。 [TIME[2018-12-28T06:17:15.000Z]] [35] [[Firefox]] は [CODE(MIME)@en[[[application/x-x509-ca-cert]]]] だと [[trust bits]] を選択する[[ダイアログ]]が表示されます。 [TIME[2015-08-13T07:39:08.200Z]] * 歴史 [REFS[ - [3] [CITE[Netscape Certificate Download Specification]] ([TIME[2015-04-11 23:26:48 +09:00]] 版) - [18] [CITE[Netscape Certificate Download Specification]] ([TIME[2015-04-12 13:21:05 +09:00]] 版) - [4] [CITE[Netscape Certificate Management System Installation and Deployment Guide:]] ([TIME[2011-02-10 11:26:52 +09:00]] 版) - [5] [CITE@en[CA:Certificate Download Specification - MozillaWiki]] ([TIME[2015-04-11 18:26:28 +09:00]] 版) ]REFS] [6] >>3 は1996年6月28日付けの [[Netscape3]] 版、 >>18 が [[Netscape4]] 版です。 [7] >>4 は [[NES]]、 >>5 と >>2 は [[Firefox]] へと受け継がれた版です。 [8] >>2 が2014年5月7日更新で、現時点で最新となっています。 [17] [CITE@en[249004 – Importing false CA certificate leading to error -8182 (perm DoS), especially exploitable by email]] ([TIME[2015-04-12 13:19:44 +09:00]] 版) [FIG(quote)[ [FIGCAPTION[ [19] ([TIME[2015-04-12 13:24:24 +09:00]] 版) ]FIGCAPTION] > The browser uses the public key encoded in the certificate to > associate the certificate with the appropriate private key in > its local key database. Now, the certificate is "installed". ]FIG] [31] [CITE[Issue 37142 - chromium - Intermediate certs received along with generated client cert will not be saved - An open-source project to help move the web forward. - Google Project Hosting]] ([TIME[2015-04-12 15:36:22 +09:00]] 版) [30] [CITE[Issue 136534 - chromium - Offer the ability to download application/x-x509-user-cert responses - An open-source project to help move the web forward. - Google Project Hosting]] ([TIME[2015-04-12 15:38:51 +09:00]] 版) [FIG(quote)[ [FIGCAPTION[ [32] [CITE@en[draft-gutmann-scep-00 - Simple Certificate Enrolment Protocol]] ([TIME[2015-04-03 02:25:17 +09:00]] 版) ]FIGCAPTION] > The response will have a Content-Type of "application/x-x509-ca-cert". ]FIG] [36] [CITE[Issue 37142 - chromium - Intermediate certs received along with generated client cert will not be saved - An open-source project to help move the web forward. - Google Project Hosting]] ([TIME[2015-03-22 00:58:11 +09:00]] 版) [FIG(quote)[ [FIGCAPTION[ [37] [CITE[(Pre-)Intent to Deprecate: element and application/x-x509-*-cert MIME handling - Google グループ]] ([TIME[2015-09-02 11:09:53 +09:00]] 版) ]FIGCAPTION] > On the application/x-x509-*-cert support, there is a wide gap of interoperability. Chrome does not support multiple certificates, but Firefox does. Firefox will further reorder certificates that are inconsistent with what was specified, offering a non-standard behaviour. Chrome does not support application/x-x509-ca-cert on Desktop, and on Android, defers to the platform capabilities, which further diverge from Firefox. Both browsers have the underspecified behaviour of requiring the user having a matching key a-priori, except that's not detailed as to how it works. Firefox also handles various mis-encodings (improper DER, DER when it should be base64), which Chrome later implemented, but is not well specified. ]FIG] [38] [CITE@en[1024871 – stop offering to import CA certificates when browsed to]] ([TIME[2015-09-02 11:10:17 +09:00]] 版) [39] [CITE@en[Expand on the removal and deprecation]] ([[domenic]]著, [TIME[2016-11-24 09:31:45 +09:00]])