| |
まず、クライアント証明書がない場合ですが、以下のとおりになります。
------------------------------------------------------------
stunnel-4.10側のログ
pop3s connected from xxx.xxx.xxx.xxx:xxxx
SSL_accept: 140890C7: error:140890C7:SSL routines:SSL3_GET_CLIENT_CERTIFICAT
E:peer did not return a certificate
鶴亀メール側のログ
>開始時刻: 2005/05/06 xx:xx:xx
>****受信:xxxxxxxx
>I サーバーを検索中 - xxxxxx
>I 接続中 - xxx.xxx.xxx (port=995)
>I 接続完了
>I SSL初期化中
>E SSLの処理(2)でエラーが発生しました。エラーコード=0x80090326
>終了時刻: 2005/05/06 xx:xx:xx
------------------------------------------------------------
stunnelはクライアント証明書を要求し、それが提示されないとエラーとしているよ
うです。
これ自体は、クライアント証明書がないがゆえのアクセス拒否として妥当に見えます。
次に、そのメールサーバに対して正しいクライアント証明書1枚だけをIEに登録した
状態でアクセスしますと、
以下のとおりになります。
------------------------------------------------------------
stunnel-4.10側のログ
VERIFY OK: depth=1, --CA証明書の検証OK--
VERIFY OK: depth=0, --本来提示するべき有効なクライアント証明書の検証OK--
Connection closed: xxxx bytes sent to SSL, xx bytes sent to socket
鶴亀メール側のログ
>開始時刻: 2005/05/06 xx:xx:xx
>****受信:xxxxxxx
>I サーバーを検索中 - xxxx
>I 接続中 - xxx.xxx.xxx.xxx (port=995)
>I 接続完了
>I SSL初期化中
>I 暗号化開始 (TLS1.0/RC4/128bit)
>R +OK xxxxxxxxxxxxxxx ready <xxxxxxxxxxx@xxxx>
>I 認証作業中（APOP）
>S APOP ****
>R +OK xxxxxxxx has xx message (xxxxx octets).
>I メール一覧を取得中
>S STAT
>R +OK xx xxxxx
>S LIST
>R +OK xx message (xxxxx octets)
>R ...(xxxバイト)
>S UIDL
>R +OK xx message (xxxxx octets)
>R ...(xxxバイト)
>S QUIT
>R +OK Pop Server at xxxx signing off.
>終了時刻: 2005/05/06 xxxx
------------------------------------------------------------
これは見た限り正常動作に見えます。
最後に、そのメールサーバに対して本来提示されるべきクライアント証明書(*1)以外
のクライアント証明書
(IE内での扱いソート順が、(*1)よりも上(前)として扱われる証明書)を組み込んだ場
合、
以下のようになります。
------------------------------------------------------------
stunnel-4.10側のログ
pop3s connected from xxx.xxx.xxx.xxx:4360
VERIFY ERROR: depth=0, error=unable to get local issuer certificate: --友人
宅のクライアント証明書--
SSL_accept: 140890B2: error:140890B2:SSL routines:SSL3_GET_CLIENT_CERTIFICAT
E:no certificate returned
鶴亀メール側のログ
>開始時刻: 2005/05/06 xx:xx:xx
>****受信:xxxxxxxx
>I サーバーを検索中 - xxxxxx
>I 接続中 - xxx.xxx.xxx (port=995)
>I 接続完了
>I SSL初期化中
>E SSLの処理でエラーが発生しました。証明書が信用できないか、またはうまく検証
>できません。
>「アカウント毎の設定・メールサーバー・詳細」の「SSL接続で、証明書を検証しな
>い」をONにすれば続行できるようになります。
>****送信:xxxxxxxx
>I 送信対象無し
------------------------------------------------------------
どうやら、鶴亀メールは友人宅のクライアント証明書を提示しているようで、
自宅サーバに対するクライアント証明書ではないため、検証エラーとなっているよう
に見えます。
なお、ログで触れられている「証明書を検証しない」をONにしても正常動作にはなり
ません
(というか、ONの状態でのログです)。
上記が、たとえば同じサーバや信頼関係で結ばれたCA間にまたがった場合(おそらく
この場合は正常動作しそう?)でも、
一人が複数枚のクライアント証明書を同時に保有し、
それをアカウントごとに使い分ける(提示し分ける)ことは十分ありえることと思いま
すので、
たとえばIEのように「証明書の選択」ダイアログを出してクライアント証明書を選択
させたり、
アカウントごとに提示するクライアント証明書を設定しておいたりする機能が必要だ
と思われます。
|
|