セキュリティ証明書のハッシュ値について

セキュリティ証明書（SSL通信時などに利用する証明書）には
拇印情報があり、ここは証明書自身のハッシュ値が記録されていると聞きました。

証明書から作成されたハッシュ値を再びハッシュ値に記載したら
元の証明書を書き換えているため、次回ハッシュ値を求めたら別のハッシュ値になりませんか？

１．証明書 -> [ハッシュ関数] -> ハッシュ値
２．ハッシュ値を証明書に記述記載
３．証明書（ハッシュ値付き）-> [ハッシュ関数] -> ハッシュ値

１と３の結果のハッシュ値同士は一致しないですよね？



GMailの証明書を見ると、sha1で、
90adbe01984695b6649ad0f9ef4f1b5836eb380d
という値になっていて、

私の端末（WindowsXP）でfcivコマンドを実行した結果も
fciv -sha1 gmail.cer
90adbe01984695b6649ad0f9ef4f1b5836eb380d gmail.cer

となり、同じ値なのですが。。。
証明書に記載されているハッシュ値はどのように計算されているのでしょうか？

No.3 回答者： jjon-com 回答日時： 2009/07/24 13:02

>２で更新された証明書ファイル自身のハッシュ値が一致する理由が分からない

質問者は質問を発したときからずっと，３番目の計算方法を次のようだと思いこんでいらっしゃるからじゃないですか。
----------------------------------------
３．証明書（ハッシュ値付き）-> [ハッシュ関数] -> ハッシュ値

　　（No.2の私の回答の言葉に置き換えれば）

３．証明書の基本フィールド＋プロパティ -> [ハッシュ関数] -> ハッシュ値
----------------------------------------

それに対して私は，そうじゃない，ハッシュ値は「証明書ファイル自身」の中になんて格納されていない，と繰りかえし回答しているわけです。

この回答への補足

すいません、海外転勤になりまして、返事が書けませんでした。申し訳ございません。

私、”証明書”自身を間違っていたかと思います。

InternetExplorerで閲覧中のページで右クリック。
プロパティ（P)で　プロパティを表示
証明書（C）をクリックし、証明書を表示。
http://imagepot.net/view/124954749971.jpg

この際に表示されるものを証明書だと思っていました。
（この証明書Windowの詳細タブに捺印とあるので、証明証にハッシュ値が記載されているのだと思っていました）

上記オペレーションで表示されるのは証明書ではなく、
証明書を閲覧するアプリケーションで、
拇印欄はその証明書を閲覧するアプリケーションがハッシュ値を算出している。

と認識しても間違いありませんでしょうか？

補足日時：2009/08/06 17:37

No.2 回答者： jjon-com 回答日時： 2009/07/23 01:34

>証明書に記載されているハッシュ値の計算方法が見当たりませんでした。

質問者ご自身が fciv -sha1 を実行なさっていましたから，ハッシュ値の計算方法がsha1だというのは自明だと思っていました。
http://ja.wikipedia.org/wiki/SHA
http://www.geocities.co.jp/SiliconValley-Oakland …

>なぜ、証明書自身のハッシュ値と一致するのかも記述がありませんでした。

gmail.cerファイルに格納されているのが「署名前証明書」「バージョン１のフィールドのみ」の情報だということです。その情報は Windowsの証明書ストアにimportされてもそのままですから，まったく同じデータから生成されたsha1の結果はまったく同じになります。

１．証明書の基本フィールド -> [ハッシュ関数] -> ハッシュ値
２．ハッシュ値を証明書のプロパティ（基本フィールドではない）に記述記載
３．証明書の基本フィールド（ハッシュ値なし）-> [ハッシュ関数] -> ハッシュ値

１と３の結果のハッシュ値同士は一致しますよね？

この回答への補足

> １．証明書の基本フィールド -> [ハッシュ関数] -> ハッシュ値
> ２．ハッシュ値を証明書のプロパティ（基本フィールドではない）に記述記載
> ３．証明書の基本フィールド（ハッシュ値なし）-> [ハッシュ関数] -> ハッシュ値

> １と３の結果のハッシュ値同士は一致しますよね？

はい。
ハッシュ値が”証明書の基本フィールド”のみだと理解できました。

しかし、１の結果と、２で更新された証明書ファイル自身のハッシュ値が一致する理由が分からないのです。。

補足日時：2009/07/24 10:23

No.1 回答者： jjon-com 回答日時： 2009/07/17 01:38

次のページに図解されている「署名前証明書」を入力データとしてハッシュを求めているからではないですか。

http://www.ipa.go.jp/security/pki/033.html

私はいまIE7を使っているのですが，
[詳細]タブの[表示]領域を「プロパティのみ」にしたときは次の４つのフィールドが表示されますが，
　・拇印アルゴリズム
　・拇印
　・フレンドリ名
　・拡張キー使用法（プロパティ）
「バージョン１のフィールドのみ」にしたときは上記の４フィールドは表示されません。
http://keiyaku.city.yokohama.lg.jp/epco/sinsei/i …

ハッシュは，証明書の属性（プロパティ）としての位置づけだということでしょう。

この回答への補足

ご丁寧な説明と回答ありがとうございます。

教えていただいたページを参照したのですが、
証明書に記載されているハッシュ値の計算方法が見当たりませんでした。

それと、なぜ、証明書自身のハッシュ値と一致するのかも記述がありませんでした。

未だに証明書のImport結果のハッシュ値と証明書に記載されているハッシュ値が一致する理由が理解できません。。。

補足日時：2009/07/22 20:49