公開鍵を使用したメールの送受信につきまして

ある相手と暗号化したメールのやり取りをすることとなりましたが、全く未知の分野であり不明の点が多いためご教授いただきたく皆さんに質問いたします。

メールをやり取りする相手から私のcer形式の公開鍵が欲しいといわれ、マイクロソフトのホームページからmakecert.exeをダウンロードし、
makecert -e 12/31/2030 -n CN=testroot -sv testroot.pvk -r testroot.cer
というコマンドを実行しtあとで作成されたtestroot.cerをダブルクリックして証明書のインストールを行いました。インストール時は特に何も指定せずそのまま実行しました。その後
makecert -e 12/31/2030 -n CN=test -sv test.pvk -ic testroot.cer -iv testroot.pvk test.cer
というコマンドを実行し、作成されたtest.cerというファイルを相手に送りました。

相手の方からは私が送ったtest.cerで暗号化したメールが送られてきました。
メーラはOutlook Expressなのですが、そのメールを受信したところ、メールのアイコンの右下に小さい青いマークがついており、暗号化してきたメールだと判別できたのですが、これをどのように復号すればよいのか皆目検討がつきません。

相手もあまり詳しくなく、私の秘密鍵で復号すればいいというのですが、どのように復号すればよろしいのでしょうか？

分かる方がいらっしゃいましたら教えてください。

OS：Windows2000
Outlook Express5.5

なお、makecertの使い方についてはネットで調べました。

No.2 ベストアンサー 回答者： noname#14035 回答日時： 2004/06/17 03:12

#1のJzamraiです。

前回の書き込み後に気がついた点について、少し補足させてください。

下記のURLにも説明されているように、正しく証明書（鍵ペア）が作成・インストールされた状態であり、送られてきたメッセージが（正しい）公開鍵で暗号化されたものならば、メッセージを普通に開く（ダブルクリックする）だけでOEは（確認メッセージ表示後）自動的に復号を行うはずです。

■IPA　～S/MIME を利用した暗号化と電子署名～■　Copyright(c) 2001 Information-technology Promotion Agency, Japan All rights reserved　
↓
http://www.ipa.go.jp/security/fy12/contents/smim …

つまり、もしも証明書（鍵）のインストール（インポート）が済んでいる（と認識されている）状態にもかかわらずうまくメッセージを復号できないならは、「証明書（鍵）そのものの作成と組み込みがうまくいっていない（要件を満たしていない）。」という事も考えられると思います。

その場合、前回紹介したサイトで基礎知識を習得した上、一からやり直した方が速く解決に至るかもしれませんね。（ピンポイントで問題を発見するためには詳細な知識が必要なので。）

しつこいようですが、S/MIMEの基本は「組織（商用サービスや所属会社など）から証明書を取得する方法」ですので、いきなりの応用問題にはいささか無理があると思います。

もちろん事情にもよりますが、特に「タダでメールの暗号化環境を手に入れたい。」という目的の場合、PGPを利用する事でスムーズに導入に至る場合もあると思います。（もちろんどのみち基礎知識は必須ですが。）

以上、何度もお騒がせしました。

それでは。

この回答へのお礼

懇切丁寧な説明ありがとうございました。

どうも私のやり方では秘密鍵の生成方法に問題があるようで、Outlook Expressに取り込んだ証明書IDでは秘密鍵との対応がうまくできていないようです。

あくまでも仕事の一環でメールを暗号化してやり取りをしたかったのですが、個人レベルで行うためなるべくお金をかけないようにするため自分で公開鍵を発行するようにしました。しかしやはり簡単にはいかないようです。先方もあまり詳しくなく、専門家にお願いしているそうですので、こちらも一度先方とその専門家と詳細な打合せを行って仕組作りを行うようにします。

教えていただいたURLをじっくり読みました。100％理解はできませんでしたが、大変参考になりました。先方の専門家と打合せを行う際に非常に役に立つと思います。

おそらく公的機関から証明書を取得することになるかと思いますが、またその過程で不明点がありましたご質問させていただきたいと思います。その節はまたよろしくお願いいたします。

お礼日時：2004/06/21 08:53

No.1 回答者： noname#14035 回答日時： 2004/06/17 00:36

こんばんは。

導入されたのは”S/MIME”ですよね。（一口にPKIといっても、”PGP”など他の規格もあります。）

さて、脆弱な電子メールのセキュリティーを気にされる事は大変よい事だとは思いますが、少し「仕組み先行で導入を急ぎすぎ」の感があると言うのが正直なところです。（ごめんなさい。）

とはいうものの、下記のサイト（後者のURL）を参考に、第3回にある「メーラー別設定ガイド」に従い作業する事で、とりあえず動くようにはなると思います。（OEの＜オプション＞メニューから証明書のインポート（証明書内の秘密鍵登録をふくめた）作業を行う必要があるはずです。）

■＠IT　関連レクチャー■　Copyright(c) 2000-2004 atmarkIT
●【特集】S/MIMEでセキュアな電子メール環境をつくる！
↓
http://www.atmarkit.co.jp/fsecurity/special/04sm …

しかし、PKIの仕組みは「強力」なだけに、よく理解して使わないと「自分のデータが読めない！」といった致命的な事態に陥りかねません。（これは特に「PCのリカバリー（初期化）時」などにおきがちな問題で、そうなると「セキュリティー以前の話」になってしまいます。）

安全で快適な運用のために、まずは下記のURL（同じく＠ITの記事）などをとっかかりとして、PKI（の仕組みを利用したPGPやS/MIME）の基礎知識を身に付けておく事をおすすめします。

●5分で絶対に分かるPKI
↓
http://www.atmarkit.co.jp/fsecurity/special/02fi …

いずれにしても、「公開鍵で暗号化したものは秘密鍵でしか、秘密鍵で暗号化したものは公開鍵でしか復号できない。（故に強力）」「最も大切なものは”秘密鍵（証明書）”であり、いきなりこれが無くなったり盗まれたりするとどうにもならない。（故に必ず物理的に別の安全な場所にバックアップを保管すべき。）」といったポイントを理解して使う事が非常に重要だと思います。

お使いになられた証明書発行用プログラムは、あくまで「テスト用」としての位置付けにあるようですね。（あくまで個人が自前で発行するものですから、当然だと思います。）

特定の相手と1対1でしか利用しないのであればその様な方法でもあまり問題がないでしょうが、特にS/MIMEの規格を汎用的かつ安全に利用するためには「信頼できる第三者認証機関（ベリサインなどが有名）の証明書」（有料）を利用する必要があると思います。

もしも、メールの暗号化（盗聴防止）が主な目的であり、お金をかけずにPKIの安全運用を実現したいなら、”PGP”（S/MIMEよりも証明書への依存度が高くない上、「GNUパブリックライセンス方式」で無償利用可能なエンジンとフロントエンド（プラグイン）が豊富）を利用するという選択肢もあると思いますよ。（私は”GnuPG”（元祖PGPとほぼ同じもの）を”WinPT”というGUIツールと組み合わせて利用しています。）

ただし、OEはPGPを標準サポートしていませんので、ストレス無く使うためには「PGP用エンジン」に加え、上記のような何らかの「Windows（OE）用プラグイン」を導入する必要があります。（このあたりは”PGP”というキーワードでWeb検索をかければ手引きは豊富に見つかるはずです。）

この手のものはどうしても「ややこしく導入が面倒」というネックがあり、これが普及を妨げている面があるというのが実情ですね。

安全かつ快適なメール環境が整う事をお祈りしております。

それでは。