iKeyman (証明書管理) ユーティリティーは、ディジタル証明書の管理、および公開鍵/秘密鍵の作成と管理に関連した構成タスクの実行に使用できるツールです。 iKeyman を使用することにより、鍵データベースの新規作成やディジタル証明書のテストのほか、 データベースへの認証局 (CA) ルートの追加、データベース間の証明書のコピー、 CA へのディジタル証明書の要求と受領、デフォルト鍵の設定、またはパスワードの変更が可能です。

製品のインストール中、パーソナル・コミュニケーションズはインストール時に選択されたユーザー・アプリケーション・データ・フォルダーに鍵データベース PCommClientKeyDb.kdb を作成します。 デフォルトでは、次の CA 証明書は鍵データベースに保管され、トラステッド CA 証明書としてマークされています。

認証局

• RSA Secure Server Certification Authority (VeriSign)
• Thawte Personal Basic CA
• Thawte Personal Freemail CA
• Thawte Personal Premium CA
• Thawte Premium Server CA
• Thawte Server CA
• Verisign Class 1 CA Individual-Persona Not Validated
• Verisign Class 2 CA Individual-Persona Not Validated
• Verisign Class 3 CA Individual-Persona Not Validated
• VeriSign Class 1 Public Primary Certification Authority
• VeriSign Class 2 Public Primary Certification Authority
• VeriSign Class 3 Public Primary Certification Authority
• VeriSign Test CA Root Certificate

注: パーソナル・コミュニケーションズを使用する場合、証明書データベースがユーザー・アプリケーション・データ・フォルダーに表示され、データベース名 PCommClientKeyDb.kdb が指定されている必要があります。

鍵データベース・ファイルをオープンするには、以下の手順を実行します。

1. メニュー・バーから、「鍵データベース・ファイル」>「オープン」をクリックします。
2. パーソナル・コミュニケーションズのユーザー・アプリケーション・データ・フォルダーから PCommClientKeyDb.kdb を選択します。
3. パスワード・プロンプトでパスワードを入力し、「OK」をクリックします。
   
   注: パスワードの初期設定値は pcomm です。このパスワードは秘密鍵をプロテクトします。秘密鍵は文書への署名または公開鍵で暗号化されたメッセージの暗号化解除が可能な唯一の鍵です。セキュリティー上の理由により、データベース上で何らかの操作を実行する前に、デフォルトのパスワードを変更する必要があります。鍵データベースのパスワードの変更をこまめに行うことをお勧めします。

データベースが破損した場合、再作成できます。「鍵データベース・ファイル」>「新規」をクリックして、新規データベースを作成します。データベースはユーザー・アプリケーション・データ・フォルダーに名前 PCommClientKeyDb.kdb を指定して作成する必要があります。

データベースをオープンしたら、次のいずれかのオプションを実行してください。

• 通信先のサーバーに上記リストの既知の認証局が発行した証明書が インストール済みである場合、以後の処理は不要です。必要なルート証明書は、すでに鍵データベース内に入っています。
• 通信先のサーバーに上記リストに含まれない不明な認証局が発行した証明書がインストールされている場合、不明な認証局が発行するルート証明書を追加します。
• 通信先のサーバーに自己署名証明書がインストール済みである場合、そのサーバーが作成した専用の自己署名証明書を追加します。

鍵ペアと認証要求の新規作成

鍵ペアおよび認証要求は鍵データベースに保管されます。公開鍵と秘密鍵のペアおよび認証要求を作成するには、次の手順を実行します。

1. 鍵データベースがオープンされていない場合、iKeyman メニュー・バーから「鍵データベース・ファイル」>「オープン」をクリックし、「PCommClientKeyDb.kdb」データベースを選択します。
2. メインメニューから、「作成」 > 「新規認証要求」をクリックします。
   
   「新規鍵および認証要求」ダイアログ・ボックスで、次の情報を入力します。
   • 鍵ラベル
     鍵および証明書を識別するため、データベースに説明コメントを入力します。
   • 鍵サイズ
   • 組織名
   • 組織単位 (オプション)
   • 局所性 (オプション)
   • 都道府県 (オプション)
   • 郵便番号 (オプション)
   • 国名
     国別コードを入力します (例えば、「US」など)。最小 2 文字で指定します。
   • 認証要求ファイル名、またはデフォルトの名前
3. 「OK」をクリックします。
4. 認証要求が作成されると、「情報」ダイアログ・ボックスが表示され、ファイルを認証局に送信するようユーザーに通知します。「OK」をクリックしてダイアログ・ボックスを閉じます。

鍵データベース・パスワードの変更

現行データベースのパスワードを変更するには、次の手順を実行します。

1. 現在のパスワードを変更するには、iKeyman メニュー・バーから、「鍵データベース・ファイル」 > 「パスワード変更」をクリックします。 「パスワード変更」ダイアログ・ボックスが表示されます。
2. 新規パスワードを入力します。強いパスワードおよびパスフレーズの選択方法について、ネットワーク管理者により発行されたガイドラインに従ってください。
3. 確認のため、同じパスワードを再入力します。パスワードには有効期限を設定する必要があります。
4. 「有効期限の設定」チェック・ボックスを選択します。適切な日数を指定するか、またはデフォルト値を適用します。
5. 「パスワードをファイルに隠蔽する」 をクリックして、現行データベースのパスワードを暗号化されたフォーマットで PCommClientKeyDb.sth ファイルに保管します。パスワード stash ファイルを使用する場合、パスワードを変更する度にそれを隠蔽する必要があります。デフォルトで、パーソナル・コミュニケーションズは stash ファイル を使用します。
6. 「OK」をクリックします。

不明な認証局 (CA) により発行されたルート証明書の追加

ネットワーク管理者またはサーバー管理者から証明書を受け取った場合、それを鍵データベースに保管する必要があります。 以下の手順を実行します。

1. iKeyman ユーティリティー・ウィンドウで、「鍵データベースの内容」のドロップダウン・リストから「署名者の証明書」をクリックします。
2. 証明書を受け取るには、「追加」をクリックします。
3. 「ファイルから CA の証明書を追加」ダイアログ・ボックスが表示されます。データ・タイプは Base64 エンコード ASCII データ (armored 64 フォーマット) である必要があります。
4. 「参照」をクリックして、証明書ファイルを検索するか、または「ロケーション」ボックスにディレクトリー・パスを入力します。 ファイルを選択して「オープン」をクリックします。
5. 証明書のラベルを入力し、「OK」をクリックします。
6. 「表示/編集」をクリックします。
7. 「証明書をトラステッド・ルートとして設定」チェック・ボックスを選択し、「OK」をクリックします。

特定のサーバーが作成した専用の自己署名証明書の追加

ネットワーク管理者またはサーバー管理者から証明書を受け取った場合、それを鍵データベースに保管する必要があります。 受け取った証明書は、ルート証明書として自己認証します。自己とは、自ら証明書を発行した (自己署名した) サーバーを指します。以下の手順を実行します。

1. iKeyman ユーティリティー・ウィンドウで、「鍵データベースの内容」のドロップダウン・リストから「署名者の証明書」をクリックします。
2. 証明書を受け取るには、「追加」をクリックします。
3. 「ファイルから CA の証明書を追加」ダイアログ・ボックスが表示されます。データ・タイプは Base64 エンコード ASCII データ (armored 64 フォーマット) である必要があります。
4. 「参照」をクリックして、証明書ファイルを検索するか、または「ロケーション」ボックスにディレクトリー・パスを入力します。 ファイルを選択して「オープン」をクリックします。
5. 証明書のラベルを入力し、「OK」をクリックします。
6. 「表示/編集」をクリックします。
7. 「証明書をトラステッド・ルートとして設定」チェック・ボックスを選択し、「OK」をクリックします。

暗号モジュール

iKeyman が開始された時に、パーソナル・コミュニケーションズは以下の暗号モジュールを検索します。

• IBM Secureway スマート・カード: w32pk2ig.dll
• GemPlus/GemSoft スマート・カード: w32pk2ig.dll
• IBM Netfinity PSG チップ: ibmpkcss.dll
• Rainbow Ikey 1000: Cryptoki22.dll
• Schlumberger Cryptoflex: acpkcs.dll または slbck.dll
• SCW PKCS 3GI 3-G International: 3gp11csp.dll
• データ・キー: Dkck232.dll
• Fortezza モジュール: fort32.dll

パーソナル・コミュニケーションズがモジュールを検出した場合に、ユーザーのアプリケーション・データ・ディレクトリーに ikmuser.properties ファイルが作成されます。このファイルには、以下の 2 つのパラメーターが含まれます。

• DEFAULT_CRYPTOGRAPHIC_MODULE=
• DEFAULT_CRYPTOGRAPHIC_TOKEN_OPEN_EXISTING_SECONDARY_KEYDB=

パーソナル・コミュニケーションズは、モジュールの名前を DEFAULT_CRYPTOGRAPHIC_MODULE パラメーターの値として設定します。上記のいずれのモジュールも検出されない場合は、システム管理者が ikmuser.properties ファイルを手動で作成し、DEFAULT_CRYPTOGRAPHIC_MODULE 値を指定する必要があります。