ksnctf: HTTPS is secure, Writeup (TLS 通信解読)

ksnctf: HTTPS is secure, Writeup (TLS 通信解読)

ksnctf(https://ksnctf.sweetduet.info/ ) の No.33 である HTTPS is secure の Writeup をメモします。 こちらは、2つの類似した証明書を利用して、TLS 通信を破ることでフラグを取り出します。パケットファイルは、http://ksnctf.sweetduet.info/q/33/q33.pcap から落としてきます。以下、Wireshark に取り込んでパケットキャプチャを行います。

TLS 通信の復習と共に、回答の手順が含まれますので、ネタバレしたくない場合は、読まないようお願いします。

TLS 通信のハンドシェイクについて

TLSのコネクションを確立するためには、以下のハンドシェイクを通して行われます。最初の ClientHello でクライアントが利用可能な暗号スイートを提示し、それに対してサーバーは自身が利用可能な暗号スイートと比較し、使用する暗号スイートを返します。それと同時 Certificate メッセージでサーバの証明書も返します。

      クライアント                                         サーバー



      ClientHello                  -------->

                                                      ServerHello

                                                     Certificate*

                                               ServerKeyExchange*

                                              CertificateRequest*

                                   <--------      ServerHelloDone

      Certificate*

      ClientKeyExchange

      CertificateVerify*

      [ChangeCipherSpec]

      Finished                     -------->

                                               [ChangeCipherSpec]

                                   <--------             Finished

      Application Data             <------->     Application Data

公開鍵の取得

q33.pcapファイル中では、SSL通信のハンドシェイクが No.4 ~ No.12のパケットで192.168.66.129のクライアントから192.168.0.39のサーバへ, No.73 ~ No.81のパケットで192.168.66.129のクライアントから192.168.0.40のサーバへと2回行われていることが確認されます。 与えられたヒントが、2つの類似した証明書を利用するとのことなので、このそれぞれ2つのSSL通信中の証明書を利用してときます。

  • 192.168.66.129のクライアントから192.168.0.39のサーバへのハンドシェイク

4   2013-11-04 04:02:38.599927  192.168.66.129  192.168.0.39    TLSv1   131 Client Hello
5   2013-11-04 04:02:38.600656  192.168.0.39    192.168.66.129  TCP 60  443 → 1529 [ACK] Seq=1 Ack=78 Win=64240 Len=0
6   2013-11-04 04:02:38.600714  192.168.0.39    192.168.66.129  TLSv1   1514    Server Hello
7   2013-11-04 04:02:38.600720  192.168.0.39    192.168.66.129  TLSv1   199 Certificate, Server Hello Done
8   2013-11-04 04:02:38.600727  192.168.66.129  192.168.0.39    TCP 54  1529 → 443 [ACK] Seq=78 Ack=1606 Win=64240 Len=0
9   2013-11-04 04:02:38.600798  192.168.66.129  192.168.0.39    TLSv1   364 Client Key Exchange, Change Cipher Spec, Finished
10  2013-11-04 04:02:38.601768  192.168.0.39    192.168.66.129  TCP 60  443 → 1529 [ACK] Seq=1606 Ack=388 Win=64240 Len=0
11  2013-11-04 04:02:38.605380  192.168.0.39    192.168.66.129  TLSv1   97  Change Cipher Spec, Finished
12  2013-11-04 04:02:38.606914  192.168.66.129  192.168.0.39    TLSv1   376 Application Data

  • 192.168.66.129のクライアントから192.168.0.40のサーバへのハンドシェイク

73  2013-11-04 04:02:39.695588  192.168.66.129  192.168.0.40    TLSv1   131 Client Hello
74  2013-11-04 04:02:39.695782  192.168.0.40    192.168.66.129  TCP 60  443 → 1531 [ACK] Seq=1 Ack=78 Win=64240 Len=0
75  2013-11-04 04:02:39.696909  192.168.0.40    192.168.66.129  TLSv1   1514    Server Hello
76  2013-11-04 04:02:39.696942  192.168.0.40    192.168.66.129  TLSv1   191 Certificate, Server Hello Done
77  2013-11-04 04:02:39.696952  192.168.66.129  192.168.0.40    TCP 54  1531 → 443 [ACK] Seq=78 Ack=1598 Win=64240 Len=0
78  2013-11-04 04:02:39.697976  192.168.66.129  192.168.0.40    TLSv1   364 Client Key Exchange, Change Cipher Spec, Finished
79  2013-11-04 04:02:39.698182  192.168.0.40    192.168.66.129  TCP 60  443 → 1531 [ACK] Seq=1598 Ack=388 Win=64240 Len=0
80  2013-11-04 04:02:39.702073  192.168.0.40    192.168.66.129  TLSv1   97  Change Cipher Spec, Finished
81  2013-11-04 04:02:39.702174  192.168.66.129  192.168.0.40    TLSv1   372 Application Data

証明書1の公開鍵

No.4のパケットで最初に ClientHello が投げられています。

4   2013-11-04 04:02:38.599927  192.168.66.129  192.168.0.39    TLSv1   131 Client Hello

具体的にパケットの中身を見てみると、TLS の層で11種類の暗号スイートをサーバへ提示しています。RSAとDHEの暗号化方式を提示していることがわかります。

Frame 4: 131 bytes on wire (1048 bits), 131 bytes captured (1048 bits)
Ethernet II, Src: Vmware_37:6a:33 (00:0c:29:37:6a:33), Dst: Vmware_f4:85:b0 (00:50:56:f4:85:b0)
Internet Protocol Version 4, Src: 192.168.66.129, Dst: 192.168.0.39
Transmission Control Protocol, Src Port: 1529, Dst Port: 443, Seq: 1, Ack: 1, Len: 77
Secure Sockets Layer
    TLSv1 Record Layer: Handshake Protocol: Client Hello
        Content Type: Handshake (22)
        Version: TLS 1.0 (0x0301)
        Length: 72
        Handshake Protocol: Client Hello
            Handshake Type: Client Hello (1)
            Length: 68
            Version: TLS 1.0 (0x0301)
            Random
            Session ID Length: 0
            Cipher Suites Length: 22
            Cipher Suites (11 suites)
                Cipher Suite: TLS_RSA_WITH_RC4_128_MD5 (0x0004)
                Cipher Suite: TLS_RSA_WITH_RC4_128_SHA (0x0005)
                Cipher Suite: TLS_RSA_WITH_3DES_EDE_CBC_SHA (0x000a)
                Cipher Suite: TLS_RSA_WITH_DES_CBC_SHA (0x0009)
                Cipher Suite: TLS_RSA_EXPORT1024_WITH_RC4_56_SHA (0x0064)
                Cipher Suite: TLS_RSA_EXPORT1024_WITH_DES_CBC_SHA (0x0062)
                Cipher Suite: TLS_RSA_EXPORT_WITH_RC4_40_MD5 (0x0003)
                Cipher Suite: TLS_RSA_EXPORT_WITH_RC2_CBC_40_MD5 (0x0006)
                Cipher Suite: TLS_DHE_DSS_WITH_3DES_EDE_CBC_SHA (0x0013)
                Cipher Suite: TLS_DHE_DSS_WITH_DES_CBC_SHA (0x0012)
                Cipher Suite: TLS_DHE_DSS_EXPORT1024_WITH_DES_CBC_SHA (0x0063)
            Compression Methods Length: 1
            Compression Methods (1 method)
            Extensions Length: 5
            Extension: renegotiation_info

ClientHelloを受け取ったサーバは次にServerHelloを返しています。

6   2013-11-04 04:02:38.600714  192.168.0.39    192.168.66.129  TLSv1   1514    Server Hello

具体的なパケットの中身を見てみるとクライアントから提示された暗号スイートに対して、TLS_RSA_WITH_RC4_128_MD5 の暗号スイートを選択したことが分かります。つまり、RSA の公開鍵暗号でRC4の共有鍵暗号方式でMD5のハッシュ関数を使用していることがわかります。

Frame 6: 1514 bytes on wire (12112 bits), 1514 bytes captured (12112 bits)
Ethernet II, Src: Vmware_f4:85:b0 (00:50:56:f4:85:b0), Dst: Vmware_37:6a:33 (00:0c:29:37:6a:33)
Internet Protocol Version 4, Src: 192.168.0.39, Dst: 192.168.66.129
Transmission Control Protocol, Src Port: 443, Dst Port: 1529, Seq: 1, Ack: 78, Len: 1460
Secure Sockets Layer
    TLSv1 Record Layer: Handshake Protocol: Server Hello
        Content Type: Handshake (22)
        Version: TLS 1.0 (0x0301)
        Length: 81
        Handshake Protocol: Server Hello
            Handshake Type: Server Hello (2)
            Length: 77
            Version: TLS 1.0 (0x0301)
            Random
            Session ID Length: 32
            Session ID: 69bebcfca11a7c53259807575f85846ab23daf9e3b15d86f...
            Cipher Suite: TLS_RSA_WITH_RC4_128_MD5 (0x0004)
            Compression Method: null (0)
            Extensions Length: 5
            Extension: renegotiation_info

その後、サーバは証明書をクライアントに返しています。

7   2013-11-04 04:02:38.600720  192.168.0.39    192.168.66.129  TLSv1   199 Certificate, Server Hello Done

具体的にパケットの中身を見ていくと、subjectPublicKey の modulus というところに公開鍵の情報が含まれています。こちらの modulus が最初に必要な情報となります。

Frame 7: 199 bytes on wire (1592 bits), 199 bytes captured (1592 bits)
Ethernet II, Src: Vmware_f4:85:b0 (00:50:56:f4:85:b0), Dst: Vmware_37:6a:33 (00:0c:29:37:6a:33)
Internet Protocol Version 4, Src: 192.168.0.39, Dst: 192.168.66.129
Transmission Control Protocol, Src Port: 443, Dst Port: 1529, Seq: 1461, Ack: 78, Len: 145
[2 Reassembled TCP Segments (1510 bytes): #6(1374), #7(136)]
Secure Sockets Layer
    TLSv1 Record Layer: Handshake Protocol: Certificate
        Content Type: Handshake (22)
        Version: TLS 1.0 (0x0301)
        Length: 1505
        Handshake Protocol: Certificate
            Handshake Type: Certificate (11)
            Length: 1501
            Certificates Length: 1498
            Certificates (1498 bytes)
                Certificate Length: 754
                Certificate: 308202ee308201d6020900b5ca76b816420d2f300d06092a... (id-at-commonName=chihiro,id-at-organizationName=Chihiro,id-at-localityName=Otowa,id-at-countryName=JP)
                Certificate Length: 738
                Certificate: 308202de308201c602090094f8fffe850d57e3300d06092a... (id-at-commonName=ksnctf.sweetduet.info,id-at-organizationName=ksnctf)
                    signedCertificate
                        serialNumber: -7712132893252954141
                        signature (sha1WithRSAEncryption)
                        issuer: rdnSequence (0)
                        validity
                        subject: rdnSequence (0)
                        subjectPublicKeyInfo
                            algorithm (rsaEncryption)
                            subjectPublicKey: 3082010a0282010100ba7d3b1ed67d7ecfad8d536bee3531...
                                modulus: 0x00ba7d3b1ed67d7ecfad8d536bee3531747be94ea9e4ac14...
                                publicExponent: 65537
                    algorithmIdentifier (sha1WithRSAEncryption)
                    Padding: 0
                    encrypted: 8a6269e64c5d98953adc0a6f1b21f3c363c4f29c5f3181c0...
Secure Sockets Layer

こちらの値を右クリックで 「コピー > 値」と選択すると、値が取り出されます。

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

上記は16進数の数字ですが、10進数に直すと以下のようになります。変換は、どのような手段でもいいのですが、「2進数、8進数、10進数、16進数相互変換ツール( https://hogehoge.tk/tool/number.html )」こちらのサイトのツールを利用しました。こちらの値をu1とします。

23542078401445977491582187555358406277626961530410681341351413646839204193911833858881038261034069118969161638703136657118916899182578490915497753149887260831567926516391758114231928168566639210404236451288838928257916305340669368491719913927522510658180812971112923019250500479662167443924407765948316698727000721627241198221156194402344915063743640702715180639778981629051287418843949981843258352590283355963590064164706331873913433484206976862304714043765574194257912501410672053921789284948212520207569618096303687722482311329735803729406182287210885757517187688163718098757454136048850395842585001590124979624323

証明書2の公開鍵

No.73 ~ No.81のパケットで192.168.66.129のサーバと TLS 通信のハンドシェイクが行われています。 証明書1と同様の手順でNo.76のCertificateのメッセージを送っているパケットからsubjectPublicKeyのmodulusの値を取り出してきます。

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

10進数に直すと以下のようになります。こちらの値をu2とします。

20810915617344661448636429656557804394262814688853534649734586652859523797380885650024809244693377123486154907319690068259378744245911427062593140588104970879344505836367952513105241451799550533959908906245319537215140226739848280012005678383612764589285444929414256249733809498630880134204967826503346173071037885178145189051140796573786694250069189599080301164473268293037575740360272856085402928759232391893060067823996007021668671352199570084430112300612196486186252109596457909476374557998336186613887204545677563178904634941310201398366965571422359228917354256271527331840144577394174480450746748283277750230727

メッセージの復号

先程の公開鍵を取得する中で、ハンドシェイク中で TLS_RSA_WITH_RC4_128_MD5 の暗号スイートが使用されることを決めていました。つまり、公開鍵暗号方式として、RSA が使用することになりました。

こちらの RSA ですが、暗号化されたメッセージを解くことが困難な根拠は、巨大な素数同士の積は素因数分解をすることが困難なことが大変難しいことを根拠としています。

証明書1の先程の取り出した値をu1で積を構成するそれぞれの素数をp1,q1とします。証明書2についても同様にu2で、積を構成するそれぞれの素数をp2,q2とします。

すると、以下のような式となります。

u1 = p1 * q1
u2 = p2 * q2

1024ビットの素因数分解を総当りで行うとなると億レベルのお金をかけて何年というほどの計算を要するものになるため、普通にしては解けません。 しかし、u1 と u2 がもし仮に、共通の因数を持つと仮定してみると、それを最大公約数を求める要領で同じ手順で求められることになります。 つまり、q1 と q2 が同じ値として、q = q1 = q2 とすると、以下の式になります。

u1 = p1 * q
u2 = p2 * q

ここで、最大公約数を求めるために u1 と u2 に対して、ユークリッドの互除法を適用します。すると、q の値が求められます。実際に Python で実行すると、以下のようなコードとなります。

def gcd(x, y):
    r = modlog(x, y)
    while r != 0:
        x = y
        y = r
        r = modlog(x, y)
    return y

def modlog(x, y):
    r = x % y
    return r

def main():
    u1 = 20912068408571562329765690555061159289641629285082404210189101064954330953315593257557260077525915152641073106397431556875680393639301995231540409600633056790407217644109479375811025952060540276714119842291972532268686811648476477127818267411283106601195166099848608860814911133056759210847640244371352294577674757844032344743192797680553522630615249481210459669536735468283778508143359159893770374788694416907786510825727199111604249000530550012491935109887922826382346971222271516625157446929215544796309806757863550058676780306722906895167581167203804721314732494889662194466565293268848629536070864750745494338531
    u2 = 20810915617344661448636429656557804394262814688853534649734586652859523797380885650024809244693377123486154907319690068259378744245911427062593140588104970879344505836367952513105241451799550533959908906245319537215140226739848280012005678383612764589285444929414256249733809498630880134204967826503346173071037885178145189051140796573786694250069189599080301164473268293037575740360272856085402928759232391893060067823996007021668671352199570084430112300612196486186252109596457909476374557998336186613887204545677563178904634941310201398366965571422359228917354256271527331840144577394174480450746748283277750230727

    q = gcd(u1, u2)
    print(q)


if __name__=="__main__":
    main()

すると、以下の値が得られます。こちらがqの値となります。

149964660518396798660782215517197000054264985822608779681144262791391323000835825727277636178043097046988857828384650158626906824855399961360412435818827649355003329726451846544435103030378220357694459358803967598155925736581896165952170564324730092516286266118841005062382011803493961966912439338500328959743

すると、u1,u2,qの値が分かっていることから、p1,p2の値はそれぞれ以下のようにして求められます。

p1 = u1 / q
p2 = u2 / q

実際に計算すると、p1は以下のようになります。

139446642537534304777628614240154046272434122794892522124374234093313897652592278876204620931659231555942782873768406065030569534203407105601097455479995730772421725109267044663491213232687718387909353507690622331780468229128999879032054673690005684809410661625656125511253714586807242182927209779610158700317

p2は以下のようになります。

138772131683595539379264396620735603425702925342291987755841498194704959931781364169698055070785331880014332847610595576230231417278730047109315439655930883451174914691703480278864120207968103099432047374677543229331540706277526947368767969434429565383119554767303697722958157645742281397722992120606265055289

以上で RSA の復号が困難な根拠とされた素因数分解ができました。 2つの証明書の類似性とは、2つの数字に共通の因数を持つことのようだったようです。 あとは、これを元に秘密鍵を構築します。

秘密鍵の構築

pem 形式の秘密鍵について

pem 形式の秘密鍵は、ASN.1のバイナリデータをBase64でエンコードされたテキストファイルとなります。こちらのファイルの中身は、-----BEGIN RSA PRIVATE KEY-----で始まり、-----END RSA PRIVATE KEY-----で終わるファイルとなります。この間に挟まれたデータは、ASN.1をDERという形式でエンコードされたバイナリファイルとなります。

RSAにおけるASN.1の定義は、以下のように定められています。versionは0か1の値で、otherPrimeInfosはversionが0のときは存在しません。

RSAPrivateKey ::= SEQUENCE {
    version           Version,
    modulus           INTEGER, -- n
    publicExponent    INTEGER, -- e
    privateExponent   INTEGER, -- d
    prime1            INTEGER, -- p
    prime2            INTEGER, -- q
    exponent1         INTEGER, -- d mod (p-1)
    exponent2         INTEGER, -- d mod (q-1)
    coefficient       INTEGER, -- (inverse of q) mod p
    otherPrimeInfos   OtherPrimeInfos OPTIONAL
}

(引用: RSA 秘密鍵/公開鍵ファイルのフォーマット http://bearmini.hatenablog.com/entry/2014/02/05/143510 )

publicExponentであるeの値は、公開指数として655337がよく用いられるそうです。以下のような理由があるようです。

公開指数ｅの値として65537もよく使われますが，その理由としては， これが素数であり，しかも65537＝2＾16＋1 が成り立つためです。これを２進表現したものは１を ２つしか含まないので，この値でべき乗するには17回の乗算で済みます。 これは３を指数ｅとした場合の２回と比べると多いですが， 512ビットを無作為に選択した場合に必要とする平均乗算回数768回と比べると圧倒的に少ないといえます。 また，65537をｅとして使う場合，ｅに３を使う場合に生じる問題をほとんど避けることが可能です。

(引用: RSA暗号体験入門 http://post1.s105.xrea.com/)

証明書1の秘密鍵の取得

秘密鍵を求めるに当って、prime1 である p , prime2 である q , publicExponent である e の3つをパラメータとして pem形式のファイルを作成することができます。

最初に証明書1から pem形式のファイルを求めるために、p1,q,e(=65537)の値から以下のようにして、pem形式のデータを出力します。こちらのデータをファイルに保存します。 ただし、こちらは Python の Crypto モジュールを使用しますので、pip install pycrypto のようにモジュールをインストールする必要があります。

from Crypto.PublicKey import RSA
from Crypto.Util.number import inverse


p = 139446642537534304777628614240154046272434122794892522124374234093313897652592278876204620931659231555942782873768406065030569534203407105601097455479995730772421725109267044663491213232687718387909353507690622331780468229128999879032054673690005684809410661625656125511253714586807242182927209779610158700317
q = 149964660518396798660782215517197000054264985822608779681144262791391323000835825727277636178043097046988857828384650158626906824855399961360412435818827649355003329726451846544435103030378220357694459358803967598155925736581896165952170564324730092516286266118841005062382011803493961966912439338500328959743
e = 65537

n = p*q
d = inverse(e, (p-1)*(q-1))

key = RSA.construct(map(int, (n,e,d)))
print(key.exportKey().decode('utf-8'))

上記を genpem1.py という名前で保存したとします。すると、以下のようにして秘密鍵を出力します。

python genpem1.py > private1.pem

こちらの秘密鍵はパスがかかった状態で、このままでは利用できないので、以下のコマンドを実行してパスを解除します。

openssl rsa -in private1.pem -out private.pem.unencrypted

上を実行しないと、Wireshark に読み込ませると、下記のエラーが出力されます。 ssl_load_key: can't import pem data: Base64 unexpected header error.

(参考: https://serverfault.com/questions/224589/error-while-decrypting-https-traffic-in-wireshark )

証明書2の秘密鍵の取得

こちらも証明書1の秘密鍵の取得の手順と同様にして、以下の gempem2.py というファイル名で Python のコードを準備します。

from Crypto.PublicKey import RSA
from Crypto.Util.number import inverse


p = 138772131683595539379264396620735603425702925342291987755841498194704959931781364169698055070785331880014332847610595576230231417278730047109315439655930883451174914691703480278864120207968103099432047374677543229331540706277526947368767969434429565383119554767303697722958157645742281397722992120606265055289
q = 149964660518396798660782215517197000054264985822608779681144262791391323000835825727277636178043097046988857828384650158626906824855399961360412435818827649355003329726451846544435103030378220357694459358803967598155925736581896165952170564324730092516286266118841005062382011803493961966912439338500328959743
e = 20912068408571562329765690555061159289641629285082404210189101064954330953315593257557260077525915152641073106397431556875680393639301995231540409600633056790407217644109479375811025952060540276714119842291972532268686811648476477127818267411283106601195166099848608860814911133056759210847640244371352294577674757844032344743192797680553522630615249481210459669536735468283778508143359159893770374788694416907786510825727199111604249000530550012491935109887922826382346971222271516625157446929215544796309806757863550058676780306722906895167581167203804721314732494889662194466565293268848629536070864750745494338531
e = 65537

n = p*q
d = inverse(e, (p-1)*(q-1))

key = RSA.construct(map(int, (n,e,d)))
print(key.exportKey().decode('utf-8'))

以下のコマンドを実行して秘密鍵を生成します。

python genpem2.py > private.pem
openssl rsa -in private2.pem -out private2.pem.unencrypted

TLS 通信の復号

最後に暗号化された TLS 通信を作成した秘密鍵で復号します。

Wireshark で実際に Certificate メッセージを送っていたフロー上(パケット No.7)で、右クリックします。「プロトコル設定 > RSA keys list...」を選択します。

SSL Decryptというウィンドウで、「IP addres, Port, Protocol, Key File, Password」の列名の表が現れますので、以下のように入力します。Protocolとしてhttp,Portとして443を指定します。httpsと指定するわけではないことに注意して下さい。

192.168.0.39    443     http    /Users/......../private1.pem.unencrypted
192.168.66.129  443     http    /Users/......../private2.pem.unencrypted

すると、先程まで、SSL通信として中身が見えていなかった通信(No.12 と No.81)が以下のようにHTTPプロトコルとして通信が見えるようになりました。

12  2013-11-04 04:02:38.606914  192.168.66.129  192.168.0.39    HTTP    376 GET /flag.jpg HTTP/1.1 
81  2013-11-04 04:02:39.702174  192.168.66.129  192.168.0.40    HTTP    372 GET /flag.jpg HTTP/1.1

なお、こちらのデバッグとして、「プロトコル設定 > SSL debug file...」という項目でデバッグログの出力設定ができるので、こちらに出力されるログを見ながらデバッグすることが可能です。

最後の上記通信中でやりとりされていたjpgの画像ファイルを取り出します。 「ファイル(F) > オブジェクトをエクスポート > HTTP...(H)」を選択します。 最後にパケット49と125のファイルを選択してSaveします。

すると、2枚の画像ファイルが取り出されます。これらを組み合わせると、"FLAG_"で始まる文字列が取り出されます。画像のイメージはページ最後に載せておきます（答えは伏せています）。

補足

クライアントとして、ブラウザが提示する暗号スイートについて

SSL Labsの以下のサイトの実行結果により、ブラウザが提示する暗号スイートについて、確認してみました。

参照: SSL/TLS Capabilities of Your Browser

Chrome(バージョン: 63.0.3207.0（Official Build）canary （64 ビット）)を使用したところ、クライアントから提示される暗号スイートは以下のようになっていました。

TLS_GREASE_AA (0xaaaa)  -
TLS_AES_128_GCM_SHA256 (0x1301)   Forward Secrecy   128
TLS_AES_256_GCM_SHA384 (0x1302)   Forward Secrecy   256
TLS_CHACHA20_POLY1305_SHA256 (0x1303)   Forward Secrecy 256
TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256 (0xc02b)   Forward Secrecy  128
TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256 (0xc02f)   Forward Secrecy    128
TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384 (0xc02c)   Forward Secrecy  256
TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384 (0xc030)   Forward Secrecy    256
TLS_ECDHE_ECDSA_WITH_CHACHA20_POLY1305_SHA256 (0xcca9)   Forward Secrecy    256
TLS_ECDHE_RSA_WITH_CHACHA20_POLY1305_SHA256 (0xcca8)   Forward Secrecy  256
TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA (0xc013)   Forward Secrecy   128
TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA (0xc014)   Forward Secrecy   256
TLS_RSA_WITH_AES_128_GCM_SHA256 (0x9c)  128
TLS_RSA_WITH_AES_256_GCM_SHA384 (0x9d)  256
TLS_RSA_WITH_AES_128_CBC_SHA (0x2f) 128
TLS_RSA_WITH_AES_256_CBC_SHA (0x35) 256
TLS_RSA_WITH_3DES_EDE_CBC_SHA (0xa)   WEAK  112
(1) When a browser supports SSL 2, its SSL 2-only suites are shown only on the very first connection to this site. To see the suites, close all browser windows, then open this exact page directly. Don't refresh.

Firefox(55.0.3 (64-bit))を使用したところ、クライアントから提示される暗号スイートは以下のようになっていました。

TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256 (0xc02b)   Forward Secrecy  128
TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256 (0xc02f)   Forward Secrecy    128
TLS_ECDHE_ECDSA_WITH_CHACHA20_POLY1305_SHA256 (0xcca9)   Forward Secrecy    256
TLS_ECDHE_RSA_WITH_CHACHA20_POLY1305_SHA256 (0xcca8)   Forward Secrecy  256
TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384 (0xc02c)   Forward Secrecy  256
TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384 (0xc030)   Forward Secrecy    256
TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA (0xc00a)   Forward Secrecy     256
TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA (0xc009)   Forward Secrecy     128
TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA (0xc013)   Forward Secrecy   128
TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA (0xc014)   Forward Secrecy   256
TLS_DHE_RSA_WITH_AES_128_CBC_SHA (0x33)   Forward Secrecy   128
TLS_DHE_RSA_WITH_AES_256_CBC_SHA (0x39)   Forward Secrecy   256
TLS_RSA_WITH_AES_128_CBC_SHA (0x2f)     128
TLS_RSA_WITH_AES_256_CBC_SHA (0x35)     256
TLS_RSA_WITH_3DES_EDE_CBC_SHA (0xa)   WEAK  112

プロフェッショナル SSL/TLSには、以下のような記述がありますが、上記の通り、必ずしも現時点では、ブラウザ等の実装でそうではなさそうです。

現在、TLSでは3つの鍵アルゴリズムに対応しておますが、そのうちで完全に実用的といえるのは1つ、RSAのみです。DSAはかなり以前から見捨てられており、ECDSAはこれから数年かけて利用が広がるアルゴリズムです。

(引用: プロフェッショナル SSL/TLS https://www.lambdanote.com/products/tls )

作成したpem形式の秘密鍵のフォーマットの形式確認方法

作成したpem形式の秘密鍵のフォーマットが正しいかを確認する方法があります。

private1.pem.unencryptedについては、以下のコマンドを実行します。

$ openssl asn1parse -inform pem < private1.pem.unencrypted

以下の結果が出力されます。

    0:d=0  hl=4 l=1187 cons: SEQUENCE          
    4:d=1  hl=2 l=   1 prim: INTEGER           :00
    7:d=1  hl=4 l= 257 prim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
  268:d=1  hl=2 l=   3 prim: INTEGER           :010001
  273:d=1  hl=4 l= 257 prim: INTEGER           :96B06F11EC45AA380336218A27CA10FD5126AAE6F33DC8B35079B7E20519A2584C7BD3984D45143F95AA548F873A94BAEB6762F745CD801650FD02C7FFF67E1B586D3F4C09FB5D3365D583C224C091F3C05F0E4F1302896A8B3FE2FDE6053540E61D6F234DACCE5D0E67B7C4014CBCA0EDF229C5E17AA1EDD01361F963B525EBBEAA2BAB232940ACFFB08F2683A291BF28F803B37360CE3A8B4875D1DAEB34A6D0A90D9E4B8EA29AEC615B71329221B3C2F46DCA19B80B96540BCE135716DC46E5B3B320257B0593BFF2C74D0388E20A4597EF0AACA32340F569B0BB53ED9DA811E5959A89800624EEA057224254D20C9C257FD08A570F6F6E946F7D20734F01
  534:d=1  hl=3 l= 129 prim: INTEGER           :C6941FD1FD3DEDF69080356F0C76E2497F2569519BCEFFF5DC72B63FAE2F352ED1F4EFB254FCDDB45979216C9164FF946234A3EFDD0143747F55380E003BECCED49D04A8E2A1F35586C3A15C3B81EE1FB18D8528C02C2A0FA29209E4621C316DFA4FF4FA400D3EC4AA900F631AF61E6BB6F0D1EDA6F2FBF8E10E15B51B7D171D
  666:d=1  hl=3 l= 129 prim: INTEGER           :D58E882C1BE40C480E11A517C3DEEECDBBE5FD02EBE7A9F1F5F4E47CF8CD1B6443888238CB4A3424913487744D5DE2EC32D7DAFCB4A53B23DFED9A1261B3E9C7FE5AF4534908D0F700ED15402598C2E0C36880D8C999BA8A560D963728AE21E02D39FCDB6D118E88175BD89033B08D2958A7E8D0EFA7A26A2A7E3E1D1D42AEFF
  798:d=1  hl=3 l= 128 prim: INTEGER           :4CDC0C2CE4CDD18AFB8704278535868457F80CF98F4AE17B31E61C702D650C3AA0FD22C16D6FAA0822116644754A183A40808B6B4DA92D88ABB83A48010330B72547D903DD243DE0BE967DA00B5050F0677295359E9BF973AFC2C29D68F3EC95DAAA93F14055601412C84B8C5A652485207BB965389717BBCEAFFAEAEC46D069
  929:d=1  hl=3 l= 128 prim: INTEGER           :71C005D058DAD39FDDBE904D644B6EAFAF1205FE74616528387644EE3C28241AF7CDD26F25F95464D5E340F335F278588F8C625C906C22602D7A85C29CC0141A2EE58B9681246D09E438644552C157AC18E9A517D3EA4A6E3CFFE7AF61BFBED385C38967E7649EA2E6AE496025E83888796C969A13CD1AB9AA00AC5D1DA4D349
 1060:d=1  hl=3 l= 128 prim: INTEGER           :79F4EEF19181750A4313AF2495331ED2AB837D54CB2D9447FC40A5B92383ACB44F28186405DD8C400650B1E87DB84981CC250C6CE00120319CD6AD00CEE30E48D59F6E1983AEBA91D57A47DBF072A0A13CAEE426DED9E5635895780746DADAACD568E70B7462FBA117CE8F869D447CBBF2753CCE8FC6BD4934EE4D112EEB9AA2

同様にprivate2.pem.unencryptedについては、以下のコマンドを実行します。

$ openssl asn1parse -inform pem < private2.pem.unencrypted

以下の結果が出力されます。

    0:d=0  hl=4 l=1186 cons: SEQUENCE          
    4:d=1  hl=2 l=   1 prim: INTEGER           :00
    7:d=1  hl=4 l= 257 prim: INTEGER           :A4DAAD49EAE0B5C59DA0452978AE987E1B96F149DEDB62274C97F99AC4544AA90DB4AAF9A0967F118B7009097BCB0BAEB4A19636777A7747E06AD84496C9C61D18A7B5CA776585A817526ED6D9F0F2ABD8C434C62CBF025EB7CE5A83E4A7F9938F3862DE24E6292F43eifjccfuvccgdgniddrfugibhlthkkucegrjvfifikhc
    270FFDA757C17AAA797FF9FE18FD1CB23921DC585D4550384FF5C4F24E6DFC6D4F44B569345808239247C20D266CD0F5E373889ED4E459590B7D742D2837C1C48DCF9418E22191AB4A0BCA0ED79B1D45C0CA5D36EA6960C9360C11412329FD5D90FF3467F2D82E23021ADF3B6D8BE24903B76EFFC938154EC219F344118F1C41FEC31171B62945A07E35762A961A05795389086052DEC7
  268:d=1  hl=2 l=   3 prim: INTEGER           :010001
  273:d=1  hl=4 l= 256 prim: INTEGER           :30DFFC5C5BDC7F47B571DCCF6CCE26BBCCA635A7370147DA6AE4EBC5ACCB68CF32170C51B200AC6FA12D78206DA9472F66B2397CB0738885B0CD3C8D293F6D13174A31A5733C9021C3B856D0301135812965125866CFC27E1E7479757D0728014D86E419044B908E48947E332FB7DECEE557DC4F5BBC40DE8F204D1FACBB0A5F424B3B658651BD0F2F704D81F7E51DA39A6C37D6BDB7E0A256859735FB4AA0B3100CC352EAB05F35D499B3AB73BECC22433013D6F72AAD5F57B4D5B242EA8176102D2E4393BEF21772538A27D6A4D7137777B0A41B3120E9EF0FE3099A78F454775FEA44FF8978996401D1E474AE8704E25B5F329099E364CA6F677A2E275B61
  533:d=1  hl=3 l= 129 prim: INTEGER           :C59E3A2D1E4F9084A4D06997B987D39FC007C0BBD781C4658860D8BA81D7AB0D94A19548BDF92EEEB4EC3CDB6BFDABF674C09FC0A34C96488ABD8936671BB888AB9D0E825CF0FA93E33A6CA9CE9BFDA28F1F39E63EF426274771F3A9F9109D6554B34801C29FDF3BC03DCEFDA3469F2609E8AC02B32A48B82360B78B15EE1839
  665:d=1  hl=3 l= 129 prim: INTEGER           :D58E882C1BE40C480E11A517C3DEEECDBBE5FD02EBE7A9F1F5F4E47CF8CD1B6443888238CB4A3424913487744D5DE2EC32D7DAFCB4A53B23DFED9A1261B3E9C7FE5AF4534908D0F700ED15402598C2E0C36880D8C999BA8A560D963728AE21E02D39FCDB6D118E88175BD89033B08D2958A7E8D0EFA7A26A2A7E3E1D1D42AEFF
  797:d=1  hl=3 l= 128 prim: INTEGER           :07BB3D036EE026034A7F6CE226BC0DA77E57CF4E8A0BE5A72342C6B7E5448EC8A53BFD1F2F6F844A8A81839002159698B9D09F6F65F4251D097088E1BBFEF5A543318DD3C3D719B697793DAF170A3B4E14D35FEC8621FF2C223B6F1103518716E3CD6FCFC1D187664B0B200204554AFCADFE905C3AAE38D21B70393E13C990E1
  928:d=1  hl=3 l= 128 prim: INTEGER           :71C005D058DAD39FDDBE904D644B6EAFAF1205FE74616528387644EE3C28241AF7CDD26F25F95464D5E340F335F278588F8C625C906C22602D7A85C29CC0141A2EE58B9681246D09E438644552C157AC18E9A517D3EA4A6E3CFFE7AF61BFBED385C38967E7649EA2E6AE496025E83888796C969A13CD1AB9AA00AC5D1DA4D349
 1059:d=1  hl=3 l= 128 prim: INTEGER           :35D4716BF825CA1701850D080F507CA4C757B692BCBF641FD1E47EFE264832CE90308FC1B3530570634E988907DF27404D9E4E1191810EBB5A841337C09ADE3613315E26F55CC18951AA1D21A24847AFCA30ED5B2FFAC88E63453D1DF6476B6C90A6A56930FBC79B5EBBB556C5BE8BE495DA5D02DAA10C3006712A6145F92791

上記について、先程のRSAのASN.1での定義を表現したものに対応しています。

RSAPrivateKey ::= SEQUENCE {
    version           Version,
    modulus           INTEGER, -- n
    publicExponent    INTEGER, -- e
    privateExponent   INTEGER, -- d
    prime1            INTEGER, -- p
    prime2            INTEGER, -- q
    exponent1         INTEGER, -- d mod (p-1)
    exponent2         INTEGER, -- d mod (q-1)
    coefficient       INTEGER, -- (inverse of q) mod p
    otherPrimeInfos   OtherPrimeInfos OPTIONAL
}

private1.pem.unencryptedの場合、以下のように対応することが分かります。

version = 00
modulus(n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

publicExponent(e) = 010001
privateExponent(d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

prime1(p) = C6941FD1FD3DEDF69080356F0C76E2497F2569519BCEFFF5DC72B63FAE2F352ED1F4EFB254FCDDB45979216C9164FF946234A3EFDD0143747F55380E003BECCED49D04A8E2A1F35586C3A15C3B81EE1FB18D8528C02C2A0FA29209E4621C316DFA4FF4FA400D3EC4AA900F631AF61E6BB6F0D1EDA6F2FBF8E10E15B51B7D171D

prime(q) = D58E882C1BE40C480E11A517C3DEEECDBBE5FD02EBE7A9F1F5F4E47CF8CD1B6443888238CB4A3424913487744D5DE2EC32D7DAFCB4A53B23DFED9A1261B3E9C7FE5AF4534908D0F700ED15402598C2E0C36880D8C999BA8A560D963728AE21E02D39FCDB6D118E88175BD89033B08D2958A7E8D0EFA7A26A2A7E3E1D1D42AEFF

exponent1(d mod (p-1)) = 4CDC0C2CE4CDD18AFB8704278535868457F80CF98F4AE17B31E61C702D650C3AA0FD22C16D6FAA0822116644754A183A40808B6B4DA92D88ABB83A48010330B72547D903DD243DE0BE967DA00B5050F0677295359E9BF973AFC2C29D68F3EC95DAAA93F14055601412C84B8C5A652485207BB965389717BBCEAFFAEAEC46D069

exponent2(d mod (q-1)) = 71C005D058DAD39FDDBE904D644B6EAFAF1205FE74616528387644EE3C28241AF7CDD26F25F95464D5E340F335F278588F8C625C906C22602D7A85C29CC0141A2EE58B9681246D09E438644552C157AC18E9A517D3EA4A6E3CFFE7AF61BFBED385C38967E7649EA2E6AE496025E83888796C969A13CD1AB9AA00AC5D1DA4D349

coefficient((inverse of q) mod p) = 79F4EEF19181750A4313AF2495331ED2AB837D54CB2D9447FC40A5B92383ACB44F28186405DD8C400650B1E87DB84981CC250C6CE00120319CD6AD00CEE30E48D59F6E1983AEBA91D57A47DBF072A0A13CAEE426DED9E5635895780746DADAACD568E70B7462FBA117CE8F869D447CBBF2753CCE8FC6BD4934EE4D112EEB9AA2

q の値で素数であることの確認

以下のPythonのファイルを用意します。

def is_prime(q):
    q = abs(q)
    if q == 2: return True
    if q < 2 or q&1 == 0: return False
    return pow(2, q-1, q) == 1

def main():
    x = 149964660518396798660782215517197000054264985822608779681144262791391323000835825727277636178043097046988857828384650158626906824855399961360412435818827649355003329726451846544435103030378220357694459358803967598155925736581896165952170564324730092516286266118841005062382011803493961966912439338500328959743
    z = is_prime(x)
    print z

if __name__=="__main__":
    main()

上記ファイルを実行すると、以下の結果が出力されます。

True

取得した画像

正常に完了した場合、以下のような画像を取り出すことができます。

PreviousTLS 入門Nextオンプレ側ルーター(Cisco 1812J, Juniper SRX210, YAMAHA RTX 1210)から Direct Connect へ BGP 設定

Last updated