TLS を利用するすべてのデバイスには証明書が必要です。そしてその証明書を、安全に、大規模に、そしてデバイスのライフサイクル全体にわたってデバイスへ配備することは、それ自体が一つの課題です。このたび弊社は、wolfSSL の上に構築したクライアント側証明書ライフサイクル管理のための新しい C ライブラリ wolfCert を公開しました。
wolfCert でできること
wolfCert は、アプリケーションやデバイスにおけるクライアント側の証明書ライフサイクル全体を扱います。
- PKI から CA 証明書とトラストチェーンを取得する
- 対応する秘密鍵をデバイス上で生成する。ソフトウェアでの生成も、セキュアハードウェアへのオフロードも可能
- 証明書署名要求を組み立てて送信し、発行された証明書を保存する
- 新しいエンドエンティティ証明書の登録を行い、更新時期が来たら再登録を行う
証明書登録プロトコルは 2 種類に対応しており、いずれも HTTP(S) 上で動作します。
- EST（RFC 7030）：対応するすべての鍵種別で利用可能
- SCEP（RFC 8894）：仕様に従い RSA で利用可能
EST は 2 つのうちより新しくモダンなプロトコルで、IETF による SCEP の後継です。しかし実運用されている PKI には依然として SCEP しか利用できないものが数多く存在するため、wolfCert では両方に対応しました。
鍵生成と署名は RSA、ECC、Ed25519、Ed448、そして特筆すべきものとして ML-DSA に対応しています。つまり、耐量子暗号の証明書を今日から取得できます。鍵は通常のソフトウェア鍵として扱うこともできますし、任意の HSM、TPM、PKCS#11 トークン、セキュアエレメントへオフロードすることもできます。wolfCert 自体は完全にハードウェアに依存しません。wolfSSL の CryptoCb インターフェースがそのオフロードの問題をすでに解決しているからです。また wolfSSL エコシステムの他の製品と同様に、潤沢なリソースを持つ高性能なデバイスだけでなく、最も制約の厳しい組み込みターゲットでも動作するように設計しました。
wolfSCEP の後継として
長くご利用いただいているお客様は、証明書登録用の SCEP クライアントである wolfSCEP をご存じかと思います。wolfCert はその後継製品です。wolfSCEP が得意としてきたものをすべて引き継ぎ、2026 年の標準とアルゴリズムに合わせて刷新し、SCEP に加えてより新しい証明書登録プロトコルを追加しました。現在 wolfSCEP をお使いであれば、今後はその機能を wolfCert が引き継ぎます。専用の移行ガイドも準備中です。
ぜひお試しください
wolfCert は GitHub の https://github.com/wolfSSL/wolfCert で公開中です。最も手軽に始められるのは wolfcert-client CLI です。PKI を指定するだけで、CA チェーンの取得と、EST または SCEP による証明書の登録または更新を、単一のコマンドで実行します。同じ処理をご自身のアプリケーションに組み込む段階になったら、examples/ ディレクトリで EST、SCEP、CryptoCb を利用した鍵それぞれについてライブラリ API の使い方を確認できます。
エンドツーエンドで簡単にお試しいただけるよう、wolfCert には wolfcert-server も同梱しました。これは自動生成されたローカル CA から証明書を発行する自己完結型の EST/SCEP サーバーで、外部の PKI を用意することなく数分で一連の登録処理を実行できます。現時点でサーバー側は本番環境ではなくテストやデモを想定したものですが、ご要望の高まりに応じて変わる可能性があります。
また wolfCert は、お客様がすでに運用されている PKI と連携できるように作りました。Smallstep の step-ca、Cisco の libEST、GlobalSign の EST サービス、MicroMDM SCEP サーバーといった一般的な EST/SCEP ツールとの相互接続テストを実施しており、対象は今後さらに増やしていく予定です。
wolfSSL エコシステムの他の製品と同様に、wolfCert はデュアルライセンスです。GPLv3 のオープンソースライセンスに加えて、製品に GPL ライセンスのコードを含めたくない開発チーム向けに商用ライセンスもご用意しています。
もし弊社製品についてご質問があれば、お問い合わせ窓口info@wolfssl.jpまでご連絡をお願い致します。
原文：https://www.wolfssl.com/introducing-wolfcert-modern-certificate-enrollment-for-embedded-devices/