証明書の取り扱い
全てのAccess WorldpayサービスはHTTPSを使用し、接続時にX509v3証明書を提供します。この証明書により、貴社が提供するサービスがWorldpayが所有するサービスであることを、接続している顧客(通常は貴社の顧客)は確認することができます。本書では、サービスの真偽を確認するために行わなければならない適切性チェックについて説明します。
適切性チェック
以下に、サービスが提供する証明書に対して実行しなければならない適切性チェックを示します。
注記:最新の言語の大半のTLSライブラリは、構成されていない限り、チェックを自動的に完了します。チェックは、開発およびテストの目的で無効になっている場合がありますが、本番システムでは無効にしないでください。
証明書の件名がホスト名と一致する
サービスは、subject代替name(subjectAltName
)フィールドに、顧客が接続しようとしているドメイン名を含む証明書を返さなければなりません。このフィールドの値のタイプは、完全修飾ドメインを示しているため、DNS
でなければなりません。
例:
Access Worldpayに接続するには:値タイプDNS
のフィールドsubject alternative name
またはsubjectAltName
は: https://access.worldpay.com
注記:証明書には、複数のサブジェクト代替名が含まれる場合があります。顧客が接続しようとしているドメイン名と一致する必要があるのは、そのうちの1つだけです。
証明書の有効期限
証明書には、証明書が無効になる日付を定義するnotBefore
とnotAfter
フィールドが含まれています。この日付以内のみが有効になります。
重要:システムの時刻は、インターネットタイムサーバーと同期しなければなりません。これにより、証明書の有効な時間枠が証明書の予想有効期限と一致することが保証されます。
証明書チェーンの有効性
顧客は、証明書チェーンの各署名を確認し、証明書が認証局によって定義されたポリシーに準拠していることを確認しなければなりません。TLSの全ての成功した実装は、これを自動的に実行しています。詳細については、ライブラリ/フレームワークの資料を参照してください。
全ての顧客には、通常、オペレーティングシステム、ブラウザ、またはアプリケーションフレームワークに組み込まれている信頼できるルート/トラストアンカーの一覧があります。DigiCert、Comodo、Microsoftなどの有名な企業からの証明書です。
Access Worldpay証明書は、全て署名済みのDigiCert証明書です。したがって、ルート証明書は、顧客ソフトウェアのランタイムにすでに存在している可能性があります。
不適切性チェック
以下は、以下の値が一定ではないため、顧客が完了してはならないチェックです。
注記:次の一覧は全てを網羅しているわけではありません。
証明書DN
証明書の"識別名(DN)"をキャッシュまたは保存して、提供された証明書と照合してはなりません。
証明書のDNは次の通りcurrentlyです。
C=GB, L=London, O=WorldPay (UK) Ltd, OU=GW2.0, CN=access.worldpay.com
重要:証明書を更新するときに、DNを変更できます。
証明書のフィンガープリント/サムプリント
証明書のフィンガープリントをキャッシュまたは保存して、提供された証明書と照合してはなりません。
フィンガープリントは、証明書の全てのプロパティを取得し、それらの値に基づいて単一の数値を生成することによって計算されるため、証明書に固有です。
重要:証明書を毎年更新されますと、証明書のフィンガープリントも変更されます。
公開キー
公開キーをキャッシュまたは保存して、提供された証明書と照合してはなりません。
必須ではありませんが、セキュリティのベストプラクティスであるため、更新の一環として公開キーを変更します。
重要:証明書を更新するときに、公開キーを変更します。更新は、有効期限の少なくとも7日前に行われます。