CA Certificate Checker

このツールは何のためにあるのか

ca-checker は、証明書を発行・配布するためのツールではありません。いま自分の環境が信頼している証明書が、本当に信頼してよい状態かを確認するための「信頼の点検ツール」です。

証明書は、ファイルやストアに置いてあるだけでは安全ではありません。有効期限が切れていないか、弱い署名アルゴリズムを使っていないか、発行者とのつながりが正しいか、失効していないか。これらを確認して初めて、証明書は「信頼の鎖」として機能します。ca-checker は、その鎖を人間にも機械にも扱いやすい形で可視化します。

ca-checker が答えるのは、次の4つの問いです。

1. この証明書は、いつまで有効か

   有効期間の開始前・期限切れ・期限間近を判定します。期限警告日数は 7 / 30 / 90 / 180 日から選べ、設定ファイルにも保存できます。

2. この署名は、十分に強いか

   MD5 や SHA-1 など、現在では弱いとされる署名アルゴリズムを検出します。

3. この証明書は、信頼の起点までつながっているか

   ルート CA・中間 CA・リーフ証明書の連なりを rustls-webpki で検証します。自己署名証明書や未信頼のルートも区別して表示します。

4. この証明書は、失効していないか

   証明書に記載された CRL Distribution Point と OCSP Responder を使って失効状態を確認します。有効・失効・不明を区別し、取得できなかった理由も表示します。

できないこと: 秘密鍵の管理、証明書の発行、HSM / スマートカードの操作、CT ログの照会は行いません。また、失効確認は証明書に記載された CRL / OCSP エンドポイントに依存するため、ネットワークや提供元の状態によって「不明」になることがあります。ca-checker は専門的な PKI 運用を置き換えるものではなく、日々の確認を手早くするための補助ツールです。

ダッシュボード

起動すると OS の信頼ストアを読み込み、証明書ごとの状態を一覧化します。フィルタで絞り込み、行を選ぶと詳細と PEM を確認できます。

主な機能

証明書のパースからチェーン検証、失効確認、ファイルインポート、通知、JSON 出力まで。GUI と CLI で同じ検証エンジンを使います。

検証ステータス

証明書は次のいずれかの状態で分類されます。Valid と ExpiringSoon が正常扱いです。

統計と可視化

ダッシュボードは数字の羅列ではなく、状態の偏り・期限の山・発行者の集中をひと目で把握できるように構成しています。棒や凡例をクリックすると、そのまま一覧のフィルタになります。

図の数値はサンプルです。実際の統計は GUI が OS 信頼ストアから起動時に集計します。Mermaid は CDN から読み込むため、オフラインでは図が表示されず、グラフ定義のテキストがそのまま残ります。

使い方

1. ビルドする

   Rust 1.85 以上が必要です。macOS で GPUI をビルドする場合は Xcode の DEVELOPER_DIR を指定してください。

   git clone https://github.com/watanabe3tipapa/ca-checker.git
   cd ca-checker
   export DEVELOPER_DIR=/Applications/Xcode.app/Contents/Developer
   cargo build --workspace

2. GUI を起動する

   OS の信頼ストアを読み込み、ダッシュボードを開きます。Import から証明書ファイルやフォルダを追加でき、Settings で期限警告日数・通知・失効確認モードを変更できます。

   cargo run -p app

   失効確認を有効にしたら、証明書の詳細画面で「Check revocation」を押します。Terminal タブではローカルシェルを起動できます。

3. CLI で検証する

   OS の証明書一覧、ファイルの詳細、チェーン検証、失効確認、通知、設定ファイルの表示、リモート証明書の取得と検証を実行できます。

   # 設定ファイルを初期化する
   cargo run -p cert_cli -- config --init
   
   # OS 信頼ストアの一覧
   cargo run -p cert_cli -- list-os
   
   # 証明書ファイルの詳細
   cargo run -p cert_cli -- inspect certificate.pem
   
   # ルートを明示してチェーン検証 + CRL / OCSP 失効確認
   cargo run -p cert_cli -- verify leaf.pem \
     --chain intermediate.pem \
     --trust root.pem \
     --revocation both
   
   # 期限切れ・期限間近をデスクトップ通知する
   cargo run -p cert_cli -- notify
   
   # リモートサーバーのチェーンを OS 信頼ストアで検証
   cargo run -p cert_cli -- verify --host example.com
   
   # ディレクトリを再帰スキャン
   cargo run -p cert_cli -- scan /path/to/certs --json
   
   # リモートサーバーが提示するチェーンを取得（検証なし）
   cargo run -p cert_cli -- fetch example.com --json

   設定ファイルの場所は ~/.config/ca-checker/config.toml です。--config PATH で別のファイルを指定できます。

# 取得と検証を一度に実行
cargo run -p cert_cli -- verify --host example.com --json

# サーバーが提示したチェーンをそのまま表示（検証なし）
cargo run -p cert_cli -- fetch example.com --json

プロジェクト構成

ca-checker/
├── Cargo.toml              # Cargo workspace
├── crates/
│   ├── cert_core/          # ドメインモデル、パース、検証エンジン
│   ├── cert_infra/         # ファイル / OS 信頼ストア / ネットワーク
│   ├── cert_cli/           # CLI バイナリ (cert-cli)
│   └── app/                # GPUI アプリケーション (ca-checker)
├── docs/                   # GitHub Pages ランディングページ
└── .github/workflows/      # CI / Pages デプロイ

現在の制限

• fetch はサーバーが提示したチェーンを取得するのみで、その場では検証しません（verify で明示的に検証してください）
• GUI のファイル選択は対応済みですが、ウィンドウへのドラッグ＆ドロップは未対応
• OCSP の nonce 検証は未対応
• Windows は未対応
• wterm は Web 専用のため、GUI 内では GPUI ネイティブの PTY ターミナルを使用
• GPUI は pre-1.0 のため、アップグレード時に API 変更が発生する可能性あり