hotmailにログインできない事象

一番最初の投稿で、同一ネットワークセグメントからの接続で、正常にログイン出来る端末がありましたので、

ネットワークによる問題ではないと見ている、としておりましたが、調べてみた結果、ネットワークの問題も要因

の一つの可能性がありますので撤回致します。

先に投稿しております通り、当方の環境で問題となっていたのは中間証明書の認証であります。

本日、一度もOutlook.comに接続したことがないWindows 8.1の端末で試しましたところ、

IEでは「この Web サイトのセキュリティ証明書には問題があります。」のエラーの状態で、

「このサイトの閲覧を続行する」をクリックすることで見れる状態でした。この時点で、中間証明書は

ダウンロードされておらず、サーバ証明書が認証されていない状態でした。

その状態でGoogle ChromeをインストールしてOutlook.comに接続してみたところ、

Chromeでは「この接続ではプライバシーが保護されません。」のエラーで見られない状態でした。

IEでは見られて、Chromeでは見られないのはそれぞれのブラウザのポリシーの違いかと思います。

ログインページ（login.live.com）のサーバ証明書は有効期間の開始日が2013年10月23日のもので、

CRLの配布ポイントがhttp://EVIntl-crl.verisign.com/EVIntl2006.crl

OCSPレスポンダがhttp://EVIntl-ocsp.verisign.com

AIAがhttp://EVIntl-aia.verisign.com/EVIntl2006.cer

のものですので、ログインページまでは問題ありませんでした。

しかし、ログイン後のメールページ（mail.live.com）のサーバ証明書は同開始日が2014年5月13日のもので、

CRLの配布ポイントがhttp://sb.symcb.com/sb.crl

OCSPレスポンダがhttp://sb.symcd.com

AIAがhttp://sb.symcb.com/sb.crt

とVerisign（現シマンテック）の内部的な変更により、2014年5月から証明書プロファイル情報とURLに

変更があったようです。下記URLのPDFのグローバル・サーバID EVが該当箇所です。

https://www.verisign.co.jp/ssl/about/pdf/201405\_CertProfileUpdateTC.pdf

当方の環境では、会社に入れているアプライアンスサーバのWebフィルターのカテゴリでCRLとAIAのサーバが

アクセス禁止になっておりました。（symcbとsymcdなので一目に分かりにくいですが。）

当社の入れているアプライアンスサーバのカテゴライズでは

symcb.comは2014-04-22に「意味のないコンテンツ」に分類されており未だ変更なし、

symcd.comは2014-08-11に「情報技術(IT)」に分類変更されておりました。

そして当社では「意味のないコンテンツ」をカテゴリで禁止しておりますので、それに引っ掛かっておりました。

CLRにアクセス出来なくてもOCSPレスポンダにはアクセス出来るため、失効（破棄）情報の検証は問題なく

行うことが出来ても、AIAにアクセス出来ない為、中間証明書がダウンロード出来ずエラーとなっておりました。ネットワークの制限を一時的に解除してアクセスしたら中間証明書がダウンロードされ、問題なくログインが可能となりました。

6月の情報ですが、sb.symcd.comとsb.symcb.comがセキュリティソフトのノートンファミリーで（あろうことか）

カテゴリ遮断（未分類）されていたというブログ記事も見付けましたので、他のセキュリティソフトでも同様に

制限が掛かっている可能性はあるかと思います。

ログイン出来る端末があったのは2014年5月以前に既にアクセスしたことがあり、中間証明書がダウンロード

されていたからだと推測されます。ログイン出来ていたのに急に出来なくなった件は、確実ではありませんが、

CRL（証明書失効リスト）の有効期限が1週間なのと関係があるかも知れません。例えばOCSPレスポンダが

正常に作動せず、もしくはCRLが優先されてアクセスに行ったが接続できず証明書の検証が出来なかった等。

一度クライアントにダウンロードされた中間証明書が消えることがあるのかはまだ分かりません。

https://ssltools.websecurity.symantec.com/checker/views/certCheck.jsp

上記URLのSSL Toolboxでそれぞれのサーバを調べてみると、

login.live.comは特に問題なく、ルートまで認証されていますが、

mail.live.comは証明書チェーンの更新の推奨を示されており、古いブラウザは認識しない可能性が示唆されております。

login.live.comのサーバには中間証明書がインストールされているが、mail.live.comのサーバには中間証明書がインストールされていない、等何か変わったところはないでしょうか？

また、該当するかどうか分かりませんが、別の認証局であるdigicertではMicrosoft社のサーバは、

自動的に中間証明書を返す際に正しい中間証明書が選択されない場合があると記載していました。

http://www.digicert.ne.jp/howto/basis/windows-cross-signed-chain.html

login.live.comのサーバ証明書の有効期間が2014/10/24までですので、更新されるかと思いますが

更新時にもれなくURLがシマンテックの新しいドメインに移行すると思いますので、もし上記の現象でログイン

出来なくなっているような場合は、今度はログインページにもアクセス出来なくなるような気がします。

以上、取り急ぎ調べて分かったことをご報告致します。

メーカーはほったらかしですね。

一方的現状報告です。すみません。

この1週間位でgalaxy tab 10.1で症状が数回でています。

スリープからの復帰30回位のうちランダムに3回です。

再起動はしていません。

ブックマークのOutlook.comでダメになると、ブックマークのOneDriveは開きますが下矢印からのアクセスもダメです。2～3分で数回試してもダメです。忘れたころに試すと治ってる状況です。

それと10/15の朝、galaxy tab 10.1のブックマークからOutlook.comだけが消えました。

同期中のxperia z ultraとwindows8.0には残っています。怖くてそのままにしています。

たった今galaxy tab 10.1で試してみました。

ブックマークからOutlook.comが消えているのでOneDrive下矢印からですが開きました。

しかし、1週間ほど試していなかったxperia z ultraのブックマークからのOutlook.comがダメです。

OneDriveは開きますが下矢印からのOutlook.comアクセスもダメです

もうミステリーです。

saddysaddy さんberry_citrusさんには感謝しています。

実は、再発しています。

現状をsaddysaddyへの返信に記しますので参考にして頂けたらありがたいです。

それと、丁寧で解り易いご説明ありがとうございます。

まだぼくには複雑ですがタップ場所まで指示いただいて助かります。

時間を見つけてやってみます。

スグできなくてすみません。

saddysaddy さん

Microsoftからの見解があるまで詳細な手順は載せず、どのように確認できるかのみ記載していました為

分かり辛いものだったかと思います。せっかく試して頂いたのにうまくいかなかったようで申し訳御座いません。

当方の環境での解決策となりました中間証明書のインストールについて説明させて頂きます。

＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝

【エクスポート】

まず前提として、正常な中間証明書が必要となります。

A.正常にログインできる端末から証明書をエクスポート、

B.もしくはhttp://sb.symcb.com/sb.crtからダウンロード、

してください。

A.エクスポートの手順　（正常にログイン出来る端末で）

1.[スタート]ボタンをクリックし、検索ボックスに「certmgr.msc」と入力してEnterキーを押します。

　※管理者のパスワードまたは確認を求められた場合は、パスワードを入力するか、確認情報を提供します。

2.[中間証明機関]　を開き、その下の[証明書]をクリックします。

3.右側ペインのリストの中から発行先が「VeriSign Class 3 Extended Validation SSL SGC CA」となっている

　証明書をダブルクリックして開きます。

4.[証明書のパス]タブの[証明書の状態]が「この証明書は問題ありません。」となっているのを確認して下さい。

5.次に[詳細]タブのフィールドの[シリアル番号]をクリックして、

　「11 2a 00 6d 37 e5 10 6f d6 ca 7c c3 ef ba cc 18」と下のボックスに表示されるのを確認して下さい。

6.問題がなければその下の[ファイルにコピー]ボタンを押します。

7.証明書のエクスポートウィザードが開きますので[次へ]で進めていきます。形式もデフォルトで構いません。

8.ファイル名の入力を求められますので、[参照]ボタンを押して、デスクトップなど分かりやすいところに

　ファイル名を「中間証明書」と入力して保存してください。（名前は何でも良いです）

9.ウィザードは次へを押して、完了です。

10.この保存した「中間証明書.cer」ファイルを、ログインできない端末で見られるように、USBメモリや共有フォルダなどにコピーしてください。

B.保存の手順　（ログイン出来ない端末で良いです）

1.「http://sb.symcb.com/sb.crt」にアクセスして保存するだけです。

【インポート】

エクスポートした証明書（もしくはダウンロードした）証明書を、ログイン出来ない端末にインストールします。

インポートの手順　（ログイン出来ない端末です）

1.先程コピーした「中間証明書.cer」ファイル（もしくは「sb.crt」）を、ログインできない端末でダブルクリックで

開きます。

2.[証明書のインストール]ボタンをクリックしてください。

3.証明書のインポートウィザードが開きますので[次へ]をクリックしてください。

4.証明書ストアで、自動でもいいのですが念の為、「証明書をすべて次のストアに配置する」にチェックし、

　[参照]ボタンをクリックしてください。

5.証明書ストアの選択フォームが開きますので、[中間証明機関]を選択し、[OK]をクリックしてください。

6.[次へ]で完了です。

＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝

操作としては以上となります。

IEで動作確認される際は

・IEの設定から、[インターネットオプション]→[コンテンツ]→[SSL状態のクリア]。

・(IE)信頼済みサイトに「*.live.com」の追加。

が必要かと思います。

会社の制限によっては管理者権限を必要とする場合があるかと思います。

問題がなければ参考にして頂ければ幸いです。

また、もしhttp://sb.symcb.com/sb.crt、http://sb.symcd.com/ へのアクセスに制限が掛かっているようでしたら教えて頂きたいです。

※一部修正しました。

berry_citrusさん

解決策の返信ありがとうございます。

私もそれほど知識があるわけではないので頂いた解決策を少しずつ試して

解決に向けて動いていきたいと思います。

今後も何か分かりましたら、是非ご教示の程よろしくお願いします。