ApacheのTLS設定を2020年向けに更新する｜TechRacho by BPS株式会社
BPSの福岡拠点として一緒にお仕事をさせていただいています、株式会社ウイングドアのモリヤマです。 今回のテーマはTLS対応（触れるのはHTTPS化の設定に関するお話）です！ ネットワーク/インフラエンジニアの方々の領域に、ちょっとだけ学習の手を伸ばしてみました。 本記事はTLSへの理解度が下記の様な方々が対象です❗️ とりあえず通信を暗号化するやつって事は知ってる SSL/TLS対応は行った事あるが、詳しく考えたことがない セキュリティ関連にちょっとでも強くなりたい意志のある方 背景 ずいぶん前にAmazonLinux2で構築したサーバー(趣味関連ブログ用)がふと気になり、 SSL/TLSの設定ってデフォルトのままいじってないなーどうなってんだろう🤔 そして軽い気持ちでQualys SSL Labs SSL Server Test で脆弱性スキャンしたのがきっかけでした。 結果は『B』所
メンテナンス中画面を出す正しい作法と.htaccessの書き方 | Web担当者Forum
今回は、Webサイトやサービスをメンテナンス中にする場合に、どのURLにアクセスしても「メインテナンス中です」の画面を出す正しいやり方を、人間にも検索エンジンにも適切にする作法を主眼に解説します。 この週末の土曜深夜～日曜早朝にかけて、データセンターの設備メインテナンスのため、Web担を含むインプレスグループのほとんどのWebサイトが、どのURLにアクセスしても「メンテ中です」という表示になっていました。 なのですが、その実装がちょっと気になったので、「正しいメンテナンス画面の出し方」を説明してみます。 ※2010-01-16 Retry-Afterを指定するHeaderの指定を修正しました（コメント参照） ※2009-06-17 RewriteCondから [NC] 条件を削除しました（コメント参照） ※2009-06-16 Retry-Afterの記述をGMTに変更しました（コメント参
Apache Passengerの設定項目について調べた - HK's Weblog
PassengerはRailsを動かす事ができるアプリケーションサーバである。 Apache版の設定項目について調べたので自分用の備忘録として残しておく。 バージョン Passenger-4.0.37 http://www.modrails.com/documentation/Users%20guide%20Apache.html Configuring Phusion Passenger PassengerRoot http://www.modrails.com/documentation/Users%20guide%20Apache.html#_passengerroot_lt_directory_gt apacheのpassengerモジュールの置いてあるディレクトリを指定する。 普通はインストーラを実行した時に表示されるのでそれを使えばよい。rubyのインストール場所をかえた場合な
Apache での TLS1.0 と TLS1.1 の無効化と確認方法メモ
Yahoo! Japan が、2018年6月1日から TLS1.0 と TLS1.1 のサポートを順次終了して TLS1.2 のみのサポートに切り替えています。ここ数年、各社ウェブサービスでも TLS1.0 と TLS1.1 を無効化する動きもあり、今後 SSL/TLS のプロトコルは TLS1.2 以上に設定することが標準になるでしょう。そこで今回は、Apache httpd サーバーで TLS1.0 と TLS1.1 を無効にし、設定を確認する方法をメモしておきました。 参考資料：Yahoo!セキュリティセンター TLS1.0 と TLS1.1 を無効化する理由無効化する理由は、TLS1.0 と TLS1.1(実装にもよる)に POODLE（プードル）という暗号化通信を解読されてしまう脆弱性があるためです。 POODLE が発見された当初は、SSL3.0 のみがこの脆弱性の対象と思われ
ApacheとNginxの性能比較でevent_mpmの本気を見た
はい、これは僕がいつも良く見るApacheとNginxの性能差に見えます。大体、ApacheはNginxの75%程度の性能に落ち着きます。数十バイトの静的コンテンツに対するリクエスト処理はNginxの得意分野だと思っていたので、大体こんなものです。 そこで、真面目にevent_mpmのチューニングを行ってみました。で、幾度となくベンチを試した結果導き出した、静的コンテンツに対する同時接続数100程度に対して最高のパフォーマンスを示すevent_mpmの設定は以下のようになりました。 [program lang=’apache’ escaped=’true’] StartServers 4 MinSpareThreads 4 MaxSpareThreads 4 ThreadsPerChild 2 MaxRequestWorkers 2 MaxConnectionsPerChild 0 [/p
オレオレ (サーバ/クライアント) 証明書の発行
概要 証明書は認証局 (CA) が公開鍵 (をもとに情報を付加した証明書署名要求 (CSR; certificate signing request)) に署名をしたものです。一般的に証明書は公開鍵を内包しています。 証明書とか認証局についての簡単なまとめ: CA, X.509, PKI, 証明書ディレクトリ, 証明書破棄リスト(CRL) 暗号技術まわりの用語の簡単なまとめ: 公開鍵暗号, ハイブリッド暗号, サーバ証明書とクライアント証明書 上記ページで概念的に紹介した、サーバ証明書およびクライアント証明書を実際にコマンド例を示しつつ発行します。 認証局 (CA) を構築 証明書は認証局 (CA) が 証明書署名要求 (CSR; certificate signing request) に署名をしたものです。認証局 (CA) は秘密鍵を持っています。署名にはその秘密鍵を使用します。つまり
[Apache] Passenger の Basic 認証設定
Apache + Passenger で Basic 認証を設定したのでメモ。 myuser というユーザのパスワードファイルを作成する。 # htpasswd -c /usr/local/apache2/.htpasswd myuser Apache の設定ファイルを修正する。 # vim /usr/local/apache2/conf/extra/passenger.conf PassengerUserSwitching off PassengerDefaultUser app ServerName example.com DocumentRoot "/srv/example.com/current/public" ErrorLog "logs/example.com-error_log" CustomLog "logs/example.com-access_log" common A
自己証明書のhttpsサイトで証明書エラーを非表示にする手順 - Qiita
openssl req \ -new \ -key server.key \ -out server.csr \ -subj "/C=JP/ST=Tokyo/L=Tokyo/O=super_office.jp/OU=Web/CN=$(hostname)"
クライアント証明書を要求するサイトの構築（Apache+OpenSSL）その1 - Qiita
参考にしたサイト OpenSSL CSR生成スクリプト - dondari null-i.net - Linux/OpenSSL openssl apache クライアント証明書を要求するサイトの構築（Apache+OpenSSL）その2 - Qiita [キータ]書きました。 ランダムパスワード生成方法 多くのパスワードを作る必要があるのでpwgen使うと便利。 サーバ証明書の作成 1. 独自認証局の秘密鍵、ルート証明書(CA)の作成 C: 国名 (JP) ST: 都道府県 (Tokyo) O: 会社名 (My Company Ltd) OU: 部署名 (sales) CN:サーバーのドメイン名 (mycompany.co.jp:8000等。証明書の表示名に使われます。) cd /opt/ mkdir -p demoCA/{private,newcerts} cd demoCA echo
301でリダイレクトかけるとブラウザがキャッシュするので怖い | infra.xyz
これでcampaign.example.comにアクセスすると、example.comへリダイレクトされるようになった。 campaign.example.comをブラウザ（Chrome）で開いて確認、いやー、よかったよかった。 そしてさらに後日、またキャンペーンやることになった、とする。 折角だし、またcampaign.example.comでやればいいよねー、とRedirectディレクティブの設定を消す。 index.htmlをアップして、ブラウザ（Chrome）でcampaign.example.comを開くと・・・・なぜかexample.comへ飛ばされる！ え、なんで、リダイレクトの設定消してconfigtestしてApache再起動したし、なんならctrl+F5しちゃうよ？ でも何回F5叩いてcampaign.example.comを開いても、example.comへ飛ば
リバースプロシキ上でのbasic認証にハマったこと - Qiita
リバースプロシキでURLの転送をしている場合、basic認証がうまくかからないので その解決方法を書いていきます。 <VirtualHost *:80> ServerName example.com DocumentRoot "/var/www/html" ProxyPass / http://localhost:8800/ ProxyPassReverse / http://localhost:8800/ <Directory "/var/www/html"> Allow from all AuthType Basic AuthUserFile "/var/www/html/.htpasswd" AuthName "MY_HP" Require valid-user </Directory> </VirtualHost> <VirtualHost *:80> ServerName exa
Let’s EncryptによるSSLサーバー証明書の自動更新設定 | 稲葉サーバーデザイン
はじめに Let’s Encryptは、無料のSSLサーバー証明書発行プロジェクトです。 コマンドラインで証明書を自動発行、更新できるの、とても便利なサービスを提供しています。 ・Lets’ Encrypt (Official) https://letsencrypt.org/ ・Let’s Encrypt 総合ポータル（日本語の説明が詳しい非公式の解説サイト） https://letsencrypt.jp/ 以前、公開ベータプログラムだったときに記事を書いたのですが、その後、2016年4月12日に正式サービスとなりました。 ・Let’s EncryptでSSLサーバー証明書を取得してみた https://inaba-serverdesign.jp/blog/20151217/lets-encrypt.html 詳しいインストール手順は「Let’s Encrypt 総合ポータル」のLet’
Apacheで簡単にリバースプロキシ構築（SSL通信転送付き）
リバースプロキシサーバーの環境 Apache 2.2.3 + mod_proxyを使ってリバースプロキシを構築しています。OSは「CentOS5.6」。 httpd.confの編集 # vi /etc/httpd/conf/httpd.conf <IfModule mod_proxy.c> ←コメントアウトされているので、コメントインする ProxyRequests Off ←フォワードプロキシ機能の無効化 <Proxy *> ←プロキシ利用者のアクセス制御はここで設定 Order deny,allow Allow from All ←とりあえず全許可 </Proxy> <VirtualHost *:80> ← VirtualHostで80ポートを指定しないと、HTTPS(443)もここで処理されてしまう ServerName リバースプロキシのIPまたはFQDN:80 ←なくても動く？
リバースプロキシ使用時にApacheのログに実IPが出力されるようにする [俺の備忘録]
Google+ボタン はてなブックマークボタン 更新日時: 2012年11月24日（土） 作成日時: 2012年11月24日（土） 前の記事 / 次の記事 リバースプロキシを立てたら ApacheのログでIPアドレスが全部"127.0.0.1"になってしまったので修正。 【参考ページ】 ・Apache でプロキシ経由のリクエストからクライアントの IP アドレスを取得する http://www.geocities.jp/gronlijus/skill/apache/apache-custom-log1.html やること Apacheのログの出力フォーマットに "X-Forwarded-For" を追加する。 そのフォーマットが出力されるようにする。 まずApacheの設定ファイルを編集。 vim /etc/httpd/conf/httpd.conf LogFormat "%h %l %u
websec-room.com - websec room リソースおよび情報
This webpage was generated by the domain owner using Sedo Domain Parking. Disclaimer: Sedo maintains no relationship with third party advertisers. Reference to any specific service or trade mark is not controlled by Sedo nor does it constitute or imply its association, endorsement or recommendation.
HTTP/2とTLSの間でapacheがハマった脆弱性(CVE-2016-4979) - ぼちぼち日記
0. 短いまとめ 昨晩apache2.4でHTTP/2利用時にTLSクライアント認証をバイパスする脆弱性(CVE-2016-4979)が公表され、対策版がリリースされました。 実際に試すと Firefoxで認証バイパスができることが確認できました。 HTTP/2でTLSのクライアント認証を利用するには仕様上大きな制限があり、SPDY時代から長年の課題となっています。 この課題を解決するため、Secondary Certificate Authentication in HTTP/2という拡張仕様が現在IETFで議論中です。 1. はじめに ちょうど昨晩、apache2.4のhttpdサーバの脆弱性(CVE-2016-4979)が公開され、セキュリティリリースが行われました。 CVE-2016-4979: X509 Client certificate based authenticatio
Apacheのクライアント認証をしてみた。 | 黒ぶちメガネのblog
Apacheのクライアント認証設定をした時の備忘録です。 ■流れ 「www.example.com」にhttpsアクセスした場合、クライアントが証明書を持っていないと接続できないようにします。 ■サーバ使用OS CentOS 5.5 64bit ■クライアント使用OS Windows 7 64bit ■使用ソフト httpd.x86_64 0:2.2.3-43.el5.centos.3 mod_ssl.x86_64 1:2.2.3-43.el5.centos.3 ■作成するもの 自己CA証明書 自己サーバ証明書 SSLで使用するサーバの秘密鍵 署名要求ファイル(CSR) CAから署名されたファイル(CRT) クライアント証明書 ■クライアント認証の仕組み http://alk.dip.jp/apache2-default/sv290.html ■スクリプトについて 手順が長ったらしいので、
ComodoのSSL証明書をApache+mod_sslにインストール - Qiita
Nginx版は「ComodoのSSL証明書をNginxにインストール」を参照。 証明書の購入 *.domain.com と dmn.com の二種類必要だったので、Comodo EssentialSSL Wildcard と Comodo PositiveSSL を購入。 販売代理店私は当初 SSLs で申し込んだものの、後になって GoGetSSL の方が安い上に管理画面が充実している事が判明したため、 SSLs はキャンセル。SSLs はチャット、メールサポート共に対応は早い。 販売代理店はいくつか検討しましたが、低価格ながらもサイトの作りがしっかりしている販売代理店は以下の通り。 * GoGetSSL * CheapSSLSecurity * NameCheap * SSLs Comodo EssentialSSL Wildcard用の証明書の作成 秘密鍵の作成 $ cd /etc/
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
mod_headers - Apache HTTP サーバ
Windows7からApacheのWebDAVを参照する - developers note