HTTPSを使ってもCookieの改変は防げないことを実験で試してみた
寺田さんのブログエントリ「他人のCookieを操作する」には、通信路上の攻撃者がいる場合は、SSLを使っても、Cookieの盗聴を防ぐことはできるが、Cookieの改変を防ぐことはできないと指摘されています。いかにも寺田さんらしい簡にして要を得たエントリで、これに付け加えることはあまりないのですが、残念ながらまだ読んでいない人が多そうだと言うことと、より広い読者に向けて具体的に説明した方がよいだろうと考えました。 そこで、通信路上に攻撃者がいる典型例として、公衆無線LANの偽AP（アクセスポイント）があるケースを題材として、「HTTPSを使ってもCookieの改変は防げない」ことを説明します（Secure属性使うと盗聴は防げますが、改変は防げません）。長いエントリなので結論を先に書いておきます。 Secure属性がないCookieはHTTPSでも盗聴できる Cookieの改変についてはSe
Why am I getting infinite redirect loop with force_ssl in my Rails app?
I want to have my API controller use SSL, so I added another listen directive to my nginx.conf upstream unicorn { server unix:/tmp/unicorn.foo.sock fail_timeout=0; } server { listen 80 default deferred; listen 443 ssl default; ssl_certificate /etc/ssl/certs/foo.crt; ssl_certificate_key /etc/ssl/private/foo.key; server_name foo; root /var/apps/foo/current/public; try_files $uri/system/maintenance.h
『03.Google App Engineで独自ドメイン＆SSL(1/2)』
・前編 App Engineの独自ドメイン設定方法(SSLなし・最新UI対応版) ・後編 App Engineの独自ドメイン＆SSL設定方法 CA Beat エンジニアリーダーのヤマサキです。 Google App Engineでは少し前まで独自ドメインでSSLを使うことができませんでした。 これを理由にGoogle App Engineの導入を見送ったケースもあるかと思います。 実際に私が前職で「新規サービスで利用するクラウド環境の選定」をする際にも マイナス要因とされてしまいました。 しかし、現在のApp Engineは独自ドメインでもSSLを使うことができるようになっています。 今回から2回に渡り、Google App Engine上に 「独自ドメインを使ったSSL対応スマートフォン向けWebサイト」 を作ることを目的に解説していきます。 説明の都合上"SSLなしの独自ドメインの設定
deferloader
salesforceアクションをボタンで配置～レイアウトは好きにさせて！～ By hiko|11月 20, 2018|salesforce, Salesforce.com, | こんにちは。営業部の彦部です。 最近めっきり寒くなりましたがいかがお過ごしでしょうか。 先週、「コールセンター/CRMデ… Read More
StartSSL™ Certificates & Public Key Infrastructure - StartSSL™ Home
StartCom CA is closed since Jan. 1st, 2018, it doesn't issue any new certificate from StartCom name roots. If you want to buy trusted SSL certificate and code signing certificate, please visit https://store.wotrus.com. If you want to apply free email certificate, please visit https://www.mesign.com to download MeSign APP to get free email certificate automatically and send encrypted email automati
Nginx + SSL + Rails
普通に nginx をフロントに置いて、バックエンドに Rails を置いた場合の nginx の設定ファイルは、 半年くらい前に書いた。 これはこれで良いのだが、今度は HTTPS でもアプリケーションにアクセスしたくなった場合、 listen 80 の server セクションをコピーして、listen 443 で SSL を利用する server セクションを追加すれば良いだけの気もするのだが。 単純にコピーして SSL の設定をしただけだとはまることがある。 force_ssl Rails 3.x からだと思うが、ActionController に force_ssl というクラスメソッドが追加された。 # Force the request to this particular controller or specified actions to be # under HTTP
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
https://www.thesslshop.com/geotrust/quickssl-premium