fluentd 復習（2）〜 fluentd-plugin-secure-forward を利用したセキュアなログデータ転送〜 | iret.media
ども、 cloudpack の かっぱ (@inokara) です。 はじめに fluentd 復習シリーズ第二弾。fluentd-plugin-secure-forward をざっくりと試してみたい。 参考 tagomoris/fluent-plugin-secure-forward · GitHub Fluentd message forwarding with authentication and encryption fluent-plugin-secure-forwardを試してみた – MakeitSmart! fluent-plugin-secure-forward について 機能 fluent-plugin-secure-forward は以下のような機能を提供する。 SSL によるセキュアなデータ転送（自己証明書利用可能） 共有鍵を利用した認証によるデータ転送 ユーザー名
HAProxy チートシート（acl や SSL サポート等） | cloudpack.media
どうも、39 歳の cloudpack の かっぱ（@inokara）です。おっさんです。 はじめに HAProxy の acl 機能を利用して各種条件の振り分け設定についてメモってみます。 構成 振り分けを坦々（淡々）と… acl を使って振り分け HAProxy は機能大杉漣ですが、acl を使うことで柔軟でアクセスコントロールすることが出来ます。 HAProxy – acl 以下 acl を使って幾つかの条件による振り分け設定例を試してみたいと思います。 ホストヘッダによる振り分け frontend kappa-test bind 0.0.0.0:80 acl hage hdr(host) -i hage.test.inokara.com acl pika hdr(host) -i pika.test.inokara.com use_backend hage_bk if hage u
HAProxy の HTTP リクエストホストヘッダによる振り分けと Nginx の SSL プロトコルや Cipher をアクセスログに記録する | iret.media
ども、cloudpack の かっぱ（@inokara）です。 はじめに 久しぶりに HAProxy を触る機会があったのでメモ。HTTP リクエストの Host ヘッダの情報を元にバックエンドを振り分けてみます。あと、HAProxy とは無関係ですが Nginx で SSL のプロトコルをアクセスログに記録出来るのでメモ。 参考 HAProxy Document 俺らの suz-lab さんの記事→(ELBとからめて)Hostヘッダでの振り分けをHAProxyでやってみる | cloudpack.media How can I let nginx log the used SSL/TLS protocol and ciphersuite? Host ヘッダによるバックエンド振り分け frontend の設定 frontend kappa-test bind 0.0.0.0:80 acl
セキュリティアドバイザリをチェックする sensu の check プラグインを作ってみたのでメモ | iret.media
どうも、cloudpack の かっぱ（@inokara）です。 はじめに 最近、Ops な仲間達をドキドキさせるセキュリティアドバイザリが立て続けに報告されていますね…。これらのアドバイザリの情報を RSS で購読しておけば対策のレスポンスはあげられると思っていますが、せっかくなのでこのアドバイザリ情報も sensu で監視してしまいましょう… と言っても RSS のフィードを叩くだけのシンプルなもので、引数に気になるキーワードを渡すとそれらのアドバイザリが報告されると（RSS フィードに含まれていると）通知が飛ぶというシンプルでなんの捻りもないプラグインです。 こんな感じ ギッハブ check-security-advisory.rb 使い方 check-security-advisory.rb -u "http://jvn.jp/rss/jvn.rdf" -C "ssl|apache
HAProxy で SSLv3 を無効にする方法 | iret.media
ども、犬はプードルよりも雑種が好きなかっぱ（@inokara）です。 Poodle Attacks SSL 3.0 の脆弱性が下記の通り報告されています。 CVE-2014-3566 Advisory POODLE attacks on SSLv3 (14 Oct 2014) This POODLE Bites: Exploiting The SSL 3.0 Fallback The POODLE Attack and the End of SSL 3.0 Poodle Attacks の取り急ぎの対策として SSLv3 の無効が推奨されているようです。 SSL / TLS Transport Layer Security←読み応えあり 取り急ぎメモ（無効にする方法） HAProxy でも 1.5 以降で SSL が正式にサポートされていますので影響を受ける可能性はありますので対策は施して
OpenSSL の Cipher 周りのメモ | iret.media
どうも、cloudapck の かっぱ（@inokara）です。 はじめに OpenSSL の Cipher 周りについて調べたのでちょいメモ 参考 UNIXの部屋 コマンド検索: openssl ウェブサーバの暗号アルゴリズムの選び方 OpenSSL: Cipher Selection ウェブサーバーの暗号アルゴリズムの選び方 ウェブサーバの暗号アルゴリズムの選び方の一章をまとめました。 https のウェブサイトが表示されるまで ブラウザからサーバーに https のリクエスト ブラウザとサーバー間で使用する暗号化アルゴリズムを決定 サーバーからブラウザに SSL サーバー証明書と公開かぎを送付 ブラウザからプリマスターシークレットを送付してブラウザとサーバー間で共通鍵を生成 ブラウザとサーバーは共通鍵を用いてコンテンツを暗号化して送受信 使用する暗号化アルゴリズムの決定メカニズム ク
sensu-client 0.13.2 for Windows を利用する際の注意点（SSL 利用時のみ） | iret.media
cloudpack の かっぱこと 川原 洋平（@inokara）です。 はじめに 意気揚々と sensu-client for Windows をセットアップしようとしたらハマったのでメモ。まだ、解決していませんのでご注意下さい。 以下のようなエラーが出て sensu-client が起動しません C:/opt/sensu/embedded/lib/ruby/gems/2.0.0/gems/sensu-em-2.4.0-x86-mingw32/lib/em/connection.rb:419:in `set_tls_parms': wrong number of arguments (6 for 4) (ArgumentError) from C:/opt/sensu/embedded/lib/ruby/gems/2.0.0/gems/sensu-em-2.4.0-x86-mingw32
超私的 Undocumented HAProxy Vol.1 〜SSL サーバー証明書の設置〜 | iret.media
どうも、cloudpack の かっぱ(@inokara) です。 HAProxy 1.5 から… SSL に対応しています。 中間証明書、クロスルート証明書付きの証明書 以下のような順番で証明書ファイルを一つに纏めておくのが吉です。 -----BEGIN CERTIFICATE----- 証明書 -----END CERTIFICATE----- -----BEGIN CERTIFICATE----- 中間証明書 -----END CERTIFICATE----- -----BEGIN CERTIFICATE----- クロスルート証明書 -----END CERTIFICATE----- -----BEGIN RSA PRIVATE KEY----- 秘密鍵 -----END RSA PRIVATE KEY----- ca-file というオプションを利用して中間証明書、クロスルート証
SSL サーバー証明書の鍵長を CSR から確認する | iret.media
最近、小ネタが続いてすいません。かっぱ(@inokara)です。 どうやるの？ 以下のように CSR を指定して確認します。 openssl req -text -in ./example.test.inokara.com.csr | head 以下のように表示されます。 Certificate Request: Data: Version: 0 (0x0) Subject: C=JP, ST=Tokyo, L=xxxxxx-xxx, O=Kawahara-Rice-Center Inc., CN=example.test.inokara.com Subject Public Key Info: Public Key Algorithm: rsaEncryption Public-Key: (2048 bit) Modulus: 00:ca:c6:d9:c9:84:85:af:62:5f:
年額3.65ドルでSSL証明書を手に入れる | iret.media
情報を暗号化する SSL の機能を使用する際に必要となるもの。 身元情報や認証局の確認も行える。 国内の安いプランを探す まずは国内で探すとなると、RapidSSLが安く販売されている。 以下のサイトであれば年額1000円ほどで発行される。 http://www.ssl-store.jp/rapidssl/ しかしながら、安い証明書は海外で発行されたものが多いので、 わざわざ日本で買う必要はないと感じ海外サイトを探してみる。 海外の安いプランを探す いろいろ探してみたが、 Comodo Positive SSLが安いとわかり、尚且つGoGetSSLというサイトが一番安かった。 https://www.gogetssl.com/ 時々キャンペーン等で安くなっているサイトもあるので、その時々で探すとよいかも。 発行する 指定のSSLの項目へ行き、購入。 個人用に 必須項目をすべて埋める その後
infrataster でオレオレ SSL 証明書なサイトをテストする場合 | iret.media
どうも、かっぱ（@inokara）です。 はじめに オレオレ SSL 証明書なサイトを infrataster でテストしようとする場合に証明書の検証が動いてしまい fail になってしまいましたので以下の方法で証明書の検証をスキップしてしまいます。 やり方 こちらを参考にさせて頂いて spec_helper.rb に以下を追加。 require "openssl" OpenSSL::SSL.module_eval { remove_const(:VERIFY_PEER) } OpenSSL::SSL.const_set(:VERIFY_PEER, OpenSSL::SSL::VERIFY_NONE) I_KNOW_THAT_OPENSSL_VERIFY_PEER_EQUALS_VERIFY_NONE_IS_WRONG = nil こんな感じで… テストが通りました。 元記事は、こちらです
【小ネタ】cipherscan で対象サイトの SSL cipher suite を確認する | iret.media
どうも、小ネタ野郎の かっぱ（@inokara）です。 はじめに HTTPS が動いている Web サーバーで SSL の cipher suite って何をサポートしているのかしら、そもそもそれってどうやって調べるんや？と思っていたら cipherscan というツールに出会ったので試してみました。 そもそも openssl コマンドで… openssl のライブラリとリンクしている Web サーバー（おそらくほとんど）であれば以下のように確認出来そうです。 と言っても cipherscan を使ってみましょう cipherscan とは？ Cipherscan tests the ordering of the SSL/TLS ciphers on a given target, for all major versions of SSL and TLS. It also extrac
cloudpackブログ - "check_http"(Nagios)で証明書の有効期限チェック
スズキです。 下記の記事を書いたのですが、うれしいことに"check_http"の"-C"(–certificate=60)で チェックできることを、何人かの方からフィードバックいただきました。 SSL証明書(HTTPS)の有効性をチェックをするNagiosプラグイン 確かに下記のようにチェックできます。 証明書の期限が指定した日数より後の場合 # ./check_http -C 40 -H ssl.suz-lab.com; echo $? OK - Certificate 'ssl.suz-lab.com' will expire on 01/19/2014 07:16. 0 証明書の期限が指定した日数より前の場合 # ./check_http -C 400 -H ssl.suz-lab.com; echo $? WARNING - Certificate 'ssl.suz-lab.co
cloudpackブログ - グローバルサインの証明書でCloudFrontの独自SSL証明書を利用してみた
時間が空きましたが、下記のようにCloudFrontの独自SSL証明書を利用する準備ができたため、 ようやくSSL証明書のインストールです。 S3の"Website Hosting"機能を使ってサイトを公開 CloudFront経由でS3("Website Hosting"機能)にアクセスできるようにする 時間が空いてしまった理由は、こちらから独自SSL証明書の申請を行い、許可を待っていたからです。 許可メールが届いたら、証明書のアップロードです。 今回はグローバルサインの証明書(クイック認証SSL)を使いました。 ちなみに、グローバルサインの証明書は同一コモンネームであれば、1ライセンスの購入でOKなので、CloudFrontの独自SSL証明書の機能に利用する場合も1ライセンスの購入でOKとなります。 証明書のアップロードはPython版AWSコマンドラインツールを利用しました。 # a
cloudpackブログ - cloudpackでSSL証明書の取得
cloudpackでSSL証明書を取得する際には、下記のようなサービスをご用意しています。 ・SSL証明書＋ パートナーであるグローバルサインのSSL証明書の取得代行からインストール作業までをオプションサービスとして 提供しております。 また、他社証明書を利用中の乗り換えも可能です。 【月額課金型SSL証明書】 月単位での契約が可能となっており、さらにご利用期間は自動更新されます。 支払いはAWSの利用料金と同じく利用後の後払いとなっています。 また、SSL証明書はロードバランサー（ELB）にインストールを行うため、インスタンス（サーバ）が複数台の場合も コモンネーム単位の購入が可能です。 ○料金
cloudpackブログ - SSLの中間証明書・クロスルート方式について
こんにちは。 職人見習いの高嶋です。 SSLの設定をするにあたって、最近では当たり前のように耳にするようになった 『中間証明書』や『クロスルート設定用証明書』。 正直その意味や用途を理解もせず証明書発行企業の説明文そのままに設定していたので 今回少し掘り下げて調べてみました。 そもそも私自身に『中間証明書』や『クロスルート設定用証明書』なる単語に 馴染みを持っていないのは、昔はWebサーバ上にSSLの設定をする際に それらを必要としなかったからです。 証明書発行企業によって文言は異なるが、概ね下記のように2階層での有効性を 検証する形でした。 ルート証明書（ブラウザに標準搭載） ┗サーバ証明書（Webサーバに設定） ■Apacheでの設定例 SSLEngine on SSLCertificateKeyFile conf/hoge.jp.key # 秘密鍵 SSLCertificateFil
cloudpackブログ - tcpserverをssl化する
tcpserverでメールを送信する際にsmtps popsを利用する場合、tcpsrverのsslパッチを当てる必要があります。 今回は、tcpserverをssl化する方法を紹介します。 (前提条件としてqmail、vpopmailがインストール済みとします) tcpserverはHow to install ucspi-tcpからダウンロード可能です。 sshのパッチはWelcome to NRG4Uからダウンロード可能です。 cp ucspi-tcp-0.88 patch make cp -pr tcpserver /usr/local/bin/tcpserver-ssl pops smtpsを利用する場合、SSL証明書と秘密鍵を結合する為、下記のようにします。 cat ssh証明書 秘密鍵 > /etc/cert/mail.pem qmail関連のユーザは、下記とします。 qma
cloudpackブログ - 各メーカーのSSL証明書携帯端末カバー率
最初にも断っていますが、このカバー率はあくまで各社の独自調査で公表している数値ですので 背伸びしている企業、正確に公表している企業と分かれている可能性は排除できません。 また、証明書発行金額はもちろんの事、企業審査やワイルドカードSSLなどに力を入れている所もあり、 各社特色が違うのでこの数値がダイレクトに各社の評価に繋がる訳ではありません。 自分としては、コストと実績と発行スピードのバランスが良いグローバルサイン社さんの証明書を よく利用しています。 但し一部の携帯電話端末を除き、基本的には2008年以降に発売された端末であれば、 どのメーカーの証明書でもほとんどカバーしているのではないかと思われます。 携帯端末対応コンテンツに使用する際、結構古い機種でもカバーする必要がある場合に あくまで参考の一助というレベルで考えて下さい。 ※この記事は、なかの人（piro556）が書いています。
cloudpackブログ - SSL証明書契約時の注意点
こんにちは。 職人見習いの高嶋です。 最近SSL証明書取得で、勉強不足からトラブルになりかけましたので備忘として記載しておきます。 最近、ワイルドカード証明書という商品が各証明書発行企業から発売されています。 *.hoge.jp 上記ののような1枚の証明書を購入すると www.hoge.jp fuga.hoge.jp など、ドメインが同じであればサブドメインが違っても1枚の証明書でSSLが貼れるというものです。 ここで注意点です。 １．hoge.jp というサブドメイン無しのFQDNでもOK ※GlobalSign社に確認済 最近のサイトもサブドメイン無しのホスト名をメインに使用している所も多いので便利です。 他社のワイルドカード証明書も同様かどうかまでは調べていません。 GlobalSign社は社内協議の結果、お客様の利便性を優先してOKにしたと聞いていますから 他社も大丈夫だと勝手に解
cloudpackブログ - NagiosでSSL証明書有効期限の確認を行う
今回は、NagiosでのSSL証明書有効期限の確認方法を紹介します。 SSL証明書の更新の通知は、通常SSL認証局よりメールにて連絡があります。 この通知メールを見落としてしまうと、更新されずに期限が切れてしまいますので、Nagiosからの有効期限をチェックすることは、更新メールを見落としてしまった時に有効だと思います。 コマンドは下記となります。 (有効期限30日前の監視方法となります。) /usr/lib/nagios/plugins/check_http --ssl -H コモンネーム -p 443 -C 30 有効期限が30日前の場合、下記のようなアラートとなります。 WARNING – Certificate expires in 25 day(s) (12/27/2011 16:46). 念の為に、NagiosからもSSL証明書の確認をしておくのも良いと思います。 こちらの記事
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
