Let's encryptとSSL/TLSに関する誤謬 - Chienomi
全く以て意味不明な誤謬がはびこっていた上に、やたら上から目線だったので、消火しておこうと思う。 そもそもSSL, TLSとは何か SSL/TLSは暗号化技術である。 SSL/TLSのデータ通信自体は対称暗号である。ただし、暗号化に利用する暗号鍵は使い捨てる。 Cipherはかなり色々使えるのだけど、だいたいはTriple DES (3DES)かAESが使われる。 その手順は <- HelloRequest -> ClientHello <- ServerHello <- ServerCertificate <- ServerKeyExchange <- ServerHelloDone -> ClientKeyExchange -> Finished -> ChangeCipherSpec <- Finished <- ChangeChiperSpec <-> Application Dat
Evolving Chrome's security indicators
$200K 1 10th birthday 4 abusive ads 1 abusive notifications 2 accessibility 3 ad blockers 1 ad blocking 2 advanced capabilities 1 android 2 anti abuse 1 anti-deception 1 background periodic sync 1 badging 1 benchmarks 1 beta 83 better ads standards 1 billing 1 birthday 4 blink 2 browser 2 browser interoperability 1 bundles 1 capabilities 6 capable web 1 cds 1 cds18 2 cds2018 1 chrome 35 chrome 81
JVNTA#96603741: HTTPS 通信監視機器によるセキュリティ強度低下の問題
多くの組織で、マルウェア検知などの目的のために HTTPS 通信の監視を行うネットワーク機器が導入されています。 CERT/CC は 2015年3月のブログ記事 The Risks of SSL Inspection において、HTTPS 通信監視機器の導入によるセキュリティ上のトレードオフについて論じています。 HTTPS 通信監視機器を導入する場合、その製品が Transport Layer Security (TLS) の証明書検証を適切に行っていることを確認してください。TLS による適切な保護がなされない状態で通信が行われたり、検証失敗を示すエラーメッセージをクライアントアプリケーションに伝えなかったりする製品は、HTTPS で保護されるべき通信のセキュリティ強度を低下させます。 TLS やその前身である Secure Sockets Layer (SSL) は、クライアントとサ
【セキュリティ ニュース】複数ブラウザでHTTPS通信時にパラメータなど含むURLが漏洩するおそれ（1ページ目 / 全1ページ）：Security NEXT
「WPAD」に対応した複数のブラウザにおいて、HTTPS通信時のURLが第三者へ取得されるおそれがある脆弱性が含まれていることがわかった。URLのパラメータなどに含まれる機密情報が、漏洩するおそれがある。 「WPADプロトコル」によってプロキシを設定するために用いるファイル「proxy.pac」を自動的に取得するブラウザを使用した場合、URLを取得される脆弱性が判明したもの。AppleやGoogle、Mozilla、Operaなどのブラウザが影響を受けることが判明している。 具体的には、攻撃者が用意した「proxy.pac」を読み込んだ場合、マンインザミドル攻撃（MITM攻撃）により、HTTPS通信を行う際のパス情報や、GETリクエストにおけるパラメータなどを取得されるおそれがあるという。 Appleでは、「CVE-2016-1801」として「OS X El Capitan v10.11.
New attack bypasses HTTPS protection on Macs, Windows, and Linux
A key guarantee provided by HTTPS encryption is that the addresses of visited websites aren't visible to attackers who may be monitoring an end user's network traffic. Now, researchers have devised an attack that breaks this protection. The attack can be carried out by operators of just about any type of network, including public Wi-Fi networks, which arguably are the places where Web surfers need
Feature: Squid-in-the-middle SSL Bump
🔗 Feature: Squid-in-the-middle SSL Bump Goal: Enable ICAP inspection of SSL traffic. Version: 3.1 to 3.4. Developer: AlexRousskov, Christos Tsantilas More: See also dynamic SSL certificate generation and origin server certificate mimicking features. 🔗 Details This feature was replaced in Squid-3.5 by peek-n-splice This feature was replaced in Squid-3.3 by server-first Squid-in-the-middle decrypt
ついにやってきた「常時HTTPS」の波、デメリットを再検証
筆者は、今まで何度かにわたってWebサイトやユーザーを守るために「常時SSL」「常時HTTPS」を導入すべきだと提起してきた。 日本の金融機関はなぜ「常時SSL」を実装しないのか？（2013年10月11日） 銀行に期待した「常時SSL」 その後……（2015年2月20日） 「HTTP」前提が崩れる――早く「常時SSL」にすべき理由（2015年5月22日） 「常時SSL」の疑問に答えよう、どうすればできるか（2015年5月29日） そして今年に入り、さまざまな状況が変化してきた。例えば、Yahoo! JAPANは4月から2017年3月にかけて、全てのYahooサービスを常時SSLに対応させると表明している。 また、筆者の本職であるITセキュリティのコンサルタント業務の中で、複数の金融機関と一般企業が予算を確保して「常時SSL対応プロジェクト」を立ち上げたり、その準備に取り組み始めている。一部
Android アプリで意図しないクリアテキスト トラフィックへの逆行を防ぐ
.app 1 .dev 1 #11WeeksOfAndroid 13 #11WeeksOfAndroid Android TV 1 #Android11 3 #DevFest16 1 #DevFest17 1 #DevFest18 1 #DevFest19 1 #DevFest20 1 #DevFest21 1 #DevFest22 1 #DevFest23 1 #hack4jp 3 11 weeks of Android 2 A MESSAGE FROM OUR CEO 1 A/B Testing 1 A4A 4 Accelerator 6 Accessibility 1 accuracy 1 Actions on Google 16 Activation Atlas 1 address validation API 1 Addy Osmani 1 ADK 2 AdMob 32 Ads
グーグル、信頼できない認証局のリストを作成
Liam Tung （Special to ZDNET.com） 翻訳校正： 石橋啓一郎 2016-03-25 17:06 Googleは、信頼できない公開鍵証明書認証局を確認できるようにする仕組みを強化した。 この仕組みは、同社が提案した電子証明書追跡システムで、「Certificate Transparency」（CT、証明書の透明性）と呼ばれている。2015年にSymantecが一部のGoogleドメインに対して発行したような、不正に発行されたSSL証明書からChromeユーザーを守ることができる。 この事件はGoogleから強い反発を呼び、同社はSymantecに対して、2016年6月1日までに、発行するすべての証明書についてGoogleのChromium CTポリシーに準拠する形でCTにログを残すことを要求し、これに応じなければ、同社が発行する証明書を利用するウェブサイトを、Ch
Firefox、一部のウイルス対策製品の影響でSHA-1対応を一時的に復活 | スラド セキュリティ
Firefox 43で1月1日よりSHA-1を使って署名された新規の証明書のサポートが中止された。しかし、これによって「中間者攻撃的な挙動を行うデバイス」を利用しているユーザーがHTTPSを利用できない状況になったことから、Firefox 43.0.4では一時的にSHA-1を利用する証明書のサポートを復活させることにしたという（ITmedia、Mozilla Security Blog）。 いくつかのセキュリティソフトやウイルス対策ソフトなどが「中間者攻撃的な挙動を行うデバイス」に含まれる模様。こういったソフトウェアはHTTPSで保護された通信内容にアクセスするために独自に作成した証明書を利用するが、その証明書がSHA-1を利用している場合問題が発生するという。
websec-room.com - websec room リソースおよび情報
This webpage was generated by the domain owner using Sedo Domain Parking. Disclaimer: Sedo maintains no relationship with third party advertisers. Reference to any specific service or trade mark is not controlled by Sedo nor does it constitute or imply its association, endorsement or recommendation.
「常時SSL」の疑問に答えよう、どうすればできるか
簡単に解説すると、安価な証明書はそのほとんどが「ドメイン認証」であり、通常は個人利用が多い。その次が法的な実在証明を行う証明であり、一般企業の多くがこの方式を採用している。最も厳格なものは以前にも解説したが「EV SSL」だ。「物理的実在証明」と呼ばれている。安全な場合はWebブラウザのアドレスバーが緑色に変化するので、初心者が見ても分かりやすいと評判だ。 EV SSL証明書は価格が少し高いものの、顧客の安全を考慮するなら、十分に検討に値するものだろう。定価ベースで年間に約7万～10万円ほど高いだけだ。月1万円にも満たない価格差でより大きな安心感を得られると思えるが、あまり普及していないのは残念である。証明書の処理については、確かに厳密な確認を行うものであるほど時間がかかると想定される。だが、体感ではユーザーが全く気付かない場合がほとんどだろう。 また、「証明書失効リスト」（CRL）をチェ
HTTPS 化する Web をどう考えるか - Block Rockin’ Codes
Update 2015/5/8: 指摘頂いたタイポや誤訳などを更新しました。 2015/5/8: 構成を一部修正しました。 Intro 4/30 mozaiila のセキュリティブログに下記のようなエントリが投稿されました。 Deprecating Non-Secure HTTP | Mozilla Security Blog エントリはそこまで長くないので、ここに翻訳の全文を記載します。 そして、元エントリのライセンスである CC BY-SA 3.0 に則り、 本エントリも同じく CC BY-SA 3.0 とします。 Deprecating Non-Secure HTTP 原文: Deprecating Non-Secure HTTP 今日は、 non-secure な HTTP から、徐々に廃止していくという方針についてアナウンスします。 HTTPS が Web を前進させる手段である
【セキュリティ ニュース】フィルタリング製品が不正なルート証明書を使用 - 秘密鍵が漏洩（1ページ目 / 全1ページ）：Security NEXT
Content Watchが提供するフィルタリングソフトの「Net Nanny」が、問題あるルート証明書を端末内にインストールすることがわかったとして、セキュリティ機関が注意を喚起した。不正なサイトを信頼したり、暗号化通信が盗聴されるおそれがある。 同製品は、通信を中継するプロクシとルート証明書を端末内にインストールするが、製品で共通の秘密鍵とルート証明書を使用。くわえて秘密鍵はソフト内部に平文で保存されており、取り出すことが可能だという。 同製品利用者は、この秘密鍵によって作成された自己署名証明書によるHTTPS通信を信頼してしまうため、フィッシングサイトに用いられたり、暗号化通信の盗聴などに悪用されるおそれがある。 セキュリティ機関は、「同7.2.4.2」において脆弱性を確認しており、他バージョンも影響を受けるおそれがあると指摘。 4月21日の段階で対策はわかっておらず、セキュリティ機
Google、広告でもHTTPS化を推進
Google Display NetworkやDoubleClickパブリッシャーに配信される広告の大部分が2015年6月30日までに暗号化されると発表した。 WebのHTTPS化を推進する米Googleは4月17日、同社の広告ネットワーク経由で配信する広告の大部分を暗号化すると発表した。 Googleは、Webサイトのセキュリティを強化する目的で「HTTPS Everywhere」を提唱。Web管理者に対してHTTPSの実装を促し、検索ランキングにも反映させている。 今回はこの対象を広告にも広げ、2015年6月30日までに、Google Display NetworkとAdMobおよびDoubleClickパブリッシャーに配信されるモバイル、ビデオ、デスクトップディスプレイ広告の大部分が暗号化されると発表した。 また、AdWordsやDoubleClickなど同社の広告掲載サービスを利用
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
TechCrunch | Startup and Technology News
Chrome58になると自己署名の証明書がエラーになるので、OpenSSLに詳しくなった話 | Tech Blog | CRESCO Tech Blog
通信の安全を守るためにエンジニアができること
Google、どこでもHTTPSをBloggerにも拡大、blogspotドメインの全ブログにHTTPSバージョン 
「サンドボックスの先を行く技術でハッカーに対抗する」――、チェック・ポイント新社長
