TLS1.3に対応したApache（httpd）のインストール・設定方法
ApacheをTLS1.3に対応させるには Apacheは、バージョン2.4.37からOpenSSl 1.1.1とTLS1.3に対応しています。 これ以降のバージョンをインストールし、適切な設定をしてやることで、TLS1.3に対応することが可能になります。 比較的新しいバージョンなので、自分でソースからビルドしてインストールする方法を取ることになります。 Apache と OpenSSL のバージョンについて Apache 2.4.37とOpenSSL 1.1.1は、共に脆弱性が発見されており、セキュリティアップデートが行われています。 ApacheとOpenSSLは、インストールする時点での最新バージョンを使うようにしてください。 Apacheのインストール 検証済み環境 CentOS 7.4 ～ 7.6 （Minimal 最小構成） CentOS 8.0（Minimal 最小構成） 他
ApacheのTLS設定を2020年向けに更新する｜TechRacho by BPS株式会社
BPSの福岡拠点として一緒にお仕事をさせていただいています、株式会社ウイングドアのモリヤマです。 今回のテーマはTLS対応（触れるのはHTTPS化の設定に関するお話）です！ ネットワーク/インフラエンジニアの方々の領域に、ちょっとだけ学習の手を伸ばしてみました。 本記事はTLSへの理解度が下記の様な方々が対象です❗️ とりあえず通信を暗号化するやつって事は知ってる SSL/TLS対応は行った事あるが、詳しく考えたことがない セキュリティ関連にちょっとでも強くなりたい意志のある方 背景 ずいぶん前にAmazonLinux2で構築したサーバー(趣味関連ブログ用)がふと気になり、 SSL/TLSの設定ってデフォルトのままいじってないなーどうなってんだろう🤔 そして軽い気持ちでQualys SSL Labs SSL Server Test で脆弱性スキャンしたのがきっかけでした。 結果は『B』所
Apache httpd で接続を許すSSL/TLSのバージョンを制限する方法 |
WEBサービスを提供する側としては、できるだけ安全なサービスを提供したいですので、脆弱性が発見されている SSL や TLS 1.0, 1.1 でのサービスは極力避けたいところです。 しかし TLS 1.2 だけの接続を許可すると、今度は古いブラウザがアクセスできなくなってしまいますから、ご自身が提供しているサービスへの利用者が、どのような割合で古いブラウザを利用しているかを調査した上で TLS プロトコルのバージョンを制限することが望ましいでしょう。 Apache httpd での SSL/TLS バージョンの制限方法 それでは本題の Apache httpd で SSL/TLS のバージョンを制限する方法について解説します。 Apache httpd での SSL/TLS のバージョン指定は SSLProtocol ディレクティブで行います。 SSL/TLSの全てのバージョンの接続を許
ALBで複数のSSL/TLS証明書を設定できるSNIに対応しました | DevelopersIO
ウィスキー、シガー、パイプをこよなく愛する大栗です。 Application Load Balancerで同じポートに複数のSSL/TLS証明書を設定できるSNI（Server Name Indication）に対応しました。 SNI（Server Name Indication）とは SNI（Server Name Indication）とはRFC 6066に記述されている仕様です。「Server Name Indication」つまりサーバ名表示のことです。SNI以前の仕様ではIPアドレス/ポートに対して一つのSSL/TLS証明書しか設定が行なえませんでした。SNIによりサーバ名ごとにSSL/TLS証明書を設定できるようになり、リクエストから証明書を適用するサーバ名が判断して適用するようになります。 HTTPSリクエストのホストヘッダーを見れば判断できるだろうと思われるかもしれませんが
秘密鍵、証明書、CSRの整合性のチェック - Qiita
ApacheのSSL更新等で秘密鍵や証明書を組み込む場合、 整合性がとれないとエラーとなりApacheが落ちてしまう。 実は秘密鍵や証明書はApacheに入れる前に整合性チェックを行う事ができる 秘密鍵の内容を確認
websec-room.com - websec room リソースおよび情報
This webpage was generated by the domain owner using Sedo Domain Parking. Disclaimer: Sedo maintains no relationship with third party advertisers. Reference to any specific service or trade mark is not controlled by Sedo nor does it constitute or imply its association, endorsement or recommendation.
CentOSにSubversionを入れてみる - yk5656 diary (旧)
VirtualBoxにCentOSをとりあえずインストール の続き CentOSにSubversionを入れてみる。 とりあえずrootになる。 $ su - Apacheのインストール Apacheが入ってなければ、インストールしておく。 # yum -y install httpd # service httpd start # chkconfig httpd on Subverisonのインストール Subversionをインストールする。 # yum -y install subversion mod_dav_svn SVNリポジトリ用のディレクトリを作成する。 # mkdir /var/www/svn ApacheでSVNリポジトリにアクセスするよう設定する。 # vi /etc/httpd/conf.d/subversion.conf LoadModule dav_svn_mo
SSL でも VirtualHost (Apache2.2) - Qiita
Apache２．２ の VirtualHost を SSL を使うサイトにも適用 追記 コメントで指摘を受けたとおり、この設定は Apache2.2 までで有効な設定です。 Apache2.3 以降（多分 2.4 以降を使うのが一般的だとは思うけど）ではこの設定を書くことなく NameVirtualHost を適用することが可能です。 This directive currently has no effect. とあるので、2.4 では設定があってもエラーにはならないようですが。 （多分今後のバージョンアップでは完全に撤廃されてエラーになるんだろうな） 普通の VirtualHost の設定 Apache の VirtualHostを適用する時、SSL を使わない場合 <VirtualHost *:80> ServerName virtualhost.example.com Docume
Apache httpd でメンテナンスモード - mallowlabsの備忘録
設定した内容を忘れないようにメモ。 Apache/2.2.15 (Unix) CentOS release 6.2 (Final) 実現したいこと ドキュメントルートに maintenance.html というファイルが存在すれば、メンテナンスモードとし、すべてのアクセスに対して maintenance.html を返す。 ただし、特定の IP アドレスからのアクセスに関しては、通常通りのレスポンスを返す。 準備 1. DOCUMENT_ROOT/maintenance.htmlを配置。画像等は使わず、1つの HTML ファイルで完結するようにする（と設定が楽） 2. /etc/httpd/conf.d/rewrite_maintenance.conf を配置。 # rewrite_maintenance.conf ErrorDocument 503 /maintenance.html <
SSL 証明書を IIS から Apache に移行する方法 - WebOS Goodies
とある事情で SSL の証明書を IIS から Apache に移す作業を行ったので、本日はその方法をご紹介しようと思います。最近は IIS のシェアが Apache に迫っているらしいので、 IIS から Apache への移行が少しでも増えればと思います。証明書が移行できないと、たしか再発行には何万円もかかるはずですからね :) IIS から証明書・秘密鍵ペアをエクスポート それでは、さっそくやってみましょう。まずは IIS から証明書・秘密鍵ペアをエクスポートします。これは IIS の標準機能で普通にやれば OK です。具体的な手順は以下のとおりです。 スタートメニューの管理ツールなどから「インターネット インフォメーション サービス(IIS) マネージャ」を起動。 左のペインで [マシン名(ローカル コンピュータ)]-[Web サイト] を開き、証明書をエクスポートしたいサイトのプ
Apacheで簡単にリバースプロキシ構築（SSL通信転送付き）
リバースプロキシサーバーの環境 Apache 2.2.3 + mod_proxyを使ってリバースプロキシを構築しています。OSは「CentOS5.6」。 httpd.confの編集 # vi /etc/httpd/conf/httpd.conf <IfModule mod_proxy.c> ←コメントアウトされているので、コメントインする ProxyRequests Off ←フォワードプロキシ機能の無効化 <Proxy *> ←プロキシ利用者のアクセス制御はここで設定 Order deny,allow Allow from All ←とりあえず全許可 </Proxy> <VirtualHost *:80> ← VirtualHostで80ポートを指定しないと、HTTPS(443)もここで処理されてしまう ServerName リバースプロキシのIPまたはFQDN:80 ←なくても動く？
名前ベースのバーチャルホストでSSLを使う（SNI） | あぱーブログ
TLS拡張（RFC4366）仕様の一つ Server Name Indication（SNI）によって名前ベースのバーチャルホストでもSSLが使えますが、そもそもなぜ、名前ベースのバーチャルホストでSSLが使えないのかその理由と、SNIの仕組みと設定方法について調べてみました。 以前、WEBディレクターの方から、SSLを使っているサイトのバーチャルホストの設定依頼を受けて「SSL使ってるとバーチャルホストは使えないっすよ」とドヤ顔で答えてしまい、少し恥ずかしい思いをしました。(^^;) 昔の上司の言葉「常にアンテナを張っておけ！」を思い出します。 SNIの仕組み SSLを使っていると当然ですがHTTPヘッダは暗号化されているので、クライアントがどのホスト名を指定しているのか判断できないため、先頭のバーチャルホスト（図の場合は lamp-sv）が表示されてしまいます。 SNIではSSL/TL
『そこそこ強いApacheのSSL設定』
Subaru's Husbandpython、linux、バイクなんかのネタを書きます。 一応security業界でご飯を食べてます。 備忘録がメインだと思うので、未来の自分が助かれば最高。 ApacheのSSL設定を下記の様にしました。 WindowsXP，ガラケーは切り捨ててます。 ・ALLで全ての方式を有効 ・SSLの2,3を無効 !SSLv2!SSLv3 ・弱い暗号方式を無効 !EXP!MD5!RC4!ADH!DSS ・通信を暗号化しない方式を削除 eNULL ・通信の認証をしない方式を削除 !aNULL #/etc/apache2/mods-available/ssl.conf 下記の部分を更新 # SSL Cipher Suite: # List the ciphers that the client is permitted to negotiate. # See the m
ApacheでOpenSSLのセキュリティを強化する - Qiita
セキュリティランクの確認 OpenSSLを利用されている方は下記サイトでセキュリティランクを確認してみると良いでしょう。 https://sslcheck.globalsign.com/ja/ apacheの設定 /etc/httpd/conf.d/ssl.confなどに下記を追加しましょう。 $ sudo vim /etc/httpd/conf.d/ssl.conf SSLHonorCipherOrder ON ##追記 SSLCipherSuite EECDH+HIGH:EDH+HIGH:HIGH:MEDIUM:+3DES:!ADH:!RC4:!MD5:!aNULL:!eNULL:!SSLv2:!LOW:!EXP:!PSK:!SRP:!DSS:!KRB5 ##追記 [許可されてる暗号方式の確認方法] $ openssl ciphers -v [制限したときの暗号方式の確認] $ ope
ApacheのSSL設定を考えた | TECHSCORE BLOG | TECHSCORE BLOG
こんにちは！インフラエンジニアの射場です。 趣味やお仕事でWebサイトを運用されている方はいらっしゃいますか？ そのWebサイトはSSL証明書を使っていますか？ SSL証明書を使っていると答えたアナタ！ 下記のリンクにあなたの管理するWebサイトのURLを ぺっちょりと貼り付け、スキャンを実行してみてください。 https://sslcheck.globalsign.com/ja/ いかがでしたか？ ランクはAでしたか？Bでしたか？それともEやF？ ちなみに、私もほそぼそとWebサイトを運用しており、つい先日SSL証明書を入れました。 忙しさを言い訳に、初期設定のまま放置していました。 そんなだらしない私のWebサイトの評価はご覧のとおり。 ※恥ずかしいのでURLは伏せています/// これはあかん ということで、いっちょ本気を出してみましたので、その設定内容を晒したいと思います！ Webサ
SSLCipherSuite を変更し perfect forward secrecy にも対応してみる - さくらVPS CentOS 6.5 - IMPOV::In My Point Of View
SSLサーバー証明書を購入し設置を行ったので、この機会にSSLまわりの設定を見なおしてみることにした。 （2014/10/21追記：POODLE attack に対応するため、SSLProtocol に -SSLv3 を追加。） （2016/03/03追記：古い記事なので今風のCipherSuiteについて、文末に追記しました。） 現状の確認 まずはQualys SSL Labs SSL Server Testというサイトへ行って、現状をチェック。 最近チェックされたドメインリストに名前が出てしまうので、ドメイン名入力欄の下にあるチェックボックスをオンにしてリスト掲載を拒否する。 数分待つと結果が表示される。 Beast攻撃がどうだとか、暗号強度が低いだとか、いろいろと指摘されてしまう。 また、ページの下の方へ行くと、メジャーなブラウザとの接続確認も可能だ。 設定の変更 SSLまわりの知識
PHPでHTTPS接続をする - HHeLiBeXの日記 正道編
PHPから何かしらのAPIをたたいたりするときに必要じゃないか、ということで、環境作成と接続テストをしてみる。 環境構築 環境は以前に作ったものをベースにする。(Apache httpd 2.2/PHP 5.3) PHP実行環境構築メモ - HHeLiBeXの日記 正道編 自己署名証明書でテスト環境構築その他諸々(何) - HHeLiBeXの日記 正道編 (実際は、Ubuntuの仮想マシン上でも構築、と思ったのだが、特に設定が必要ない状態だったので割愛) 設定自体は楽なもので、今回使用する環境ではphp.ini内の以下のコメントを外すだけ。 ;extension=php_openssl.dllあと、後述のサンプルを実行するには、URLをファイルとして開くことが許可されていることが必要らしい。 ; Whether to allow the treatment of URLs (like ht
SSLアクセラレータ配下のapacheで、アクセスがhttpかhttpsかを判別する方法 - うまいぼうぶろぐ
少し前に試行錯誤して現在はひとまず解決したのですが、同じようにはてなで悩んでた人がいるみたいなので、自分の設定例を軽くまとめてみる。 SSLアクセラレータとは 【SSL accelerator】 - 意味・解説 ： IT用語辞典 http://q.hatena.ne.jp/1224205069 SSLアクセラレータ配下にあるapache上でクライアントからのアクセスがhttpsかhttpであるかの判別をする方法はありますか？ mod_rewriteを利用しhttpのアクセスをhttpsにリダイレクトする設定を考えていますが、SSLアクセラレータを経由してのアクセスとなるため、apacheへの接続は全てhttpとなります。 回答にもあるように、恐らくapache単独では解決できませんが、SSLアクセラレータの設定と組み合わせれば可能です。それも拡張ヘッダやmod_rewriteなどの特別な仕
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
あんしんなWebサーバーのためのSSL設定
【apache】ロードバランサ＋SSLアクセラレータがある場合のhttp→httpsリダイレクト方法