無償SSLサーバー証明書Let’s Encryptの普及とHTTP/2および常時SSL化 | OSDN Magazine
Webサイトの暗号化（SSL化、HTTPS対応）はこれまでEコマースやプライバシを守る目的で部分的に導入されてきたが、SHA1からSHA2への切り替え、モバイル端末の普及やHTTP/2の登場によって、サイト全体を常にHTTPS通信にする常時SSL化の動きが活発になっている。さらにSSLサーバー証明書を無償で入手可能なLet’s Encryptのサービス開始や主要なWebサーバーソフトウェアの安定版でHTTP/2が利用できるようになったことでその動きは加速している。本稿ではSSL化を取り巻く最近の状況を整理し、NginxとLet’s EncryptによるHTTP/2＆SSL化の実装例も紹介していく。 これまで証明書の無償入手は限定的 HTTPSのWebサイトを運用するには通常、商用の認証局にSSLサーバー証明書の発行を申し込み、必ず費用が発生するものだった。一部限定した目的では無償で利用でき
nginx連載6回目: nginxの設定、その4 - TLS/SSLの設定
株式会社ハートビーツのITインフラエンジニアがお届けするnginx連載の6回目。今回はnginxのTLS/SSLについての設定を確認していきます。以降、"TLS/SSL"のことを単に"SSL"と書きます。 nginx.orgのパッケージからインストールしたnginxが提供している設定ファイルexample_ssl.confをサンプルとして説明します。なお、一部修正をしております。 server { listen 443; server_name example.jp; ssl on; ssl_certificate /etc/nginx/cert.pem; ssl_certificate_key /etc/nginx/cert.key; ssl_protocols SSLv3 TLSv1; ssl_ciphers HIGH:!aNULL:!MD5; ssl_prefer_server_ci
BEAST/SSLの脆弱性を突く「BEAST攻撃」って何だ？｜デジ・ステーション｜J-Net21[中小企業ビジネス支援サイト]
日々進歩するIT技術は、ともすると取り残されてしまいそうな勢いで進化の速度を高めています。そこでキーマンズネット編集部がお届けするのが「5分でわかる最新キーワード解説」。このコーナーを読めば、最新IT事情がスラスラ読み解けるようになることうけあい。忙しいアナタもサラっと読めてタメになる、そんなコーナーを目指します。今回のテーマ、「BEAST攻撃」は、Webでのセキュアな通信を支える暗号化通信の基盤技術であるSSL/TLSの脆弱性を利用して、通信の盗聴とアカウントの乗っ取りを実現してしまう高度な攻撃方法。インターネットの商業利用の信頼性を揺るがす危険性を秘めており、全世界が緊張を高めた攻撃手法です！ 1.SSL/TLSの脆弱性を突く「BEAST」とは？ 「BEAST」とは「Browser Exploit Against SSL/TLS」の略で、Juliano Rizzo氏とThai Duon
![BEAST/SSLの脆弱性を突く「BEAST攻撃」って何だ？｜デジ・ステーション｜J-Net21[中小企業ビジネス支援サイト]](https://cdn-ak-scissors.b.st-hatena.com/image/square/110551cbd47125c10974b2d85bc79258eb4ff635/height=288;version=1;width=512/http%3A%2F%2Fj-net21.smrj.go.jp%2Fassets%2Fimages%2Fogp.jpg)
httpsでMechanizeを使う - shima111の日記
※環境はWindows、ruby1.9.3、mechanize-2.3です。 Mechanizeはrubyでスクレイピングするとしたら、もう定番と言ってもいいライブラリでしょう。普通に使う分には色々記事が既にあるのでここではhttpsではまった部分をちょっとだけ書いてみます。 デフォルトでは https で接続すると OpenSSL::SSL::SSLError: SSL_connect returned=1 errno=0 state=SSLv3 read server certificate B: certificate verify failedとエラーが出ます。証明書の検証に失敗しました、ということのようです。なのでとり得る方法は2つ。 証明書を検証しない(=> セキュリティー的に問題あり) 認証局の証明書をちゃんと指定する ■1. 証明書を検証しないでスクレイピングする方法 検証
5分でわかる正しい Web サイト常時 SSL 化のための基礎知識
Web サイトを常時 SSL 化する場合に、最低限知っておかなければならない知識や、注意点、実際の設定方法まで、ひと通りまとめてみました。メリットやデメリット、証明書の種別からリダイレクト設定などについても解説しています。 HTTPS をランキングシグナルに使用しますと Google が公式に発表したあたりから、Web サイトの SSL 対応、特に Google が推奨している Web サイトをすべて HTTPS で配信する、所謂 「常時 SSL 化」 についての話を聞いたり、実際にお客様から相談されたりするケースが増えてきました。 そこで、いい機会だしその辺に関する情報をまとめておこうかな～ と思って書いてみた、恒例の （？） 5分でわかるシリーズ。書き終わって見たところ絶対に 5分じゃ無理っていう文章量になっててどうしようかなぁとも思ったんですが、気にせず公開してみます。 常時 SSL
TLS暗号設定ガイドライン 安全なウェブサイトのために（暗号設定対策編） | 情報セキュリティ | IPA 独立行政法人 情報処理推進機構
「TLS暗号設定ガイドライン」は、TLSサーバの構築者や運営者が適切なセキュリティを考慮した暗号設定ができるようにするためのガイドラインです。「様々な利用上の判断材料も加味した合理的な根拠」を重視して、TLS通信での実現すべき安全性と必要となる相互接続性とのトレードオフを考慮した3つの設定基準（「高セキュリティ型」「推奨セキュリティ型」「セキュリティ例外型」）を設けており、各々の設定基準に対応して、TLSサーバで設定すべき具体的な要求設定（「遵守項目」と「推奨項目」）を決めております。 本ガイドラインは安全なウェブサイトの作り方とともに適切な暗号設定をする資料の一つとしてお使いいただけます。 なお、本ガイドラインは、暗号技術評価プロジェクトCRYPTRECで作成されました。 「TLS暗号設定ガイドライン」の内容 1章と2章は、本ガイドラインの目的やSSL/TLSについての技術的な基礎知識を
オレオレ証明書でsslをaction単位で、かつnginx + unicorn + rails - リア充爆発日記
ステージング環境とかで需要があるかもしれない、ぶっちゃけ証明書がオレオレかどうかはあまり関係のない話。 アプリの対応 全体的にSSLにするならconfig/enviroments/あたりにconfig.force_ssl = trueしておけばいいのだけど、action単位でforce_sslしたい場合はこんな感じで対応する。 controllers/application_controller.rb def force_ssl(options = {}) host = options.delete(:host) unless request.ssl? or Rails.env.development? redirect_options = {protocol: 'https://', status: :moved_permanently} redirect_options.merge!(
くもり、時々、アレ。-大阪 DE Rails- Apache2.2 + mod_proxy_balancer + mongrel_cluster + mod_ssl
エーアールシー株式会社へ入社1年そこそこ…RailsとかRubyとかを、 追っかけ回し、追いつけない。うむむ、今日も「くもり、時々、アレ。」 はい。 えーす、土日休めず疲労こんぱいる。 さぁて、週末から あっし、Apache先生に イジメられてました。 Railsアプリのテスト環境で、SSL切り替えのテストをしたかったので、 CentOSのサーバーで自作のSSl証明書（通称：オレオレ証明書）を作成。 作成方法は、こちら とか、 こちら とかを参照。 で、このあたりはまったく問題なく進めて、 iptables で https ポートを開放、、、 ありゃ。 アクセス出来ん。 しかも、これは、、、apache まで行ってない。 試しに nmap コマンドで内外からポートスキャンすると、、、 443/tcp closed だってさ。 よくよく調べてみると、 Apache の記述に Listen 4
単一IPアドレス上で複数のSSLサイトを運用するSNIの対応ブラウザ
SNI(Server Name Indication)は、SSL/TLSの拡張で、SSLハンドシェイク時にクライアントがアクセスしたいホスト名を伝えることで、サーバ側がグローバルIPごとではなくホスト名によって異なる証明書を使い分けることを可能にするもの。 わかりやすく言うと、従来のIPアドレスベースではなく、ホスト名ベースでSSLサイトを運用できるというものですね。 2009/7/30にリリースされたApache 2.2.12から対応しているというのに、まだまだクライアントサイドで浸透していないように思えるので、なかなか導入に踏み切れませんね。 ここに一度各種ブラウザの対応状況を書き起こしておきたいと思います。 ■ PC Firefox 2.0 以降 Google Chrome 6 以降 Opera 8.0 以降 Internet Explorer 7 以降 ※Windows XP は非
RailsとDeviseのHTTP/HTTPSミックスサイト季節のCORS和えHeroku盛り - Qiita
こんにちは、普段はフリーランスのプログラマをやってます。 最近「Niteta?」というプロフィール管理サービスをリリースしました。 http://niteta.com/ プロフィール: http://niteta.com/profile/nznak99 自分が好きなものについて語る掲示板的な機能が有ったり、ちょっと他のサービスと毛色が違う感じを目指してます。 さて本題です。 Ruby on RailsでHTTP/HTTPS混在のサイトを作ろうとしたら以外と大変だったので、ここにレシピを残しておきます。 献立： 下準備（ドメインの仕入れ） おいしい無料SSL証明書 Deviseのクッキーサンド CORSクッキー 1. 下準備（ドメインの仕入れ） まず、HTTPS/HTTP混在サイトで使うドメインを取得します。 私の場合は深く考えずお名前.comで取得しましたが、Herokuでルートドメインで
HTTPSを使ってもCookieの改変は防げないことを実験で試してみた
寺田さんのブログエントリ「他人のCookieを操作する」には、通信路上の攻撃者がいる場合は、SSLを使っても、Cookieの盗聴を防ぐことはできるが、Cookieの改変を防ぐことはできないと指摘されています。いかにも寺田さんらしい簡にして要を得たエントリで、これに付け加えることはあまりないのですが、残念ながらまだ読んでいない人が多そうだと言うことと、より広い読者に向けて具体的に説明した方がよいだろうと考えました。 そこで、通信路上に攻撃者がいる典型例として、公衆無線LANの偽AP（アクセスポイント）があるケースを題材として、「HTTPSを使ってもCookieの改変は防げない」ことを説明します（Secure属性使うと盗聴は防げますが、改変は防げません）。長いエントリなので結論を先に書いておきます。 Secure属性がないCookieはHTTPSでも盗聴できる Cookieの改変についてはSe
SSL で暗号化しても Cookie で secure 属性を指定しないと盗聴される可能性があるかもしれない
堅牢なお問い合わせフォームを作ることになり、規定書に Cookie には secure 属性を指定してねとありました。secure 属性なんて初めて聞いたので、ちょっと調べてみたところ、secure 属性以外にも expires 属性とかいろいろありますけど、知ってるやと思ったらこれも危険に繋がるみたい。 secure 属性って何 これを指定すると HTTPS の通信時のみクッキーを送信します。逆に指定しなければ HTTPS の時に作った Cookie が HTTP の時に見ることができてしまい、盗聴されることに繋がりますね。 expires 属性って何 クッキーの有効期限を指定するものなんですが、指定しなければブラウザを閉じたときは Cookie は破棄になるんですが、有効期限を指定した場合に危険があるみたいです。 この属性が指定されていなければ，ブラウザを起動していないユーザーが被害に
無料のSSL証明書StartSSLを活用する - Qiita
背景 自前のサービスでhttps通信をサポートするには、SSL証明書が必要になります。 自分で使用するだけなら、SSL証明書も自前で作成するいわゆるオレオレ証明書を用いても良いのですが、外部に公開するサービスの場合そうとも行きません。 SSL証明書というと値段が高い印象がありましたが、StartSSLというサービスで無料でSSL証明書の発行を受けられると言うことで試してみました。 StartSSLにユーザー登録する 証明書の発行を行う前に、StartSSLにユーザー登録する必要があります。 StartSSLから、"StartSSL Free (Class1)"を選択します。 Certificate Control Panelを選択。 Sign-upに進みます。 名前、住所、メールアドレスなど 個人情報の登録を行います。 登録したメールアドレスに本人確認のメールが届くので、受信したメールのa
自堕落な技術者の日記 : Xperia上のブラウザがサポートするSSL/TLS CipherSuites - livedoor Blog（ブログ）
基本は喰ってるか飲んでるかですが、よく趣味でカラオケ・PKI・署名・認証・プログラミング・情報セキュリティをやっています。旅好き。テレビ好きで芸能通 少し時間があったので会社から貸与されたdocomoの新型スマートフォンXperiaをいろいろいじってみました。今回は、手始めにXperiaで使われそうなウェブブラウザのSSL/TLSのCipherSuiteについて調べてみました。 Xperia (Android 1.6)の標準ブラウザ Xperia上のOpera mini beta5 (5.0.18302) HTMLの表の方もあるのでこちらもどうぞ。 で、表を見てみると特徴はこんなところでしょうか。 Xperia標準ブラウザのSSL/TLS SSLv3, TLSv1.0をサポートし、SSLv2をサポートしない。切り替え設定はできない。 サポートするCipherSuitesは19で標準的なPC
Security/Server Side TLS - MozillaWiki
The ordering of cipher suites in the Old configuration is very important, as it determines the priority with which algorithms are selected. OpenSSL will ignore cipher suites it doesn't understand, so always use the full set of cipher suites below, in their recommended order. The use of the Old configuration with modern versions of OpenSSL may require custom builds with support for deprecated ciphe
Apache2.2/Tips - PukiWiki
ログ振り分け† ローカルアクセスやロボットのログを分けてみる。 #ローカルIPアドレス SetEnvIf Remote_Addr 127.0.0.1 local nolog SetEnvIf Remote_Addr 192.168.x.x local nolog #クローラ SetEnvIf Remote_Host msnbot search nolog SetEnvIf User-Agent googlebot search nolog #ログ振り分け CustomLog logs/access_log combined env=!nolog CustomLog logs/search_log combined env=search CustomLog logs/local_log combined env=local ↑ Ciphersの指定† SSLCipherSuiteで弱い奴を弾
SSL/TLS の暗号アルゴリズムの決定メカニズムをパケットレベルで追いかけてみる - /dev/null blog
楽しいことを見つけると寝食を忘れてのめり込んでしまう、プラットフォーム・グループの坂井です。 最近は SSL/TLS のプロトコルを調べるのが楽しくて、RFC のドキュメントや関連書籍を読み漁っています。 SSL/TLS で通信するためには、クライアントとサーバの両者でどの暗号アルゴリズムを使うか決めなくてはなりません。ブラウザの種類やバージョン、サーバの設定や実装など、様々な要素から暗号アルゴリズムは決定されます。 暗号アルゴリズムの決定メカニズム 暗号化通信が開始されるまでにはハンドシェイクプロトコルに則った処理が行われますが、暗号アルゴリズムの決定は最初の 1 ターン目で決まります。 クライアントが利用可能な暗号アルゴリズムの一覧を送信 (Client Hello) サーバは送られてきた一覧から使用するアルゴリズムを決定 (Server Hello) クライアントは自分が使える暗号ア
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
https://jp.techcrunch.com/2014/04/08/20140407massive-security-bug-in-openssl-could-effect-a-huge-chunk-of-the-internet/
Apache SSL - CipherSuite の設定
http://www.chandank.com/webservers/apache/apache-web-server-hardening-security/263-apache-web-server-hardening-security?showall=&start=4