図解 X.509 証明書 - Qiita
はじめに X.509 証明書について解説します。(English version is here → "Illustrated X.509 Certificate") ※ この記事は 2020 年 7 月 1 日にオンラインで開催された Authlete 社主催の『OAuth/OIDC 勉強会【クライアント認証編】』の一部を文書化したものです。勉強会の動画は公開しており、X.509 証明書については『#4 X.509 証明書（１）』と『#5 X.509 証明書（２）』で解説しているので、動画解説のほうがお好みであればそちらをご参照ください。 1. デジタル署名（前提知識） この記事を読んでいただくにあたり、デジタル署名に関する知識が必要となります。つまり、「秘密鍵を用いて生成された署名を公開鍵で検証することにより」、「対象データが改竄されていないこと」や「秘密鍵の保持者が確かに署名したこと
Let’s EncryptとNginx : セキュアなWebデプロイメントの現状 | POSTD
最近まで、SSL暗号化通信は「あると好ましい機能」という程度にしか考えられていませんでした。そのため、安全なのはアプリのログインページだけというサービスが数多く存在していました。 しかし、状況は良い方向へと変化しています。現在では暗号化は必須と考えられ、ほとんどの開発者が導入を義務付けています。また、巨大検索エンジンGoogleでは、SSLの導入が検索結果の順位を決定する要因にさえなっています。 しかし、SSLが広範に普及しているにも関わらず、セキュアなWebサービスを構築することは、未だに面倒で、時間がかかり、エラーの原因になりやすいと考えられています。 最近この分野では、 Let’s Encrypt が、SSL証明書をより広く普及させ、Webサイトのセキュリティ維持に係るワークフローを大幅に簡略化しようと取り組んでいます。 強力なWebサーバNginxや、他のハードニング方法と組み合わ
無料のSSL証明書StartSSLを活用する - Qiita
背景 自前のサービスでhttps通信をサポートするには、SSL証明書が必要になります。 自分で使用するだけなら、SSL証明書も自前で作成するいわゆるオレオレ証明書を用いても良いのですが、外部に公開するサービスの場合そうとも行きません。 SSL証明書というと値段が高い印象がありましたが、StartSSLというサービスで無料でSSL証明書の発行を受けられると言うことで試してみました。 StartSSLにユーザー登録する 証明書の発行を行う前に、StartSSLにユーザー登録する必要があります。 StartSSLから、"StartSSL Free (Class1)"を選択します。 Certificate Control Panelを選択。 Sign-upに進みます。 名前、住所、メールアドレスなど 個人情報の登録を行います。 登録したメールアドレスに本人確認のメールが届くので、受信したメールのa
ログインしてください：日経クロステック（xTECH）
会員限定サービスです 月額プランが10月末まで無料 お申し込み 会員の方はこちら ログイン 日経クロステック TOPページ
高木浩光＠自宅の日記 - EV SSLを緑色だというだけで信用してはいけない実例
■ EV SSLを緑色だというだけで信用してはいけない実例 EV SSLに関して以前から懸念されていたことが既に現実になっていた。一時期、EV証明書を発行する一部のCA事業者が、EV SSLの宣伝で「緑色になったら安全」などといいかげんな広告を打っていて、誤った理解が広まりかねないと心配されていたわけだが、「緑色になったら安全」という理解がなぜ駄目なのか、その理由の一つは、いわゆる「共用SSL」サービスにEV SSLが使われかねないという懸念だった。 そして、その実例が既に存在していたことに気付いた。図1は私が作ったWebページである。 アドレスバーは緑色になっているが、ここに入力されたデータは私宛にメールで送信*1されてくる。（このページは既に閉鎖している。） 悪意ある者がこうしたページを作成*2し、何らかの方法でこのページに人々を誘導*3すれば、フィッシングの被害が出るおそれがある。
SSLで使われる証明書の偽造に成功、200台のPS3でMD5をクラック | スラド セキュリティ
TechCrunch Japaneseで日本語の記事が出ているが、HTTPSで通信を行う際に使われる公開鍵証明書を偽造することに成功したそうだ。 HTTPSでは、接続しようとしているWebサイトが正当なものかどうかを判断するために公開鍵証明書を使用している。この公開鍵証明書は認証局の署名により「正当なものである」ことが担保されるが、今回は証明書のデジタル署名にMD5が使われていることに注目、PS3を200台使ったシステムでこの署名をクラックしてニセ証明書を作成することに成功したとのこと。 現在ではMD5は安全ではない、ということは広く知られているとは思うが、まだMD5を使用して認証を行っている認証局は少なくないようだ。対策としては認証局がMD5ではなくより強固なSHA-1などの暗号化方法を採用することくらいしか無い模様で、ユーザーサイドでは「不審なサイトには重要な情報は送信しない」というこ
Comodo CAがサーバ証明書を関係のない第三者に発行、大問題に | スラド セキュリティ
本家のストーリにもなっているが、認証局として知られる「Comodo」のアウトソース先の証明書販売業者が、mozilla.com用のサーバ証明書を関係のない第三者に発行してしまう事件が発生したようだ（eWeekの記事「SSL Certificate Vendor Sells Mozilla.com Cert to Some Guy」、mozilla.dev.tech.cryptoグループに掲載されている事件の経緯）。 これをやらかしたのは「Certstar」というComodoの再販業者のようだ。StartComのEddy Nigg氏がこの再販業者に対してmozilla.com用のサーバ証明書の取得を試みたところ、何の本人確認手続きもなしに証明書が発行され手に入ってしまったのだそうだ。mozilla.dev.tech.cryptoでは、Comodoの人が出てきて、この再販業者からの発行を停止し
高木浩光＠自宅の日記 - 日本航空のEV SSL導入のナンセンス
■ SSLを要するモバイル環境でのパスワードマネージャの使い方に注意 Basic認証の話 この日記にSSLを導入した*1。基本的には自分用（編集時の安全を確保する）のもので、FirefoxとSafari（Mac OS版のSafari）からしか使えない*2*3。これにより、外出先の公衆無線LANからでも日記を編集できるようになった。 これまでは、自宅のコンピュータでしかログインしないようにして、http:// のままBasic認証を使っていた。パスワードが生のまま送信されるが、自宅の通信環境はまあ信頼できるので、（その先の通信路上で盗聴されるリスクがあるにしても）リスクは受容できると考えてきた。しかし、外出先で公衆無線LANを使うとなると、そのリスクは受容できない。6日の日記「公衆無線LANで使うと危ないiPod touchアプリに注意」にも書いたように、公衆無線LAN内の通信は簡単に傍受さ
高木浩光＠自宅の日記 - 公衆無線LANで使うと危ないiPod touchアプリに注意
■ 公衆無線LANで使うと危ないiPod touchアプリに注意 ヨドバシカメラでiPod touchを購入すると公衆無線LANサービスの加入案内が付いてくるように、iPod touchは、公衆無線LANでの使用が奨励されている機器である。 しかし、現状の公衆無線LANサービスは、無線通信の暗号化に用いる鍵が加入者全員で同一のところがほとんどであり（あるいは、暗号化しないところもある）、電波を傍受されて通信内容を読まれる危険性や、気付かないうちに偽アクセスポイントに接続してしまう（そして、通信内容を読まれたり書き換えられたりする）危険性がある。 ただ、現時点では、このリスクはしかたのないものとして受容されており、その代わりに、パスワードや重要な情報を送受信する際には、アプリケーションレベルでの暗号化（SSL等の使用）が必須という考え方になっている。 つまり、Webブラウザを使う場合であれば
無料で使えるサーバ監視/サイト監視。SSL証明書/ドメインの有効期限チェック ： Site Alert(サイトアラート)
お知らせ 2017/01/03 xyz ドメインに対応しました ドメイン期限監視について、xyz ドメインに対応いたしました。 追加ご希望のドメインがございましたら お問い合わせ よりお気軽にご依頼ください。 2016/12/28 サーバ監視における ssh タイムアウトについて 2016/12/28(水) 00:00 頃～12/29(木) 00:00 頃の間、サーバ監視における ssh ポート (ポート22) への接続が全件タイムアウトとなり失敗として扱われる事象が発生しておりました。 上位回線において過剰な通信と判断され、外部 ssh ポートへの接続を制限したとのことでしたが、 調整の結果、ssh ポートへの制限を解除し、今後はこのような制限をかけないことで合意いたしました。 皆様にご不便をおかけしたことをお詫びいたします。 2016/12/27 システム機能追加のお知らせ SSLサー
Gmailが「https:」のみによる接続機能を提供開始
Googleは新しい「ブラウザ接続」機能を追加し、ユーザーがGmailで電子メールセッションを利用する際に常により安全な「https:」プロトコルを利用できるようにしたが、不思議なことにこの機能はデフォルトでは有効になっていない。 Gmailのユーザーは「設定」ページの一番下の部分で、「Always use https」（訳注：日本語版では「常にhttpsを使用する」）オプションを選択し、セキュリティを強化することができるようになった。これは無線LANで接続している場合に特に有効だ。 これによって、サイドジャッキングやクッキー盗難攻撃のような危険にさらされる可能性が減少するはずだ。 Googleは以下のように説明している。 Gmailに公衆無線LANや暗号化されていないネットワークなどの安全でないインターネット接続を通じてサインインした場合、ユーザーのGoogleアカウントのハイジャックに
第6回 七つの疑問に答える（3）：暗号化された通信もチェックできるの？
管理者の立場でセキュリティをできるだけ強化しようと考えるなら，「暗号化されたパケットの中身までチェックできるかどうか」というのは気になるところだ。UTMの中には，米セキュア コンピューティングの「Sidewinder G2」のように，SSLのような暗号化して通信する場合でも，パケットの中身をチェックできるものがある。どのようなしくみになっているのかを見ていこう。 UTMがSSLのサーバーにもなる UTMでSSL通信の中身をチェックする方法を知るには，まずSSLによる通信のポイントを押さえておく必要がある。SSL通信では，最初にサーバーが正しいかどうかを認証し，正しいと確認できたら暗号化通信を始める。これら二つの作業に必要なのが，サーバーの証明書だ。証明書には，サーバーが正しいものであることを示すディジタル署名と，暗号化通信に必要な鍵が添付されている。このように，証明書はとても重要なものであ
高木浩光＠自宅の日記 - こんな銀行は嫌だ
■ こんな銀行は嫌だ 「こんな銀行は嫌だ――オレオレ証明書で問題ありませんと言う銀行」……そんな冗談のような話がとうとう現実になってしまった。しかも、Microsoftが対抗策を施した IE 7 に対してさえ言ってのけるという。 この原因は、地方銀行のベンダー丸投げ体質と、劣悪ベンダーが排除されないという組織の構造的欠陥にあると推察する。 【ぶぎんビジネス情報サイト】アクセス時に表示される警告メッセージについて ぶぎんビジネス情報サイトでは、サイトＵＲＬ（https://www.bugin.cns-jp.com/）ではなく、ベースドメイン（https://www.cns-jp.com/）でSSLサーバ証明書を取得しております。このため、本サイトにアクセスする際、ブラウザの仕様により次の警告メッセージが表示されますが、セキュリティ上の問題はございませんので、安心してぶぎんビジネス情報サイトを
IISでSSLページ(https)を設定する基本的な操作は
作成日：2005/07/09 更新日：2018/09/02 対象：Windows 2003 IISでSSLページ(https)を設定する基本的な操作は 以下が基本的な手順です。 (1)コントロールパネルの「アプリケーションの追加と削除」で証明書サービスチェックされていることを確認します。 (2)コントロールパネルの「アプリケーションサーバ」で「インターネットインフォメーションサービス(IIS)」がチェックされていることを確認します。 (3)テスト用の仮想フォルダを作成します。（例えばssltest。実態はc:\inetpub\wwwroot\ssltest） (4)上記のフォルダにテスト用のhtmlページを作成します。(例えば index.html) (5)管理ツールより「インターネットインフォメーションサービス(IIS)マネージャを起動します。」 (6)「既定のWebサイト」を右クリック
GIGAZINEにおけるEV SSLの説明の間違い - Nothing ventured, nothing gained.
ちょっと大人気ないタイトルかもしれないが、誰も指摘していないようなので、間違った認識が広まることを懸念して、このようにつけさせてもらった。 ITmediaに 機能強化版SSLは「厳格な審査で一段高い信頼を実現」という記事が載っていたので、EV SSLが現在どの程度認知されているかと思い、検索していたら、今年の2月にGIGAZINEに IE7のアドレスバーが緑色に変化する「EV SSLサーバ証明書」を体験 という記事が投稿されていたのを発見。 GIGAZINEの誤解 IE7のアドレスバーの画面をふんだんに使うことでわかりやすく説明しているのは、さすが人気サイトという感じだが、残念なことにSSLの認識理解に誤りがある。 アドレスの最初が「https」で始まるSSL（Secure Socket Layer）による暗号化通信ですが、現時点では暗号化とそのサーバの証明書（サイトの実在証明）とが混同さ
高木浩光＠自宅の日記 - 銀行のフィッシング解説がなかなか正しくならない
■ 銀行のフィッシング解説がなかなか正しくならない みずほ銀行のトップページを訪れたところ、2月26日付けで「セキュリティガイド（4コマ漫画）を掲載いたしました」というお知らせが出ていた。見に行ってみると、「インターネットバンキング編」という解説があり、「 「フィッシング詐欺」に遭わないためには？」というページがあった。この出来が非常に悪く問題がある。 まず酷いのが、「電子メールが本物かどうかは、送信元アドレスで確認できます。」という完全に誤った解説だ。 「……@mizuhobank.co.jp」というメールアドレスを From: に書いてメールを送ることは誰にでも可能なわけだが、そんなことさえ知らないド素人に、こんな大事な解説の原稿を書かせる神経が理解できない。セキュリティ専門のコンサルに一読してもらうだけで防げるレベルのミスなのに、なぜそれをしないのか。 URLの確認方法として、「UR
5分で絶対に分かるSSL-VPN − ＠IT
SSLって何だったっけ？ SSL-VPNを学ぶ前に、まず「SSL」についておさらいしてみましょう。 SSL（Secure Sockets Layer）は、Webサーバとのやりとりを暗号化してくれるもので、ショッピングサイトなどでクレジットカード番号を入力するページでおなじみでしょう。SSLは「やりとりを盗聴されていないこと」「相手が偽物ではないこと」「やりとりを誰かが改ざんしていないこと」を証明してくれる、縁の下の力持ちとなります。 SSLという言葉を知らなくても、この鍵のマークにはお世話になっている人も多いと思います。SSLはPC向けのブラウザだけではなく、携帯電話やゲーム機、PDAなどのブラウザでも実装されている、とても一般的なプロトコルです。 SSLの歴史は古く、1995年に登場したNetscape Navigator 2や、1996年に登場したInternet Explorer 3
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
takui.net该域名已被西部数码用户抢先注册，如您有兴趣请前往西部数码
IDS（後編）
http://www.comodojapan.com/20060906.html