SNIの仕組みをOpenSSLコマンドで理解する - Qiita
$ openssl s_client -connect help.hipchat.com:443 -showcerts < /dev/null 2>&1 | grep subject subject=/OU=GT20300774/OU=See www.rapidssl.com/resources/cps (c)15/OU=Domain Control Validated - RapidSSL(R)/CN=*.uservoice.com SNIという、一つのIPアドレスが複数のSSL証明書を扱える技術があるのですが、サーバ側でSNIを使っている場合、SSLハンドシェイク時にドメイン名を指定しないと正しいSSL証明書が返ってこない事があります。 比較的新しいサービスだとSNIを使っている事が多いです。例えば、HipChatのヘルプページ（help.hipchat.com）ですが、これはSNIを
CentOS 6 の Git で SSL connect error にハマった (NSS error -12286)
CentOS 6 の Git で急に fetch や pull ができなくなってハマったので、その記録です。なお、サーバー側は GitLab です。 症状 以前はできていたはずのリポジトリで git fetch が下記のようなエラーを出して、実行できなくなりました。 同じく、別ディレクトリで同一サーバーからの git clone もできなくなっていました。ただ BitBucket のリポジトリは同症状なのに GitHub のリポジトリだけは成功してしまうという困った状態でした。 なお OpenSSL は yum で更新できる最新の状態でした。 試行錯誤 1. git の SSL 検証を OFF にしてみる よくある対処法ですが、 SSL/TLS 系のエラーなのは間違いなさそうだったので、 SSL 検証を OFF にしてみましたが、効果はありませんでした。 2. GitLab 側の認証を外す
SSL/TLSサーバ証明書、コードサイニング証明書 | 国内最安値DigiCert（デジサート）正規代理店
世界最大のサイバーセキュリティ企業であるSymantec（以下シマンテック）と、暗号化ソリューションの大手プロバイダであるDigiCert Inc.は2017年8月2日（現地時間）、DigiCertがシマンテックのウェブサイトセキュリティ事業及びそれに関連するPKIソリューションを取得する契約の合意を発表しました。 DigiCert（デジサート）は、拡張性の高いソリューション、業界をリードする顧客サポートの提供や、業界のベストプラクティスの向上に重要な貢献をすることで、高い評価と高い顧客ロイヤリティを誇っています。 シマンテックのウェブサイトセキュリティ事業及び関連するPKIソリューションを製品に追加することで、DigiCertは次世代のグローバルウェブサイトセキュリティをリードする驚異的な才能と経験を手にし、IoTの成長機会を活用してSSL市場に新しいアプローチをもたらす能力を得るでしょ
名前ベースのバーチャルホストでSSLを使う（SNI） | あぱーブログ
TLS拡張（RFC4366）仕様の一つ Server Name Indication（SNI）によって名前ベースのバーチャルホストでもSSLが使えますが、そもそもなぜ、名前ベースのバーチャルホストでSSLが使えないのかその理由と、SNIの仕組みと設定方法について調べてみました。 以前、WEBディレクターの方から、SSLを使っているサイトのバーチャルホストの設定依頼を受けて「SSL使ってるとバーチャルホストは使えないっすよ」とドヤ顔で答えてしまい、少し恥ずかしい思いをしました。(^^;) 昔の上司の言葉「常にアンテナを張っておけ！」を思い出します。 SNIの仕組みSSLを使っていると当然ですがHTTPヘッダは暗号化されているので、クライアントがどのホスト名を指定しているのか判断できないため、先頭のバーチャルホスト（図の場合は lamp-sv）が表示されてしまいます。 SNIではSSL/TLS
PostfixのTLS実装ってSNI対応してないのね… - y-kawazの日記
追記あり、解決したんで最後まで読んでね。 最近いくつかのドメインでSSLサーバ証明書を取ったので折角なのでPostfixにも設定してみようと思ったのが始まりで、改めて TLS_README とかを見ながらマルチホスト名のSSL設定方法を探してみたんだがどうにも見つからないぞ？ 通常のTLS利用次に行う smtpd_tls_cert_file や smtpd_tls_key_file の設定項目に対して、smtpd_tls_key_file_mapsやsmtpd_tls_key_file_mapsとかがあるんじゃないかと思ってたんだがどうにも見当たらない。smtp_tls_per_site とかsmtp_tls_policy_mapsとかsmtp_tls_fingerprint_cert_matchとか何かそれっぽい名前の設定項目も見つけたが、どうやらこれらは接続先の証明書の妥当性チェックの
Let's Encrypt、ワイルドカード証明書を発行開始へ--2018年1月より
印刷する メールで送る テキスト HTML 電子書籍 PDF ダウンロード テキスト 電子書籍 PDF クリップした記事をMyページから読むことができます Let's Encryptが、ワイルドカードセキュリティ証明書の発行を2018年初頭より開始する。 Let's Encryptは、これまでに1億件以上の無料証明書をオンラインで発行している。発表によると、ウェブマスターや開発者は2018年1月にはワイルドカードセキュリティ証明書を利用できるようになるという。 ワイルドカード証明書は従来のTLS証明書と同様に機能するが、単一の証明書で1つのドメインと無制限のサブドメインのセキュリティを確保できるため、より短時間で導入することが可能だ。 ワイルドカードオプションは、Let's Encryptコミュニティーで最も要望の多い機能の1つである。Let's Encryptも、「HTTPSの導入を簡素
サーバーの環境がSNIに対応したものかどうかを確認するには - そこでひっかかる（masaakibの日記）
参考： NameBasedSSLVHostsWithSNI - Httpd Wiki SNI（Server Name Indication：RFC4366）が使える環境： OpenSSL 0.9.8f以降（0.9.8k以降はデフォルトで組み込み） Apacheが、SNIがビルドされたOpenSSLを使えるように設定されていること SNIがビルドされたOpenSSLが使えるようになっていない場合、 Apacheのerror.logに、 "You should not use name-based virtual hosts in conjunction with SSL!!" と表示される。 使えるようになっている場合は、 "[warn] Init: Name-based SSL virtual hosts only work for clients with TLS server name
MySQLでSSL接続を有効にする - Qiita
環境 AmazonLinux AMI release 2014.03 MySQL 5.5 OpenSSL 1.0.0 MySQLのインストール パッケージでのインストール mysql> show variables like '%ssl%'; +---------------+----------+ | Variable_name | Value | +---------------+----------+ | have_openssl | DISABLED | | have_ssl | DISABLED | | ssl_ca | | | ssl_capath | | | ssl_cert | | | ssl_cipher | | | ssl_key | | +---------------+----------+ 7 rows in set (0.00 sec) $ openssl ge
let's encrypt の revoke とドメイン管理 - 日記
前回の続きで、もう少し let's encrypt tnamao.hatenablog.com 証明書の破棄 前回のエントリで作成した証明書の破棄を試してみたいと思います。 証明書を破棄するときも、letsencrypt-auto コマンドを使います。 破棄する証明書がある $ sudo supervisorctl stop nginx $ ./git/letsencrypt/letsencrypt-auto revoke --cert-path /etc/letsencrypt/live/test.tnamao.net/fullchain.pem $ sudo supervisorctl start nginx 発行や更新のときと一緒で、nginx を止めてから、letsencrypt-auto コマンドを実行します。 そして、ブラウザから証明書を確認すると…。 破棄できた！＼(^o^)
Let's encryptで無料のSSL/TLS証明書を取得して独自ドメイン運用のGAEに入れて使う - イケてる SaaS を作りたい (koni blog)
GAE 公式で Let's encrypt に対応! 2017年9月より、GAE自体がLet's encrypt に対応しました。 これにより、コンソールからの簡単操作でSSL証明書が導入できるようになりました。 しかも Google が自動的に証明書も更新してくれます。 今から設定する人は、そちらを使いましょう。 無料でSSL/TLS証明書が発行できるLets' Encryptプロジェクトが、2016年4月、ついにベータ版から正式版になりました。 jp.techcrunch.com 無料といっても、MozillaやGoogle, Facebookなどのウェブ企業や、シスコやアカマイなどのネットワーク関係の大御所も支援しているプロジェクトなので、審査がなく全自動で発行されるタイプの1,000-2,000円くらいの有料のSSL証明書と全く遜色ありません*1。 業界的にウェブの暗号化に向けてこ
Google 透明性レポートに 「HTTPS の使用状況」 セクションが追加、日本は HTTPS の普及で遅れ気味
Google 透明性レポートに 「HTTPS の使用状況」 セクションが追加、日本は HTTPS の普及で遅れ気味 Google は、同社が公開している透明性レポートに、新たに 「HTTPS の使用状況」 セクションを追加したことを発表しました。データを見てみると、日本だけ他国に比べて HTTPS の利用率が低いことがわかります。 Google は、同社が公開している透明性レポート （Transparency Report） に、新たに 「HTTPS の使用状況 （HTTPS Usage）」 セクションを追加したことを発表しています。 このセクションには、HTTPS 使用状況が時間の経過とともにどう変化しているかがわかるデータが、Web 全体、および国別にまとめられています。 データを見ると、現時点でパソコン向けページについて、ユーザーが表示するページの半分以上が HTTPS 経由になって
Let's Encrypt サーバー証明書の取得と自動更新設定メモ
用途にもよりますが、通信の暗号化を目的とするのであれば、ドメイン認証型で十分です。例えば HTTP/2 でWEBサーバを動かすには、事実上SSL/TLSが必須になりますので、そういった用途でも普及しそうですね。 Let's Encrypt の証明書取得方法 Let's Encrypt クライアントソフト(コマンド)をインストールして、証明書取得用のコマンドを打つだけです。 冒頭にも書きましたが、Let's Encrypt での証明書取得の手続きは、他の認証局のものと大きく異なります。Let's Encrypt のサイトに行って「CSRを送信する申請フォームはどこだろう？」と探したのは、私だけではないはずです(^^;) 参考までに、一般的なドメイン認証型の証明書発行の流れは、以下の通りです。 (1) 秘密鍵を作成 (2) 秘密鍵を元に、CSR（証明書を発行するための署名要求）を生成 (3)
nginx で http でのアクセスを https にリダイレクト - Qiita
ちょっと検索するとrewriteするやり方が結構出てくるのだけど色々見てたらreturnを使う方法がシンプルだったので採用してみた。正規表現とかifとか出てこないのでわかりやすい。 server { listen 80; server_name example.com; return 301 https://$host$request_uri; } server { listen 443; ssl on; # ... }
Let's Encrypt （無料 SSL サーバ証明書） の設定が超簡単になったと聞いて試してみた件
Webセキュリティの小部屋さんで下記の記事が公開されていて、無料の SSL （TSL） サーバ証明書を提供する認証局 「Let's Encrypt」 からの証明書取得がとっても簡単になったということなので、ちょっと試してみましたが、とっても簡単だったのでメモ。 無償SSL/TLS証明書の Let's Encrypt の設定が劇的に簡単になっていた ： Webセキュリティの小部屋 Certbot たった 2コマンドで SSL 証明書の取得が完了 Let's Encrypt は元々簡単な処理でドメイン認証 （Domain Validation / DV） 証明書を取得することができて、私もテストで何度か設定してみたりしていたのですが、ある程度触ったところで、簡単そうだし手が空いたら本番サーバでも設定して使ってみようかな～ なんて思っていたらそのまま手つかずという感じで時間が経っていました。 と
中国最大級の認証局「WoSign」がニセの証明書を発行していたことが判明
by Barney Moss 無料でSSL証明書を発行してくれることで、多くの自宅サーバーユーザーに重宝されている中国最大級の認証局「沃通(WoSign)」が、「偽物の証明書」を大量に発行していたことが明らかになりました。 The story of how WoSign gave me an SSL certificate for GitHub.com | Schrauger.com https://www.schrauger.com/the-story-of-how-wosign-gave-me-an-ssl-certificate-for-github-com Thoughts and Observations: Chinese CA WoSign faces revocation after possibly issuing fake certificates of Github,
Let's Encrypt の使い方 - Let's Encrypt 総合ポータル
Let's Encrypt は、クライアントソフトウェア「Certbot」を使用することで、SSL/TLS サーバ証明書の取得・更新作業を自動化できる仕組みになっています。 独自ドメインがあれば、簡単なコマンド操作で SSL/TLS 証明書（無料）を取得できます。 ※一般の認証局で SSL/TLS サーバ証明書を取得する場合とは異なり、秘密鍵・公開鍵・署名リクエスト（CSR）を手動で生成する必要はありません。これらの作業は、Certbot クライアントが自動的に行います。 ※Certbot 以外の ACME クライアント (英文) を使用して Let's Encrypt の証明書を取得することも可能です。 より詳しく知りたい方へ このページでは、Certbot クライアント（旧・Let's Encrypt クライアント）のプラグイン Webroot または Standalone を使用して
AWS Certificate ManagerでSSLをお手軽に！ - サーバーワークスエンジニアブログ
こんにちは。技術1課の高橋です。最近日比谷公園の鉄棒やつり輪でトレーニングをしています。Street Workoutってやつですな。 さて今回は AWS Certificate Manager を利用して、簡単にSSLを利用する方法をご紹介します。 AWS Certificate Manager とは AWS Certificate Manager（以下、ACM）とは、AWS上でお手軽にSSLを利用することのできるサービスです。 通常SSLを利用するには、CSRファイルを作成し認証局にお金を払い...等々の作業が必要になりますが、ACMを利用することで簡単にSSLを利用することができます。 ACM利用のポイント ACM利用にあたってのポイントはこちらです。 ドメイン認証SSL証明書であること SSL証明証には3つ種類があります。 ドメイン認証証明書（Domain Validation）組織
StartSSLにドメイン認証不備の脆弱性
Osama almanna's blogにて、StartSSLにドメイン認証に脆弱性があったと報告されています。 In 9 March, 2016 During my research I was able to replicate the attack and issue valid certificates without verifying the ownership of the website which I will explain later in my post, the vulnerability was reported and fixed within hours. ウェブサイトの所有権を検証しないで、正当な証明書が交付されるというものですね。脆弱性は報告の後数時間で修正されたとのことです。 以下、彼のブログ記事を元に、脆弱性の内容と修正方法について説明します。 問題
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
Apache2.2系で中間証明書ファイルを指定するのはSSLCertificateChainFile？SSLCACertificateFile？ | infra.xyz
[GeoTrust] 中間CA証明書をインストールする必要はありますか