ウン十万接続のALB SSL証明書を平和に更新したい - Nature Engineering Blog
こんにちはSREの黒田です。 これは第2回 Nature Engineering Blog 祭9日目のエントリです。 昨日はCorporate ITのマロニーによる GASを使って社内のSaaSアカウントを可視化しよう - Nature Engineering Blog でした。 昨日に続いて今日のお話も、話題の新製品Remo nanoやMatterとは関係ありません。 TL;DR WebSocketで大量に永続接続されているALBのSSL証明書を更新すると、接続がばっこんばっこん切られて大変なので、ALBを二台用意して緩やかに接続を移行するようにしたら、大変平和になって僕もみんなもハッピーになった。 背景 そもそもNatureではどこに何のためにWebSocketを使ってるの？って話から始めると長いので、詳しくはこちらを見ていただければと思います (結構前の資料なので今とは違う部分も色々
フィーチャーフォンにおけるSSL/TLSについて - Qiita
この記事はACCESS Advent Calendar 2016の15日目の記事で、前日のTLS 1.3についての続き、というか、関連する内容です。なお筆者は業務でフィーチャーフォンブラウザには関わったことはなく(開発が主に行われてた時期のはるか後に入社しています)、本記事は公開情報に基づいて記載しています。 フィーチャーフォンではTLSのいくつかの機能が使えない 前回の記事ではTLS 1.3の機能がいかにして過去の技術的負債を一掃しセキュリティの向上に貢献するか、ということを記載しましたが、ということは同時に巨大な非互換性を生むことになるわけです。TLS 1.3がスタンダードとなりTLS 1.2以前が非推奨となったときTLS 1.3に対応していないクライアントはどうなるのか…？といったとき、フィーチャーフォン（いわゆるガラケー）の世界ではTLS 1.3以前から巨大な非互換性が生まれていた
１台のEC2でもELBを使うメリットについてまとめてみました | DevelopersIO
ご機嫌いかがでしょうか、豊崎です。 ELB（Elastic Load Balancing）はその名の通りロードバランサーなので、負荷分散のイメージが強いと思いますが、 ここではWEBサーバが１台でも前段にELBを置いた方がいい理由についてまとめたいと思います。 WEBサーバが１台でもELBを置いた方が良い理由 インスタンスの差し替えが容易 運用が開始した後、EC2に対して修正を行う必要がでた場合、インスタンスの差し替えが容易になります。 DNSの変更を行うことなく、バックエンドの切り替えが可能です。 ELBのヘルスチェックで監視 ELBのヘルスチェックを利用してWEBサーバの死活監視を行うことができます。 CloudWatchアラームを組み合わせて通知が可能です。 HTTPSのSSL終端をELBへ SSLを利用する場合、EC2でSSLを終端させるとOpenSSLなどの管理が発生します。 一
GlobalSign 失効騒ぎ - どさにっき
■ GlobalSign 失効騒ぎ _ 先週 GlobalSign がやらかした障害について 詳細な報告書が出てた。一読してだいたい理解できたけど、字ばっかで図がないのでやっぱりわかりづらい。わかりやすくしてみる。 _ 障害発生前の状態。 +----------+ +--------+ +----------+ | Root(R1) |-----| 中間CA |------| EE証明書 | +----------+ +--------+ +----------+ | +----------+ +---------+ | Root(R2) |-----|crossroot| +----------+ +---------+ EE(エンドエンティティ)証明書ってのはサーバ証明書とかクライアント証明書とかコード署名証明書とか、要するに一般ユーザが買う証明書のこと。通常は EE - 中間 CA
[ACM] AWS Certificate Manager 無料のサーバ証明書でCloudFrontをHTTPS化してみた | DevelopersIO
はじめに AWSチームの鈴木です。 本日、AWSより新機能「AWS Certificate Manager」（ACM) が発表され、無料でサーバ証明書を発行し、CloudFront、ELBで利用する事が可能になりました。 今回、ACMでサーバ証明書を発行し、CloudFrontの独自ドメイン設定でHTTPS通信を試す機会がありましたので、その一連の手順を紹介させて頂きます。 New – AWS Certificate Manager – Deploy SSL/TLS-Based Apps on AWS 手順 ACM の利用開始 AWSコンソール、セキュリティ＆アイデンティティに増えた「Certificate Manager」を開きます。 ACMは、2016年1月現在、米国東部（us-east-1）リージョンでの提供となります。 「Get Stard」のリンクより利用を開始します。 証明書の
![[ACM] AWS Certificate Manager 無料のサーバ証明書でCloudFrontをHTTPS化してみた | DevelopersIO](https://cdn-ak-scissors.b.st-hatena.com/image/square/05bf92c3dad6e282bf2cded7bb4b61f42547e50e/height=288;version=1;width=512/https%3A%2F%2Fdevio2023-media.developers.io%2Fwp-content%2Fuploads%2F2014%2F05%2FAmazon_CloudFront.png)
Charlesで他社アプリの通信を覗く - Qiita
この記事はSpeee Advent Calendar 2日目の記事です。 前日の記事はこちら Ruby力を高めるためには標準メソッドを学べ（Enumerable編） 実機のiPhoneで動いているアプリの通信をキャプチャする方法。 自分でアプリを作るときに、他社のアプリがどんな通信をしてるのか参考にするときに使うやり方です。 iPhoneでのやり方ですが、Androidでもプロキシの設定できれば見れるはず。 Charles導入 ここから。 フリートライアル版だと起動時に10秒待たされます。 初回はパスワード入力が必要だった気がする。 Access Control Settings Wifi経由でアクセスできるようにする。 Proxy > Access Control Settings... 0.0.0.0/0 これでとりあえず全開に。 あとMacのローカルIPをifconfigとかで確認し
LVS DSR の環境で、複数の SSL 証明書を設定する方法 | Carpe Diem
LVS DSR の環境で、複数の SSL 証明書を設定しようとして、かなりはまってしまったのでその方法を書いておきます。 リアルサーバ側の環境はいつものとおり、OS は CentOS 5.3 x86_64、Apache HTTP Server 2.2.11 with mod_ssl です。 LVS DSR を実現する場合、リアルサーバ側にグローバル VIP の宛先でパケットが届くので、リアルサーバ側で lo:0 でエイリアスするか、iptables -j REDIRECT でリアルサーバでパケットを受け入れる必要があります。詳しくは、DSAS 開発者の部屋を参照してください。 僕の環境の場合、LVS DSR を実現するために後者の iptables を使っています。今回設定する複数のサイトの VIP を IP アドレス 1.2.3.4 と 5.6.7.8 とすると、リアルサーバ側の ipt
NginxでHTTPS : ゼロから始めてSSLの評価をA+にするまで Part 1 | POSTD
数年前、Webは全体的に暗号化されていませんでした。HTTPSはWebページの最も重要な部分だけのために確保されていました。暗号化が必要なのは大切なユーザデータだけで、Webページの公開される部分は暗号化せずに送ってもいいということで意見が一致していました。 しかし、 今は 状況 が 違います 。現在では、どんなWebトラフィックでも暗号化されていないのは良くないということが分かっているので、Webサイトを運営する誰もがコンテンツに関係なく強固なHTTPSを設定しなければなりません。 お恥ずかしい話ですが、私自身のWebサイトは2年近くも全くHTTPSをサポートしていませんでした ^(1) 。 Eric Mill の 今すぐ無料でHTTPSに切り替えよう という素晴らしい記事が最終的に私に喝を入れてくれました。私は休暇中、HTTPSをセットアップして Qualys SSL Report で
複数のWebサーバでSSLセッションキャッシュを共有してSSL処理を高速化(Apache + mod_ssl + mod_socache_memcache) - 元RX-7乗りの適当な日々
HTTPS(SSL利用)サイトがSEO的に優遇されるトレンドで、世間的にもHTTPS接続でサイト運用するサービスが増えてきています。 これが、ハイトラフィックサイトになってくると、このフロントエンドでSSL処理させることが負荷的にもなかなか辛いのです。 で、Apache 2.3以降では、Shared Object Cache Providerとして、memcachedが選択できるようになっています。 この仕組みを利用して、Apacheとmemcachedを並べることで、各サーバでユーザのSSL Session Cacheを共有しながらHTTPSリクエストを負荷分散できる構成を作ってみました。 WebサーバでSSLオフロード 常時SSLを利用したWebサイトを運用するために、SSLアクセラレータといったアプライアンス製品だとか、ソフトウェアだとApacheやNginxのSSLモジュールを使う
[メモ] Apache+mod_sslでSIGBUSが発生した件
@hirose31さんと、Apache HTTPDからHTTPSでファイルダウンロード中にサーバプロセスがSIGBUSで死ぬって件にぶちあたり、 「OpenSSLの中でmemcpyがSIGBUSしてます」「な、なんだってー！」 って調べたのですが、理由は以下のとおりだった。 HTTPSの場合、デフォルト設定だとファイル読込にmmap(2)が使われる mmapされたファイルのサイズが変更されてもApacheはそれを検知しようがない そして、ファイル末尾以降のデータを読もうとするとセグメンテーションエラー(SIGBUS)が発生し、Apacheのサーバプロセスは異常終了する HTTPの場合は、ローカルファイルシステムの場合sendfile(2)が使われるので、ファイルサイズが変更になってもApacheは異常終了しない ただし、mod_deflateのような出力フィルタを使っている場合は、HTTP
InfoQ: HTTPSコネクションの最初の数ミリ秒
ほとんどの人がHTTPSとSSL (Secure Sockets Layer) を結びつけて考えます。SSLは1990年代半ばにNetscape社が開発した仕組みですが、今ではこの事実はあまり正確でないかもしれません。Netscape社が市場のシェアを失うにしたがって、SSLのメンテナンスはインターネット技術タスクフォース(IETF)へ移管されました。Netscape社から移管されて以降の初めてバージョンはTransport Layer Security (TLS)1.0と名付けられ、1999年1月にリリースされました。TLSが使われだして10年も経っているので、純粋な"SSL"のトラフィックを見ることはほとんどありません。 Client Hello TLSはすべてのトラフィックを異なるタイプの"レコード"で包みます。ブラウザが出す先頭のバイト値は16進数表記で0x16 = 22。 これは
GPUを用いたSSLリバースプロキシの実装について - ゆううきブログ
近年，汎用計算の高速化のためのアクセラレータとして注目されているGPUを，ネットワーク処理に適用する一環として，サーバサイドのSSL処理に注目した論文を読んだので，内容を軽く紹介します． SSLShader - GPU-accelerated SSL Proxy SSLShader SSLShader: Cheap SSL acceleration with commodity processors Proceedings of the 8th USENIX conference on Networked systems design and implementation 2011 なお，評価に使われた実装の一部のソースコードが公開されています． http://shader.kaist.edu/sslshader/libgpucrypto/ 紹介 背景 SSL(Secure Socket
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
SSL/TLSの基礎と最新動向
Important Service Announcement: SHA-1 certificates will show warning in Google Chrome | RapidSSL
Guidelines for replacing SHA-1 with SHA-2 certificates on RapidSSL
seo-matome.jp