HTTPS通信時のURLは暗号化されるか - うまいぼうぶろぐ
2018/06 追記 古い記事ですがちょこちょこアクセスいただいているので更新。 最近は常時SSL、IPv4枯渇、CDN導入などの理由でSNIが良く使われるようになってきていますが この場合、ホスト名(URL全体ではない)は平文で送信されます。 client 側でキャプチャしたパケット curl -k https://sni.example.com/hogehoge $ sudo ngrep -d en3 -q -W byline port 443 and host 192.0.2.1 interface: en3 (192.168.6.0/255.255.255.0) filter: (ip or ip6) and ( port 443 and host 192.0.2.1 ) T 192.168.6.108:55460 -> 192.0.2.1:443 [AP] ...........
Let's encryptとSSL/TLSに関する誤謬 - Chienomi
全く以て意味不明な誤謬がはびこっていた上に、やたら上から目線だったので、消火しておこうと思う。 そもそもSSL, TLSとは何か SSL/TLSは暗号化技術である。 SSL/TLSのデータ通信自体は対称暗号である。ただし、暗号化に利用する暗号鍵は使い捨てる。 Cipherはかなり色々使えるのだけど、だいたいはTriple DES (3DES)かAESが使われる。 その手順は <- HelloRequest -> ClientHello <- ServerHello <- ServerCertificate <- ServerKeyExchange <- ServerHelloDone -> ClientKeyExchange -> Finished -> ChangeCipherSpec <- Finished <- ChangeChiperSpec <-> Application Dat
Firefox で SSL/TLS の暗号化アルゴリズムを変更する | はったりエンジニアの備忘録
ここ最近、SSL/TLS の勉強をしています。いろいろなサイトの暗号化アルゴリズムを確認していると、RC4 のストリーム暗号がよく使われていることに気づきました。なぜだろうと思って調べてみると、「SSL/TLS で BEAST を恐れて RC4 を優先するのは危ない」にその経緯が詳しくまとまっていました。 通常の発想では、従来より脆弱性が指摘されている RC4 よりは AES を優先にするべきとなるところですが、最近はむしろ SSL/TLS では RC4 を優先すべきという論調が増えていました。というのは、ここ 1 ～ 2 年のうちに SSL/TLS において AES を含むブロック暗号を CBC モードで使っている際に有効な BEAST 攻撃や Lucky13 攻撃などが報告されてきており、その対策として RC4 への移行が促されてきたからです。 無線 LAN の WEP が脆弱であるこ
『ブラウザでCipherSuiteを指定する方法』
SSL/TLSで使用されるCipherSuiteについて。 検証などで特定のCipherSuiteを確認したい場合は 以下の方法で設定することができる。 ●InternetExplorer(Windows vista以降） 【1】スタートメニューから[ファイル名を指定して実行] で「gpedit.msc」と入力。 【2】[コンピューターの構成] - [管理用テンプレート] - [ネットワーク] - [SSL 構成設定] と node を展開し、[SSL 暗号の順位] を ダブルクリック。 【3】Policy を有効化し、SSL暗号テキストボックスにCipherSuiteを入力する。CipherSuiteは","で区切る。途中 space を含むのはNG。同ページのヘルプに記載されているCipherSuiteが使用可能。設定変更後は再起動が必要。 【4】https通信を行い、それをWires
SSLに関するディレクティブ設定例
SSLに関するディレクティブ設定例 ～ Apache 1.3 ここでは不特定多数に公開する WEB サーバーを対象としておりません。独自CA による WEBサイトの暗号化は限られた用途のみに限定する必要があります。 SSLで公開する場合のディレクティブ設定例を挙げます。設定はApache 1.3です。Apache 2 では、SSLに関する設定は別ファイルに分けられています。 SSL接続に限定させたい場合 SSL専用のディレクティブを指定するには以下のように設定します。もし、httpで接続しようとした場合、ssl_only.html(警告)が表示されるようになっています。
オレオレ認証局の作り方～SSL証明書を無料で作る方法 on CentOS 5 - OPTPiX Labs Blog
ウェブテクノロジのサーバやネットワークのお守りをしている yone です。今後、社内で実際に使っているソフトウェア・設定・構成などの豆知識のご紹介をしていきたいと思っています。巷にある情報の再掲になりますが、実稼働事例の一つとしてご参考になれば幸いです。 1. お金のかかる証明書は要らない HTTPS を使ったウェブサイトを立ち上げるとき、SSL サーバ証明書屋さんからサーバ証明書を購入するのが普通です。 ところが、会社内や特定のメンバー内だけで利用するサーバであれば、必ずしも証明書屋さんから証明書を購入する必要はないのです。 今回は、証明書屋さんから買わずに自前で証明書屋さんを作って自前で証明書を発行し、HTTPS サイトを立ち上げる方法をご紹介します。 その証明書の正式名称は、自己署名証明書ですが、本稿ではオレオレ証明書と表記することにします。(笑) 試しに、「オレオレ証明書」で検索し
SSL利用時の注意点 – さくらのサポート情報
さくらのレンタルサーバ、さくらのマネージドサーバでSSL機能を利用する際の注意点について記載しています。 ドメイン設定関連 ウェブブラウザの挙動 ウェブサーバの挙動 ドメイン設定関連 1. SSL機能の併用（ 複数ドメインでの利用 ） 1つの証明書に対して複数のSSLを有効にすることはできません。 例えば、exmaple.com の証明書について、独自SSL （IPアドレスベース） と、独自SSL （SNI SSL） の両方を 適用することはできません。 マルチドメイン証明書、ワイルドカード証明書など、1つで複数のドメインをカバーできる証明書は利用できません。 1ドメインごとに証明書が必要となります。 共有SSL （初期ドメイン） と、独自SSL （IPアドレスベース） を併用することはできません。 初期ドメインと独自ドメインいずれもSSLを利用したい場合は、共有SSLと独自SSL （SN
Webサービスを常時SSL化しようとして諦めた話
弊社の新規事業でWebサービスを作っていて、セキュリティトレンドの常時SSLってやつをやってみようと思った。 世のWebサービスを見てみるとやっている所が何故かほとんどなく、mixiやニコニコなどの大手もやってないようだ。ニコニコのURLを試しにhttpsにしてみたら繋がらず、mixiはhttpにリダイレクトされる。 うちは新規だから最初からhttps化することで特にデメリットはないと判断、安いSSL証明書を買ってhttpをhttpsにリダイレクトするようにした。技術的な難所はまったくないので問題なく実装完了し、これで安心度がちょっと上がったと思っていたのだが…。 つづく。 続き。 弊サービスではユーザーがYouTubeなどの動画を貼り付ける機能が重要なのだが、テストしてみるとニコニコ動画の埋め込みが動作しなくなっていた。調べてみるとニコ動の埋め込みコードがhttpなせいで、さらに最近のブ
Let's Encrypt発行の無料サーバ証明書、全主要ブラウザで有効に
インターネット上の通信を暗号化するTLSのために必要なサーバ証明書を無料で発行している「Let's Encrypt」は10月19日、米大手認証局（CA）IdenTrustとのクロス署名が実現し、Let's Encryptの発行する証明書が全主要ブラウザで信頼できる証明書として認識されるようになったと発表した。 クロス署名はLet's Encryptが発行する中間証明書の「Let's Encrypt Authority X1」と「Let's Encrypt Authority X2」の両方が対象となる。これでユーザー側で特別な設定をしなくても、これら証明書を使ったWebサイトのURLにhttpsの鍵マークが表示され、安全な接続が保証される。 Let's EncryptはTLSの普及を目指し、手軽に実装できるサーバ証明書を無料で発行するCAとして、MozillaやCisco Systemsとい
『証明書を無料で発行、HTTPSの導入を支援する「Let's Encrypt」』は何に使え、何に使えないのか - いろいろやってみるにっき
やっと、ついに、誰もが無料でHTTPSを使えるようになる！…MozillaやEFFが共同プロジェクトを立ち上げ - TechCrunchだが、ブコメ欄で「フィッシングサイトが見分けられなくなる」と勘違いしている向きがあるようなので、ちょっと書いておく。 このLet's Encryptだが、Let’s Encrypt: Delivering SSL/TLS Everywhereに説明が書かれている。そもそも上のTechCrunchの記事ではLet's Encryptがどういうものか分からない。この記事では何ができて何ができないかを書いていないし。 TechCrunchの記事はオレが見た時点(2014/11/20 5:00)ですごいブクマ数(792ユーザ)なんだけど、本体の説明のブクマ数は4ユーザ、オレがブックマークしたので5ユーザである。ちょっと調べてからコメントすればいいのに。 下記のほう
SSL 証明書エラーにつきまして SSL 証明書エラーにつきまして:ソフトバンク ビジネス+IT
誤った対処方法をご案内したことに関する訂正 平素は、弊社および弊社サイトをご活用いただきましてありがとうございます。2/4（木）～5（金）、弊社主催セミナーのサイトにおきまして、誤った対処法を掲載したので、訂正します。関係各位に、ご迷惑をおかけし、大変申し訳ございませんでした。 正しい対処方法について Windows 2000、またはWindows XPで、Internet ExplorerやSafariをご利用の場合に、サーバ証明書の警告画面が表示されることがございます。Windows Update/Microsoft Updateを実行し、セキュリティおよび証明書ストアを最新の状況にアップデートいただくか、ルート証明書のダウンロードをお願いいたします。 詳しくは、セコムトラストシステムズの Webページ（こちら） をご覧ください。
第３３４号コラム「今年はソフトウェア脆弱性の当たり年？」 | デジタル・フォレンジック研究会
第３３４号コラム：上原 哲太郎 理事 （立命館大学 情報理工学部 情報システム学科 教授） 題：「今年はソフトウェア脆弱性の当たり年？」 今年(2014年)は本当に驚くほど深刻かつ影響範囲の大きいソフトウェア脆弱性が次々報告されており、後年から「当たり年」として記憶されるような年になりそうです。まずはそれを振り返ってみましょう。 まず4月、広範に使われているSSL/TLSライブラリであるOpenSSLに深刻な脆弱性が見つかりました。これはSSLの仕様にあるHeartbeatという機能の実装の不具合に起因していまして、攻撃者はこの不具合を突いてOpenSSLが用いられている各種サーバのプロセス内のメモリの一部を読み取ることができます。このメモリ内には、直前の利用者のユーザ名やパスワード、HTTPS通信時のCookie、そしてサーバ側の秘密鍵が入っている可能性があります。この脆弱性はその攻撃の
【20140614加筆・訂正】三菱東京UFJ銀行を騙るフィッシングサイトが例の「偽画面に注意！」そっくりらしいのだが、なんでURLをチェックするように指示してEV SSL証明書をチェックするように指示しないのか不明なので色々調べてみた。 - いろいろやってみるにっき
<20190814追記> EV SSL証明書についてはブラウザ側の扱いが変わりつつあり、当エントリは古い情報ということで下記エントリを参照頂きたい。 </追記終わり> どう考えても疑問なので色々調べてたら大作になったｗ(挨拶)。題名も大作ｗ。 (2014/06/14追記)さらに題名が長くなった(´・ω・`)。Android版Chromeについて追記、iOS版Chromeについて加筆・訂正実施。補遺は【補遺】三菱東京UFJ銀行を騙るフィッシングサイトが例の「偽画面に注意！」そっくりらしいのだが、なんでURLをチェックするように指示してEV SSL証明書をチェックするように指示しないのか不明なので色々調べてみた。に記載したのでそちらもどうぞ。 ようこそ、バーボンハウスへ！三菱東京UFJの警告画面をコピーしたフィッシングサイト登場の巻(えふしん) - 個人 - Yahoo!ニュース を見て、一応
セクティゴジャパン（旧コモドジャパン）からのお知らせ - コモドSSL
セクティゴジャパン（旧コモドジャパン）からのお知らせ ＣＡブラウザフォーラムの規定により発行可能な証明書の有効期限が変更になります。 世界中の電子認証局(CA) およびブラウザ業界団体の討論会であるＣＡブラウザフォーラム が定めるSSLサーバ証明書の発行ガイドライン“Baseline Requirements v.1.0”が2011年12月14日に公開されました。（以下抜粋） 9.4 Validity Period Certificates issued after the Effective Date MUST have a Validity Period no greater than 60 months. Except as provided for below, Certificates issued after 1 April 2015 MUST have a Validity
CAcert.orgへようこそ
Are you new to CAcert? CAcert.org is a community-driven Certificate Authority that issues certificates to the public at large for free. CAcert's goal is to promote awareness and education on computer security through the use of encryption, specifically by providing cryptographic certificates. These certificates can be used to digitally sign and encrypt email, authenticate and authorize users conne
政府認証基盤（GPKI）のホームページ
当ホームページは、リンク・フリーです。 なお、リンクを設定される際は、「政府認証基盤（GPKI）」のホームページへのリンクである旨明示をお願いいたします。 また、当ページの利用規約はこちらです。
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
RFC 7568: Deprecating Secure Sockets Layer Version 3.0
SSLモバイル - 携帯端末のための証明書 | アシアル株式会社
MTA 同士の通信暗号化を検証してみた | 黒ぶちメガネのblog
LGPKIにおけるフィンガープリント一覧