Google Chrome、全ユーザーに対しHTTPからHTTPSへ自動変更
Bleeping Computerは10月30日(米国時間)、「Google Chrome now auto-upgrades to secure connections for all users」において、GoogleがすべてのChromeユーザーに対し、HTTPリクエストを自動的にHTTPSリクエストに変更する「HTTPSアップグレード」を開始したと報じた。Googleはこれまでにも同機能を限定的に展開していたが、2023年10月16日に安定版のすべてのユーザーが対象になったという。 Google Chrome now auto-upgrades to secure connections for all users 歴史的に、ブラウザはHTTPSをサポートするサイトにおいて安全ではないHTTPリクエストを行うことがある。Google Chromeでは、次のような条件でHTTPリソー
Linuxカーネルのドキュメンテーションなどに含まれるHTTPリンク、HTTPSリンクへの置き換えが進む | スラド Linux
Linux 5.9に向け、ドキュメンテーションなどに多数含まれるHTTPリンクをHTTPSリンクへ置き換える作業が進められている(Phoronixの記事、 Neowinの記事、 The linux-next integration testing tree)。 置き換えの理由としては、細工することが難しいHTTPSに置き換え、リンクを開くカーネル開発者が中間者攻撃にあう可能性を減らすことが挙げられている。ただし、実際にカーネル開発者がこのような攻撃を受けている様子はなく、先を見越した変更のようだ。 置き換え作業はAlexander Klimov氏が一人で進めており、既に148件のパッチが存在する。Klimov氏はスクリプトを使用してHTTPリンクを探し、SVGファイルなどではないことを確認したうえで、HTTPSでHTTP版と同じ内容が表示される場合にのみ置き換えを行っているとのこと。osd
Engadget | Technology News & Reviews
How to watch Polaris Dawn astronauts attempt the first commercial spacewalk
さくらのレンタルサーバで無料SSLを登録＆httpsとwwwありにリダイレクトする方法
2017年10月17日よりさくらインターネットの提供する「さくらのレンタルサーバ」にて無料SSL証明書「Let’s Encrypt」を設定できる機能が利用可能になりました。無料SSLの導入自体は簡単でボタンをクリックするだけの作業ですが、httpでアクセスしてもhttpsにリダレクト、さらにwwwなしでアクセスしてもwwwありにリダイレクトという両方の条件でリダイレクトするのが若干面倒だったのでまとめておきます。 ドメイン/SSL設定の変更 サーバコントロールパネルのドメイン/SSL設定よりドメイン設定を確認します。 通常はおそらく下記のように独自ドメインとさくらのサブドメインの2つを登録していると思います。 ドメインの設定で「マルチドメインとして使用する（推奨）」に設定されていると、htaccessにて%{HTTP_HOST}を取得するときにwwwありもなしもwwwなしと判別されてしまい
今なぜHTTPS化なのか？インターネットの信頼性のために、技術者が知っておきたいTLSの歴史と技術背景
【変更履歴 2018年2月15日】当初の記事タイトルは「いまなぜHTTPS化なのか？ 技術者が知っておきたいSEOよりずっと大切なこと ― TLSの歴史と技術背景」でしたが、現行のものに変更しました。現在GoogleではWebサイトのHTTPS対応と検索結果の関係を強調しておらず、本記事の趣旨の一つにも本来は独立した問題であるSEOとHTTPS化を関連付けるという根強い誤解を解くことがありますが、当初のタイトルではかえってSEOとHTTPSを関連付けて読まれるおそれがあり、また同様の指摘もいただいたことから変更いたしました。 HTTPとHTTPSは、共にTCP通信上で動作します。したがって、いずれもTCPハンドシェイクで通信を開始します。 HTTP通信の場合には、このTCPハンドシェイク直後に、HTTPリクエストとレスポンスのやり取りが始まります。このHTTPのやり取りは平文通信であり、途
無料でサーバ証明書を発行してくれる「Let’s Encrypt」が運営資金をクラウドファンディングで募集
HTTPS普及のために、無料でSSL/TLSサーバ証明書を発行しているサービス「Let's Encrypt」が、運営の支援を求めてクラウドファンディングでのキャンペーンを開始しています。 Make a More Secure Web with Let's Encrypt! by Sarah Gran | Generosity https://www.generosity.com/community-fundraising/make-a-more-secure-web-with-let-s-encrypt Launching Our Crowdfunding Campaign - Let's Encrypt - Free SSL/TLS Certificates https://letsencrypt.org/2016/11/01/launching-our-crowdfunding-cam
Google Public DNS over HTTPS を試す | IIJ Engineers Blog
【2018/11/16 追記】 本記事は、2016 年 4 月に Google Public DNS サーバに実装された、実験的な DNS over HTTPS プロトコルについて紹介しています。DNS over HTTPS プロトコルはその後 IETF の doh ワーキンググループにて標準化が進められ、2年半後の 2018 年 10 月に RFC8484 として出版されました。本記事で紹介したプロトコルは RFC8484 に規定されたプロトコルとはいくつもの点で異なっていることにご注意ください。 Google Inc. が公開 DNS サーバを運営していることはご存知でしょうか? Google Public DNS と呼ばれるこの公開 DNS サーバは、”8.8.8.8″ という特徴的な IP アドレスで全世界のインターネットユーザに対して無料の DNS サーバ(フルレゾルバ)を提供し
HTTPで動いてるウェブサービスをHTTPS化するときのメモ - hitode909の日記
HTTPで動いてるウェブサービスをHTTPS化したいことがある Google Chromeでは，HTTPのページでは現在位置やカメラの入力など取れなかったりする HTTPSにまつわる怪しい伝説を検証する - Google I/O 2016のセッションから - Qiita 今日の重ね着では現在位置の重ね着情報を出してるけど，HTTPなのでChromeで動かなくなっている HTTPのリソースを読んでるところがあればHTTPSにする 外部のリソースは最初から//やHTTPSで読んでおくと楽だった けどHTTPS版は無い場合もある コンテンツ書き換えなくてもContent-Security-Policy-Report-Only でも済む? 調べたい Content Security Policy の利用方法 - Web セキュリティ | MDN できたらHTTPからHTTPSに301リダイレクト
無償SSLサーバー証明書Let’s Encryptの普及とHTTP/2および常時SSL化 | OSDN Magazine
Webサイトの暗号化（SSL化、HTTPS対応）はこれまでEコマースやプライバシを守る目的で部分的に導入されてきたが、SHA1からSHA2への切り替え、モバイル端末の普及やHTTP/2の登場によって、サイト全体を常にHTTPS通信にする常時SSL化の動きが活発になっている。さらにSSLサーバー証明書を無償で入手可能なLet’s Encryptのサービス開始や主要なWebサーバーソフトウェアの安定版でHTTP/2が利用できるようになったことでその動きは加速している。本稿ではSSL化を取り巻く最近の状況を整理し、NginxとLet’s EncryptによるHTTP/2＆SSL化の実装例も紹介していく。 これまで証明書の無償入手は限定的 HTTPSのWebサイトを運用するには通常、商用の認証局にSSLサーバー証明書の発行を申し込み、必ず費用が発生するものだった。一部限定した目的では無償で利用でき
ELB + Nginx 利用時にRailsでHTTPSアクセスを識別する - Qiita
def scheme if @env['HTTPS'] == 'on' 'https' elsif @env['HTTP_X_FORWARDED_SSL'] == 'on' 'https' elsif @env['HTTP_X_FORWARDED_SCHEME'] @env['HTTP_X_FORWARDED_SCHEME'] elsif @env['HTTP_X_FORWARDED_PROTO'] @env['HTTP_X_FORWARDED_PROTO'].split(',')[0] else @env["rack.url_scheme"] end end def ssl? scheme == 'https' end schemeメソッドで「https」が返されれば、https判定されることになる。 今回の構成のような例では、「url_scheme」はhttpになるため、その他のヘッダ
『証明書を無料で発行、HTTPSの導入を支援する「Let's Encrypt」』は何に使え、何に使えないのか - いろいろやってみるにっき
やっと、ついに、誰もが無料でHTTPSを使えるようになる！…MozillaやEFFが共同プロジェクトを立ち上げ - TechCrunchだが、ブコメ欄で「フィッシングサイトが見分けられなくなる」と勘違いしている向きがあるようなので、ちょっと書いておく。 このLet's Encryptだが、Let’s Encrypt: Delivering SSL/TLS Everywhereに説明が書かれている。そもそも上のTechCrunchの記事ではLet's Encryptがどういうものか分からない。この記事では何ができて何ができないかを書いていないし。 TechCrunchの記事はオレが見た時点(2014/11/20 5:00)ですごいブクマ数(792ユーザ)なんだけど、本体の説明のブクマ数は4ユーザ、オレがブックマークしたので5ユーザである。ちょっと調べてからコメントすればいいのに。 下記のほう
HTTPSを使ってもCookieの改変は防げないことを実験で試してみた
寺田さんのブログエントリ「他人のCookieを操作する」には、通信路上の攻撃者がいる場合は、SSLを使っても、Cookieの盗聴を防ぐことはできるが、Cookieの改変を防ぐことはできないと指摘されています。いかにも寺田さんらしい簡にして要を得たエントリで、これに付け加えることはあまりないのですが、残念ながらまだ読んでいない人が多そうだと言うことと、より広い読者に向けて具体的に説明した方がよいだろうと考えました。 そこで、通信路上に攻撃者がいる典型例として、公衆無線LANの偽AP（アクセスポイント）があるケースを題材として、「HTTPSを使ってもCookieの改変は防げない」ことを説明します（Secure属性使うと盗聴は防げますが、改変は防げません）。長いエントリなので結論を先に書いておきます。 Secure属性がないCookieはHTTPSでも盗聴できる Cookieの改変についてはSe
Googleの検索が(とうとう)すべてHTTPSになってしまった - ただのにっき(2013-09-24)
■ Googleの検索が(とうとう)すべてHTTPSになってしまった アクセス解析屋さんの間で話題になっていたが、とうとうGoogleが検索結果ページをすべてHTTPSにしてしまった(参考: Post-PRISM, Google Confirms Quietly Moving To Make All Searches Secure, Except For Ad Clicks)。実際上のように、Chromeのシークレット・ウィンドウで検索しても確実にHTTPSなページに飛ばされるので確かなようだ。Google Analyticsのキーワードも23日以降、すとーんとゼロに。 この日記のリンク元表示も、Googleのトップページからのもの(つまり検索キーワードの含まれないもの)ばかりになってしまった。tDiaryのリンク元表示が持っていた「お楽しみ」がだいぶ減っちゃったね。もちろんYahoo!を
クライアントがHTTPSでアクセスしているかどうかをサーバで知りたい: BIG-IPクックブック
HTTPSのサービスにおいてBIG-IPでSSLを終端しているときは、BIG-IPとサーバーの間の通信はHTTPで行われるので、サーバーやサーバーアプリケーションではクライアントがSSLを使用してアクセスしてきているかどうかがわからないためにアプリ開発をする人がこれを嫌うこともありますが、SSL終端を行うことによっていくつかのメリットもあります。 証明書/鍵管理の集中化 サーバーでSSL処理を行わせると、証明書更新のときにサーバーの台数分証明書交換のオペレーションが発生します L7トラフィック管理 クライアント/サーバー間が暗号化されてしまうと中間に入るデバイスはL7の情報を見てトラフィック管理をできなくなります) TPSあたりのコスト 厳密に計算したことはありませんが、SSLの1トランザクションあたりの処理コストはBIG-IPで終端した方が有利なことが多いようです システム全体で見たとき
HTTPS通信時のURLは暗号化されるか - うまいぼうぶろぐ
2018/06 追記 古い記事ですがちょこちょこアクセスいただいているので更新。 最近は常時SSL、IPv4枯渇、CDN導入などの理由でSNIが良く使われるようになってきていますが この場合、ホスト名(URL全体ではない)は平文で送信されます。 client 側でキャプチャしたパケット curl -k https://sni.example.com/hogehoge $ sudo ngrep -d en3 -q -W byline port 443 and host 192.0.2.1 interface: en3 (192.168.6.0/255.255.255.0) filter: (ip or ip6) and ( port 443 and host 192.0.2.1 ) T 192.168.6.108:55460 -> 192.0.2.1:443 [AP] ...........
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
| ほのかなブログ