SSLの認証局とか証明書とか勉強し始めはホント難いよね このへんのSSL/TLSの仕組みって勉強し始めの頃は凄く難しく感じるのよね。分かりやすく解説してくれてるサイトってあんま見たこと無いし。 んで、 >>300,304 みたいなことは僕も昔考えたことあったわー、と懐かしみを覚えたのでレスってみた。 証明書を発行できるかどうかは証明書のフラグで決まっている、という >>303 の指摘も重要よね。 以下2chスレより引用 丁寧過ぎると評判のレスをしてるID:UyEJo1f2が僕なわけだがｗ 2chだとそのうち倉庫に行っちゃうかもしれないのでここにメモ。 【認証局】SSLに関するスレ 2枚目【ぼろ儲け】 http://hayabusa6.2ch.net/test/read.cgi/mysv/1286532904/298-309 298 ：DNS未登録さん：2013/05/31(金) 13:31
by Barney Moss 無料でSSL証明書を発行してくれることで、多くの自宅サーバーユーザーに重宝されている中国最大級の認証局「沃通(WoSign)」が、「偽物の証明書」を大量に発行していたことが明らかになりました。 The story of how WoSign gave me an SSL certificate for GitHub.com | Schrauger.com https://www.schrauger.com/the-story-of-how-wosign-gave-me-an-ssl-certificate-for-github-com Thoughts and Observations: Chinese CA WoSign faces revocation after possibly issuing fake certificates of Github,
by Eljay 中国最大級の認証局「沃通(WoSign)」がニセ証明書を発行していた問題で、ウェブブラウザの1つ・FirefoxがWoSignの証明書をブロックする方針を固めました。 WoSign and StartCom - Google Docs https://docs.google.com/document/d/1C6BlmbeQfn4a9zydVi2UvjBGv6szuSB4sMYUcVrR8vQ/ Firefox ready to block certificate authority that threatened Web security | Ars Technica http://arstechnica.com/security/2016/09/firefox-ready-to-block-certificate-authority-that-threatened-we
SSLサーバ証明書No.1のグローバルサインに訊く 「認証局としての歩み」と「不正アクセス疑惑への対応」 - はてなニュース
Webをブラウズしていると、アドレスバーの左端が緑色に輝くことがあります。SSLでセキュアな通信をしている印です。これを保証するのが、通信先サーバに置かれたSSLサーバ証明書。グローバルサインは、通常かなり手間のかかるSSLサーバ証明書の取得において、「クイック認証SSL」「スキップ申込サービス」「ワンクリックSSL」など利便性の高いサービスを提供し、日本国内のSSLサーバ証明書市場においてルート認証局別シェアでNo.1を獲得しました。グローバルサインが「1位」の座を獲得するまでの歩み、そして今後について、セキュリティコンサルタントの上野宣さんが訊きました。 ▽ SSLサーバ証明書ならグローバルサイン (旧日本ジオトラスト株式会社) （※この記事はGMOグローバルサイン株式会社によるPR記事です） SSLサーバ証明書とは SSLサーバ証明書は、「通信データの暗号化」と「通信相手の認証」とい
Google ChromeとMozillaのFirefoxが、中国の認証局(CA)である「CNNIC」が発行する証明書を「信頼できないもの」として一時的に失効させることを発表しました。 Google Online Security Blog: Maintaining digital certificate security http://googleonlinesecurity.blogspot.jp/2015/03/maintaining-digital-certificate-security.html Distrusting New CNNIC Certificates | Mozilla Security Blog https://blog.mozilla.org/security/2015/04/02/distrusting-new-cnnic-certificates/ Goo
SSL認証局が偽の証明書を発行、大手サイトに影響の恐れ
SSL認証局のComodoから偽のSSL証明書が発行され、Microsoft、Google、Yahoo!など大手各社のWebサイトが影響を受ける恐れがある。攻撃を防ぐためにWindowsやFirefoxのアップデートが公開された。 SSL認証局のComodo Groupが偽のSSL証明書を発行し、Microsoft、Google、Yahoo!など大手各社のWebサイトが影響を受ける恐れがあることが分かった。MicrosoftやMozillaはアップデートを配信し、攻撃を防止する措置を取っている。 Microsoftによると、Comodoは偽のSSL証明書を9件発行したという。影響を受けるのは、Hotmailのログインに使われている「login.live.com」のほか、Googleの「mail.google.com」「www.google.com」、Yahoo!の「login.yahoo.
OpenSSLを利用した、自己認証局(CA)の構築と、サーバ証明書の作成手順とApache+mod_SSLでの設定方法についてもご紹介します。 Section.1では、通常のhttps通信を可能とするため、以下の手順を行います。 1.自己認証局(CA)の構築 2.サーバの証明書の作成 3.自己認証局によるサーバ証明書への署名 4.Apache+mod_sslの設定例 Section.2では、Section.1に加えてクライアント認証に利用する証明書の発行方法とApacheの設定例を示します。 1.クライアント認証用証明書の作成 2.Apache+mod_sslでの設定例 最初に、自己認証局(以下CA)の構築を行います。なお、CAの構築は/usr/local/CAに行います。 CAを作成するには、OpenSSL付属のCA.shを利用します。 (CA.shは、OpenSS
オレオレ認証局の作り方～SSL証明書を無料で作る方法 on CentOS 5 - OPTPiX Labs Blog
ウェブテクノロジのサーバやネットワークのお守りをしている yone です。今後、社内で実際に使っているソフトウェア・設定・構成などの豆知識のご紹介をしていきたいと思っています。巷にある情報の再掲になりますが、実稼働事例の一つとしてご参考になれば幸いです。 1. お金のかかる証明書は要らない HTTPS を使ったウェブサイトを立ち上げるとき、SSL サーバ証明書屋さんからサーバ証明書を購入するのが普通です。 ところが、会社内や特定のメンバー内だけで利用するサーバであれば、必ずしも証明書屋さんから証明書を購入する必要はないのです。 今回は、証明書屋さんから買わずに自前で証明書屋さんを作って自前で証明書を発行し、HTTPS サイトを立ち上げる方法をご紹介します。 その証明書の正式名称は、自己署名証明書ですが、本稿ではオレオレ証明書と表記することにします。(笑) 試しに、「オレオレ証明書」で検索し
Amazon AWSのELBとCloudFrontで使えるらしい、無料の証明書発行サービスで、AWS Certificate Manager(ACM)というのがあるそうです。([参考1])。ちょっと気になったきっかけはJavaからHTTPSで繋ぐと検証失敗するケースがあった はてブを垂れ流すだけのフレンズ@matsuuん？これJRE同梱のルート証明書にACMのルート証明書が含まれてなかったってことか。どのバージョンから対応してるんだろ。決済連携などで決済会社の環境が古くてACMが使えないパターンありそう。 / “JavaクライアントからAWS…” https://t.co/pf9J6QRSTD 2017/04/30 11:57:07 というので、ちょっと見始めたらドツボにはまったので、少しメモを書き残しておこうかとおもいます。 ACMの証明書を使ったサイトにブラウザで繋いでみると、、、 J
私も大変有り難く利用させてもらっている、みんな大好きLet's Encryptはいろんな方の寄付のおかげで無料で利用できるSSLサーバー証明書の発行サービスですが、何やらルート認証局の移行が話題になっているので、ちょっと調べてみました。 問題の概要は、こちらのブログでとても詳しく解説されており、とても参考になりました。ありがとうございます。 公式から出ている説明だと、出てくる証明書の関係がわかりにくく、図もちょっと間違っていたので、別の図を起こしました。簡単には、DST Root X3ルート証明書が期限切れを迎えそうなので、新しいISRG Root X1ルート認証局に移行したいわけです。 certbotを使っていると /etc/letsencrypt/archive/ドメイン/ に発行された証明書、チェーン、秘密鍵の履歴が残りますが、その時期を頼りにどうなっていたのか見てみます。 2020
オレオレ認証局が忌避されるべきものとされてきた理由は、X.509 PKIが保証する安全性は、最も信頼性が低い認証局（trusted root）のそれに等しいからです。 しかし、X.509 v3以降ではName Constraintsが導入され、「特定のドメインに対してのみ証明書を発行可能な認証局」を定義できるようになっており、同constraintをcritical key usage extension*1として宣言したルート証明書を安全な経路で配布、インストールすることができれば、上記のようなX.509 PKIの系全体に対する影響は発生しないことになります*2。 ここで問題になるのは、どの程度のウェブブラウザがName Constraintsに対応しているのか、という点になりますがhttps://news.ycombinator.com/item?id=5194103によると、Chro
Google、ルート認証局になる
Threatpostに1月27日(米国時間)に掲載された記事「Google to Operate its Own Root CA｜Threatpost｜The first stop for security news」が、Googleがルート認証局としてデジタル証明書を発行できるようになったと伝えた。今後、Googleは自社のプロダクトに対してサードパーティから発行される証明書ではなく、自社で発行する証明書を利用できるようになる。 ルート認証局としての機能は新しく設立された「Google Trust Services」が担うとされている。Googleはルート認証局としてすぐに事業を開始するために既存のルート認証局である「GlobalSign R2」および「GlobalSign R4」を買収。今後は「Google Trust Services」を通じてデジタル証明書の取得を進め、従来よりも素
「Let's Encrypt」のサービスでは誰でもワンクリックで簡単に自分のドメイン用のベーシックなサーバ証明書を入手して実装できるようにする。 インターネット上の通信を暗号化するTLSの普及を目指し、手軽に実装できるサーバ証明書を無料で発行する認証局（CA）の「Let's Encrypt」が、MozillaやCisco Systemsといった大手のバックアップで創設された。 TLSを利用するためには、通信相手のサーバが本物であることを認証するための証明書をサーバ運用者が取得する必要がある。しかしこうした証明書は一般的には有料で、正しくインストールするのが難しく、アップデートにも手間がかかるとLet's Encryptは指摘する。 こうした問題を解決するため、Let's Encryptのサービスでは誰でもワンクリックで簡単に自分のドメイン用のベーシックなサーバ証明書を入手して実装できるよう
OpenSSLで自己認証局と証明書の作成 - bnote
まず、OpenSSLがインストールされているとして進めます。 本来、信頼のある認証局に認証してもらいますが 今回は、自分で認証するための自己認証局を作成します。 CAの作成は、/usr/local/ssl/CAに行います。 あらかじめディレクトリを作成しておきます。 OpenSSLがインストールされているディレクトリにある miscディレクトリにCA.shというスクリプトがあります。 このスクリプトで認証局を構築することができます。 CA.shをCAの作成場所にコピーします。 cp CA.sh /usr/local/ssl/CA 構築する場所等を変更するためスクリプトを少し修正します。 openssl.cnfの[CA_default]-dirも同様に修正します。 DAYS="-day 3650" CATOP=/usr/local/ssl/CA CAKEY=./cakey.pem CACER
プライベート認証局の証明書、サーバー証明書、クライアント証明書の作成方法について | レンタルサーバー・自宅サーバー設定・構築のヒント
プライベート認証局の証明書、サーバー証明書、クライアント証明書の作成方法について
GoogleとMicrosoftが米国時間1月3日にそれぞれ明らかにしたところによると、トルコに拠点を置くある認証局（CA）が2012年12月にセキュリティ証明書を「誤って」発行したことで、その電子証明書の交付を受けたある組織によって、さまざまなGoogleサイトへのなりすましが可能な偽の証明書が作成されてしまったという。 GoogleのエンジニアであるAdam Langley氏のブログ投稿によると、「Google Chrome」は12月24日、「*.google.com」ドメイン向けの無認可セキュリティ証明書を検出し、ブロックしたという。同氏によると、この証明書のブロック後、Googleによる調査が行われ、問題の証明書がトルコの認証局であるTURKTRUST傘下の中間認証局により発行されたものであると特定できたという。 ウェブサイトの正当性を証明する電子ドキュメントである証明書が不正に作
米MicrosoftとFirefoxブラウザ開発元のMozillaは11月3日、マレーシアのSSL認証局が発行した証明書に問題があることが分かったとして、この認証局が発行する証明書を失効させると表明した。 両社によると、問題が発覚したのは米Entrust傘下の認証局DigiCert Sdn. Bhdが発行した証明書。暗号強度が不十分な512ビットのRSA鍵を使用した証明書を22件発行していたほか、同社の発行した証明書には複数の技術的問題があることも判明したという。 問題の証明書はマレーシア政府機関のWebサイト用に発行されたもので、現時点で不正に利用された痕跡はないとされる。しかし、攻撃者がこの証明書の問題を悪用すれば、ユーザーをだまして不正なWebサイトを正規サイトだと思わせることが可能になる。 Microsoft、MozillaともEntrustからの連絡を受けて、DigiCert S
高木浩光＠自宅の日記 - PKIよくある勘違い(3)「プライベート認証局が妥当ならオレオレ認証局も妥当だ」
■ PKIよくある勘違い(2)「安全に配布すればルート証明書を入れさせてよい」 オープンソースプロジェクトなので……？ 1月20日の日記「日本のPKIを殺した真犯人は誰か」に対して、「SQS Development:暫定的な方法：SourceForge.jp上のHTTPSで保護されたページを通じて，証明書のMD5SUM値を確認する」というトラックバックを頂いた。訪れてみると、オープンソースプロジェクトとして開発されている、「SQS SourceEditor」と「SQS MarkReader」というJavaアプリケーションが、Java Web Startの仕組みで配布されていた*1。 配布されている「SQS SourceEditor」を起動しようとすると、図1の警告画面が現れる。 「このコードをインストールおよび実行しないことを強くお勧めします」と警告されているのは、「この証明書の信頼性を検
メールアドレスでドメイン所有者を確認している一部の認証局について、米機関などが問題視している。SSL証明書が不正入手され、盗聴行為などに悪用される可能性があるという。 SSL証明書を発行する一部のルート認証局が、メールアドレスで申請者がドメイン所有者であるかを確認している行為について、米CERT/CCなどのセキュリティ機関が問題視している。CERT/CCは「メールではドメイン所有者が正しい存在であることを証明できない」とコメント。第三者が不正にSSL証明書を取得して、悪質なHTTPSサイトを構築したり、暗号化通信の内容を盗聴したりする可能性があるという。 一般的にルート認証局は、証明書の発行を依頼した人物がドメイン所有者、もしくはドメイン所有者から了承を得た立場であることを厳密に確認してから証明書を発行する。証明書の発行を受けたドメイン側は、アクセスするユーザーに証明書を提示し、ユーザーは
グーグル、信頼できない認証局のリストを作成
Liam Tung （Special to ZDNET.com） 翻訳校正： 石橋啓一郎 2016-03-25 17:06 Googleは、信頼できない公開鍵証明書認証局を確認できるようにする仕組みを強化した。 この仕組みは、同社が提案した電子証明書追跡システムで、「Certificate Transparency」（CT、証明書の透明性）と呼ばれている。2015年にSymantecが一部のGoogleドメインに対して発行したような、不正に発行されたSSL証明書からChromeユーザーを守ることができる。 この事件はGoogleから強い反発を呼び、同社はSymantecに対して、2016年6月1日までに、発行するすべての証明書についてGoogleのChromium CTポリシーに準拠する形でCTにログを残すことを要求し、これに応じなければ、同社が発行する証明書を利用するウェブサイトを、Ch
■はじめに ▽目的 クライアント証明書でアクセス制限！ 概要 ・サーバやクライアント認証の証明書を発行するため、プライベートCAを構築 ・作成したクライアント証明書(プライベートCAの署名付き)を利用してwebコンテンツへのアクセスを制限 補足 ・本項、実際に私が実装した際の手順を記載したものになります。 ・公式Document や 各コマンドのマニュアル等を読み込み、そこから手順を起こした。とういわけではなくインターネット上の情報を私なりに整理したという程度の内容になりますため、同じ環境の方の参考になれば幸いです。 ▽今回の実装環境 CentOS 6.5 openssl 1.0.1e mod_ssl 2.2.15 apache 2.2.15 ■準備 ▽必要なパッケージ httpd openssl mod_ssl ・導入していなければインストール
ほうほう。.pemは鍵の種類ではなく暗号方式を表しているから、rsa方式で暗号化された秘密鍵も証明書も同じ拡張子になってる場合があるのか。 この辺は好みの問題なのか？そこはようわからん。 オレオレ認証局開設 世の中で見られるオレオレ証明書の作り方って、root認証局の証明書だった。 root認証局とは証明書の署名をしてくれているラスボス。ゾーマだよ。 ゾーマは子分であるバラモスが本物だって署名してくれている。 バラモスは子分である・・・と階層構造で署名がたどれる。 じゃぁゾーマを署名しているのは？ それはゾーマ自身が自分の証明書に署名している。これが自己証明書だ。 この自己証明書が本物だって登録がOSにある。 前提条件 今回はCentOS6のyumインストールで入ってるopensslでの記録。 コマンドパスとかファイルの場所とか違っても基本やることは一緒。 Macの場合は純正インストールの
2007/10/23更新 対応バージョン: 0.9.8g 証明書発行の考え方 通常、正式なサーバ証明書は日本ベリサイン等の公の認証局(以下CA)で発行してもらうが、ここではプライベートなCAを作ってサーバ証明書を発行する手順を示す。 まず、CAを構築する際に意識しなければならないことがある。 それは「自分が現在誰の立場で作業を行っているか」である。 例えばCAを構築する際にはCAが自分自身の公開鍵証明書に署名するのだが、この場合には公開鍵の持ち主と公開鍵証明書に署名するCAは同じエンティティ(認証の対象となる主体)ということになる。 従ってリクエストを作成するときや署名する際にも同じパスフレーズ(CAのパスフレーズ)を入力する。 CAの構築 → 証明書リクエスト → 証明書の発行という一連の作業を1人で行なう場合には「自分が今CAなのか、公開鍵の持ち主なのか」という立場を常に意識しておく必
![[OpenSSL] プライベート認証局(CA)を構築して証明書の発行を行なう - Life with IT](https://cdn-ak-scissors.b.st-hatena.com/image/square/63c67004f340a9cfebe1346d512a10a786385cbc/height=288;version=1;width=512/https%3A%2F%2Fl-w-i.net%2Fimg%2Flogo_256.png)
Amazon Web Services ブログ AWSの自社認証局への移行に備える方法 更新 2017年12月2日: 本記事を初回に公開した2017/11/7の際、AWS CLIやPython SDK は 2015年2月5日 より古いバージョンを使っている場合に更新が必要としていましたが、2013年10月29日より古いバージョンが更新必要と修正させていただきます。 更新 2018年3月28日: Amazon Trust Services の表にある古い値を新しい値に置き換えました。 TLS (Transport Layer Security, 以前は SSL と呼ばれていました) はインターネットでやりとりされる情報を暗号化するために不可欠です。例えば、Amazon.com ではウェブサイト上の全トラフィックに TLS を使用していますし、AWS は AWS サービスへの安全な呼び出しに使
電子証明書と認証局
さて、前回の記事中で、公開鍵はだれがどんな方法で入手してもよいもので、その公開鍵の持ち主を証明するものが電子証明書であることを書いた。今回はこのあたりについてちょっと突っ込んだ話をしよう。 公開鍵はだれのもの？ 電子証明書は実世界における印鑑証明書にたとえられることが多い（図1）。印鑑証明書の目的は自治体がその印鑑の持ち主を証明することだ。 印鑑証明書の内容は、 登録された印鑑の印影 その印鑑の持ち主の情報 印鑑証明書を発行した自治体名 その自治体の印 といったものだろう。 この「登録された印鑑」を「公開鍵」に、「発行自治体」を「認証局」に読み替えたものが電子証明書だと思ってよいだろう。つまり、電子証明書の中身はざっと以下のようなものということになる。 登録された公開鍵 その公開鍵の持ち主の情報 証明書を発行した認証局の情報 発行元認証局の署名 電子証明書の詳細なフォーマットについては、I
デジタルトラスト製品/サービス一覧： エンタープライズ IT、PKI、ID DigiCert® Trust Lifecycle Manager ウェブサイト＆サーバー DigiCert CertCentral TLS/SSL Manager コード＆ソフトウェア DigiCert® Software Trust Manager 文書＆署名 DigiCert® Document Trust Manager IoT＆コネクテッドデバイス DigiCert® IoT Trust Manager Matter による IoT デバイス認証 DigiCert® TrustCore SDK
大手SSL認証局からGoogleなどのWebサイト用の不正なSSL証明書が発行された。Googleによると、これを使って同社のサービスとユーザーとの通信に割り込もうとする攻撃が発生しているという。 オランダの大手SSL認証局DigiNotarからGoogleなどのWebサイト用の不正なSSL証明書が発行され、これを使ってGoogleサービスとユーザーとの通信に割り込もうとする攻撃が発生している。Google、Firefox、Microsoftなどの主要Webブラウザメーカーは8月30日までに、ユーザー保護のための対策を表明した。 SSL証明書は、自分がアクセスしているWebサイトが「本物」であることをWebブラウザを通じて確認するために使われる。しかし、この証明書が不正に発行された場合、それを使った詐欺サイトではWebブラウザの警告メッセージが表示されず、ユーザーが本物のWebサイトと信じ
オレオレ認証局でクライアント認証 ～ ウェブの Basic 認証をリプレース - OPTPiX Labs Blog
JINS PC を使い始めました。普段はメガネをかけていないため、レンズに照明がうつり込むのが気になる、耳が痛い、と気になって気になってしかたがない yone です。効果があればよいのですが。 1. オレオレ認証局の活用 前回の記事で、オレオレ認証局 (プライベート認証局) の構築と、それを使ったウェブサーバ証明書の発行を紹介しました。記事の最後に、その他の証明書活用を紹介しましたが、今回はそのなかから「クライアント証明書」の事例を解説します。 2. クライアント証明書 一般公開しているウェブページではなく、特定の人だけに見せたいページを作る場合、Basic 認証を使うことが多いでしょう。ほぼ全てのブラウザが対応しており、広く使われています。 お手軽でよいのですが、盗聴・改竄に弱いという弱点があります。弱点を改善した Digest 認証というものがありますが、Basic 認証ほど普及してい
Googleは米国時間7月13日、「Google Cloud Certificate Authority Service（CAS）」の一般提供（GA）開始を発表した。 プロダクトマネージャーのAnoosh Saboori氏は、10月にパブリックプレビュー版を発表して以降、市場で「大いに歓迎」され、「革新的なユースケース」が見られると述べた。 Google Cloud CASは、プライベート認証局の管理やデプロイを自動化できるほか、公開鍵基盤（PKI）の管理も容易に行うことができるスケーラブルなサービスだ。Googleは、クラウドサービスの台頭や、IoTやスマートデバイスの普及、コンテナーへの移行、次世代の高速なコネクティビティの登場などにより、「デジタルな世界で証明書がかつてないほど増加していることに対応する」ために提供するプラットフォームだとしている。 CASのユーザー企業のユースケース
ロシアが独自のTLS認証局を創設、主要ウェブブラウザベンダーの審査通過は難しいとの見方も | スラド セキュリティ
ストーリー by nagazou 2022年03月15日 16時10分 ますますロシア国外情報にアクセスしにくくなりそう 部門より ロシアが独自のTLS認証局を創設したとの報道が出ている。ロシアは現在、ウクライナ侵略を受けて世界各国からさまざまな制裁を受けているが、欧米の企業や政府による制裁措置により、既存のTLS証明書を更新することができない状況に陥っている。証明書の有効期限が切れてしまえば、ブラウザ側でサイトへのアクセスがブロックされてしまう。このため独自のTLS認証局を創設し、期限切れもしくは無効化された場合の代替となる証明書を無料で発行するとしている（Bleeping Computer、TECH+）。 ロシアの公共サービスポータルである「Gosuslugi」によれば、新たなサービスでは、5営業日以内に証明書を無料サイト所有者である法人に提供するとしている。ただし、こうした新しい認証
オレオレ認証局の作り方～SSL証明書を無料で作る方法 on CentOS 5 - OPTPiX Labs Blog
ウェブテクノロジのサーバやネットワークのお守りをしている yone です。今後、社内で実際に使っているソフトウェア・設定・構成などの豆知識のご紹介をしていきたいと思っています。巷にある情報の再掲になりますが、実稼働事例の一つとしてご参考になれば幸いです。 1. お金のかかる証明書は要らない HTTPS を使ったウェブサイトを立ち上げるとき、SSL サーバ証明書屋さんからサーバ証明書を購入するのが普通です。 ところが、会社内や特定のメンバー内だけで利用するサーバであれば、必ずしも証明書屋さんから証明書を購入する必要はないのです。 今回は、証明書屋さんから買わずに自前で証明書屋さんを作って自前で証明書を発行し、HTTPS サイトを立ち上げる方法をご紹介します。 その証明書の正式名称は、自己署名証明書ですが、本稿ではオレオレ証明書と表記することにします。(笑) 試しに、「オレオレ証明書」で検索し
概要 通常ECサイトなどを構築する場合、VeriSign などの「信頼できる認証局」によって発行された証明書を使ってSSLサーバを構築する。 しかし、テスト環境などで自分で発行した証明書を使ったSSLサーバを構築した場合、ブラウザでアクセスしようとすると画面上に警告が表示されたりする。 同様に、Javaプログラムから接続しようとすると エラーが発生する。 証明書のチェックを行わないように設定することで、この問題を回避できる。 java.net.URL を使った方法 問題再現手順 次のように自分で発行した証明書のサーバに接続しようとすると、エラーが発生する。 import java.io.BufferedReader; import java.io.InputStreamReader; import java.net.URL; import java.net.URLConnection; i
OpenSSLコマンドでオレオレ証明書を作り、ルート認証局としてサーバー証明書を発行する - Sanwa Systems Tech Blog
こんにちは、最近あまりWebの話をしていないwakです。IISをあれこれ触ってリハビリをしようと試みていたのですが、同僚がSSL回りで苦しんでいたので復習がてら表題の件を試してみました。 通信の盗み見、改竄、なりすまし、おいしくないカリカリを許さない鋭い視線の猫 1行でまとめると こういう証明書を作成するのが目的です。 まずは基礎知識 SSLの目的と機能 SSLには2つの機能があります。 通信を暗号化して、のぞき見や改竄を防ぐ 通信相手が本物であることを保証する たとえば公衆Wi-Fiに紛れて偽Wi-Fiアクセスポイントを設置した悪者がいたとします。このアクセスポイントは悪者の支配下にありますから、ここに接続してしまった人は全ての通信内容を見られてしまいますし、通信内容は改竄され放題です。「mizuhobank.co.jp」にアクセスしていたつもりなのに、実際にはフィッシングサイトに接続さ
米グーグルがHTTPS（TLS）に対応したWebサイトに使われるサーバー証明書の有効期間を現行の最長825日（2年3カ月）から397日（13カ月）に短縮するよう業界ルールの改定を提案し、議論を呼んでいる。早ければ2020年4月以降に更新する証明書から適用を求める内容だ。 HTTPSはユーザーがWebブラウザーでサーバーにアクセスする際に通信内容の改ざんを検知したり、データを暗号化して外部から盗み見られないよう安全性を高めたりできる。認証局（CA）が発行した証明書によって、Webサイトのドメインの所有者を確認できる。 CAが発行する証明書のうち、ドメイン所有者の実在確認などの審査をする「EV SSL」は金融取引や個人情報などセンシティブなデータをやりとりする企業のWebサイトにとって必須の証明書だ。 EV SSLを含めた全ての証明書は、運転免許証やパスポートと同様に有効期限がある。証明書の有
Googleが「Google Chrome 61」のリリースをもって、中国の認証局（CA）であるWoSignとその子会社StartComが発行するデジタル証明書への信頼を取り消すと警告している。 「Google Chrome」のセキュリティエンジニアDevon O'Brien氏による「Google Groups」への投稿によると、「CAに期待される高い水準を維持していない」とする「数件の事例」に両社が関与していたため、ChromeはすでにWoSignおよびStartComへの信頼を段階的に取り消しつつあり、現在は2016年10月21日以前に発行された証明書のみ信頼しているという。 Googleはさらに今後数カ月以内には、両社が発行するすべての証明書に対して完全に信頼を取り消す意向だ。 Chrome開発チームはすでに、Alexaの上位100万サイトに基づくホスト名のホワイトリストに従って信頼
Google Chrome 66安定版リリース、Symantecの認証局が2016年6月1日以前に発行した証明書が無効に
Google Chromeの最新安定版「66.0.3359.117」がリリースされました。2017年に決定したSymantecの証明書の段階的無効化が始まり、2016年6月1日以前に発行された証明書は新たな証明書への置き換えが必要となります。 Chrome Releases: Stable Channel Update for Desktop https://chromereleases.googleblog.com/2018/04/stable-channel-update-for-desktop.html 証明書問題は「Symantec傘下の認証局(CA)が業界標準に準拠しない証明書を発行しているため正当なものと認めない」としてGoogleやMozillaといったブラウザ開発企業が証明書の無効化を決めたもの。ただし、Symantec傘下の認証局が発行した証明書は30％以上のシェアを占め
ウクライナ侵攻を続けるロシアに対して各国政府や民間企業が数多くの制裁措置を発表しており、ロシアでシェア1位と2位のインターネットプロバイダーが相次いでサービス停止を発表するなどインターネット環境にも影響が出始めています。制裁の影響でロシアではデジタル証明書が更新不能になる事態が発生しており、この問題を解決するべくロシア独自のTLS認証局が開設されました。既に独自認証局による認証済みのウェブサイトが複数登場しており、ロシアによる通信の傍受が懸念されています。 Russia creates its own TLS certificate authority to bypass sanctions https://www.bleepingcomputer.com/news/security/russia-creates-its-own-tls-certificate-authority-to-b
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
認証局を立ててぼろもうけしたいんですが＞無理な理由を理解しよう - Qiita
中国最大級の認証局「WoSign」がニセの証明書を発行していたことが判明
中国最大の認証局「WoSign」が証明書発行日改竄などを行っていたとしてFirefoxがブロックの方針
GoogleやMozillaが中国の認証局が発行する証明書を「信頼できないもの」として失効させる
OpenSSLでの自己認証局(CA)と自己証明書の作成
自堕落な技術者の日記 : Amazon AWSの認証局が少し怪しい件 - livedoor Blog（ブログ）
Let's Encryptのルート認証局移行についてちょっと調べてみた - Qiita
オレオレ認証局の適切な運用とName Constraints - kazuhoのメモ置き場
ルート認証局がスパイウェアの開発元？ 「Google Chrome」が「TrustCor」を削除へ／「Microsoft Edge」「Firefox」からも削除済み
TLSの普及へサーバ証明書を無料発行、MozillaやCiscoが認証局を創設
トルコの認証局、中間CA証明書を誤発行--グーグルやMS、対応を明らかに
SSL認証局問題が再び発覚、MicrosoftとMozillaが対応表明
認証局のSSL証明書発行に問題？ 不正取得で攻撃の恐れも
プライベート認証局(CA)にてクライアント証明書の発行 - Qiita
オレだよオレオレ認証局で証明書つくる - Qiita
「google.com」に対する偽SSL証明書が見つかる、認証局が取り消し
[OpenSSL] プライベート認証局(CA)を構築して証明書の発行を行なう - Life with IT
AWSの自社認証局への移行に備える方法 | Amazon Web Services
SSL 電子認証局 | 暗号化と認証 | DigiCert.com
認証局が不正なSSL証明書を発行、Googleユーザーを狙う攻撃が発生
グーグル、認証局サービス「Google Cloud CAS」を一般提供
Symantec→DigiCertでSSL/TLS証明書はどうなる？ 日本国内にも認証局構築へ、IoT機器市場も見据え
Trasis Lab » 自前認証局のSSLサーバにJavaから接続する
米グーグルがHTTPS証明書の有効期間1年短縮を提案、認証局は反論
グーグル、中国の認証局WoSignの証明書を拒否へ--「Chrome 61」から
ロシアが自国のウェブサイトの信頼を独自に担保するTLS認証局を設置