cybozu.com Cloud Platformチームのhsnとtomoです。今回はサイボウズで証明書更新の自動化を安全に行うための工夫をご紹介します。 背景 サイボウズではcybozu.comのサービスを提供するために数多くの証明書を取得し、管理しています。 今まではそれらをすべて手動で取得し、入れ替えを行っていました。 しかし、元来の運用ではいくつかの問題が浮上してきました。 手動更新の際は認証局によって更新手順が異なります。 具体的にはドメインの所有確認(DCV: Domain Control Validation)と証明書のダウンロード手順を、それぞれの認証局が独自に提供しています。 そのため、ドメインの更新手順書は複雑に長くなってしまいます。結果として更新の準備に時間がかかり、実施の際にミスも発生しやすくなっていました。 サイボウズでは証明書の有効期限が切れる1か月前に管理用の
御社の常時SSL (TLS) への対応はお済みですか。というわけで本稿ではRFCで標準化されているプロトコルのうち、SSL (TLS) に対応済みのものを列挙していきたいと思います。 用語の定義 本稿では、以下の用語を使います。 Implicit TLS （暗黙のTLS） TCPコネクション開始と同時にTLSセッションがいきなり始まる方式です。httpsなどはこれです。平文通信用と暗号通信用に別々のポートを割り当てる必要がありますが、そのぶん低レイテンシーを実現できます。 Explicit TLS （明示的TLS） TCPコネクションが確立すると、最初は平文で通信が始まり、そこからTLSへ移行する方式です。STARTTLSとか、そんな感じのコマンドが用意されているのがこれです。特徴としては、平文通信と暗号通信を同じポートでカバーできます。平文で始まって暗号へ切り替わるという手順を踏む分、レ
概要 こんにちは、インフラ部のkoboです。 感染症の流行を受けて、ピクシブでは2020年春から自宅でも仕事ができる体制を継続しています。 その少し前から、ピクシブでは社内サービスへのVPNレスなアクセスを可能にするための堅牢なSSOプロキシの導入を進めていました。それはGoogleがBeyondCorp Remote Accessと呼んでいる仕組みです。ピクシブでは今もオンプレミスで動作する社内システムが多く存在していますが、これのおかげでほとんどの業務をVPNを使用することなく自宅でこなすことができています。 本記事では、BeyondCorp Remote Accessの概要と、ピクシブでの運用事例について紹介します。 BeyondCorp Remote Accessとは BeyondCorp Remote Accessとは、GCPのIdentity Aware Proxy (IAP)
独裁政治が続くカザフスタンでは、政府が認証したルート証明書のインストールが国民に強制されています。このルート証明書を導入してしまうとHTTPSプロトコルの暗号化通信が政府に傍受される可能性がある、という強い批判を受けて、MozillaとGoogleがカザフスタン政府によるルート証明書をブロックすることを表明しました。 Google Online Security Blog: Protecting Chrome users in Kazakhstan https://security.googleblog.com/2019/08/protecting-chrome-users-in-kazakhstan.html Mozilla takes action to protect users in Kazakhstan - The Mozilla Blog https://blog.mozill
2019年7月以降、セキュリティ企業DEVCORE社の研究者により複数のSSL VPN製品に深刻な脆弱性が報告されました。2019年8月下旬から脆弱性を探査する動きが確認されており、既に脆弱性を悪用する攻撃も発生しているとしてJPCERT/CCやVOLEXITYにより注意喚起が行われています。ここでは関連する情報をまとめます。 深刻な脆弱性が確認されたSSL VPN製品 3社のSSL VPN製品を対象に脆弱性が確認された。 ベンダ（アドバイザリ） 修正日・情報公開日 影響を受ける製品／バージョン Paloalto Networks （PAN-SA-2019-0020） 2019年7月18日情報公開 ・PAN-OS 7.1.18以前 ・PAN-OS 8.0.11以前 ・PAN-OS 8.1.2以前 （PAN-OS 9.0は対象外） Fortinet （FG-IR-18-384） 2018年1
「全世界に存在する3分の1のAndroidデバイスで一部ウェブサイトが閲覧できなくなる」とLet’s Encryptが警告
無料でウェブサーバー向けのSSL/TLS証明書を発行している認証局Let's Encryptが、「全世界に存在するAndroidデバイスの3分の1で、Let's Encryptの証明書が使えなくなる」と警告しました。 Standing on Our Own Two Feet - Let's Encrypt - Free SSL/TLS Certificates https://letsencrypt.org/2020/11/06/own-two-feet.html Let's Encrypt warns about a third of Android devices will from next year stumble over sites that use its certs • The Register https://www.theregister.com/2020/11/06/
Analytics cookies are off for visitors from the UK or EEA unless they click Accept or submit a form on nginx.com. They’re on by default for everybody else. Follow the instructions here to deactivate analytics cookies. This deactivation will work even if you later click Accept or submit a form. Check this box so we and our advertising and social media partners can use cookies on nginx.com to better
印刷する メールで送る テキスト HTML 電子書籍 PDF ダウンロード テキスト 電子書籍 PDF クリップした記事をMyページから読むことができます 中国政府は、国内の通信を検閲するシステムである「グレートファイアウォール」（GFW）をアップデートし、通信のインターセプト（傍受、妨害）を防止する最新のセキュリティプロトコルを使ったHTTPS接続をブロックし始めた。 中国の検閲状況を調査している3つの組織（iYouPort、メリーランド大学、Great Firewall Report）が米国時間8月7日に発表した共同レポートによれば、この状況は7月末から始まっているという。 中国政府はHTTPS＋TLS 1.3＋ESNIの接続をブロック GFWのアップデートで新たに標的になったのは、「TLS 1.3」や「ESNI」（Encrypted Server Name Indication）など
2015年に標準化された、RFC7540 HTTP/2 の改定作業が進められています。 作業中のドキュメントは「http2bis」として公開されている。 現時点で含まれている変更点を見ていきます。なお、今後も変更が入る可能性はあります。 HTTPセマンティクス仕様を参照 もともとのHTTP/2の仕様では、HTTPメッセージのセマンティクスについて既存のHTTP/1.1の仕様を参照していました。しかし、HTTP/1.1の仕様はHTTPセマンティクス仕様に分離整理されました。 それにあわせて、改訂版ではその新しいHTTPセマンティクス仕様を参照しています。ヘッダやボディといった用語について変更された部分があるので、HTTP/2の改訂版仕様でも用語の使い方をあわせています。 セマンティクス側の変更点について以前書いた記事を参照ください。 asnokaze.hatenablog.com TLS 1
GPTでメールの緊急度を 判定させてみた/automation-engineerLT-link-and-motivation
またお会いしましたね また登場しました、オッスンです。 アドベントカレンダーも、もう直ぐ折り返し地点ですね。 後半も色んなクリエイターさんが投稿されるので期待しかなーい！ 私、基本的にサーバサイドをメインにお仕事しているのですが 最近フロントにも興味が出てきて、且つ仕事で触る機会も増えてきました。 フロント面白いですね。 まだまだ知るべき知識がたくさんありますが、 これから勉強して行こうと思います！ 今回はペーペーフロント技術の私が 開発する時に役に立ってるデベロッパーツールの機能をご紹介できればと思います。 network 後にも先にもnetworkタブ。 感謝しかない機能がモリモリです。 通信速度の調整 ・モバイル環境や通信速度が遅い環境で確認したい時、なんと通信速度の調整が可能に！ ヘッダ情報、リクエストデータの確認 ヘッダ情報やGETやPOSTのリクエストデータを確認する時に超役立
関連キーワード VPN | SSL | ネットワーク | パブリッククラウド 専用クライアントソフトウェアを利用して接続するクライアントベースのVPN（仮想プライベートネットワーク）は、設定や運用管理に手間がかかり、効率的なデータの送受信を妨げる可能性がある。そのため「クライアントベースのVPNが近いうちに過去の遺物になる」と予測する意見もある。だが欠陥は指摘されても、クライアントベースのVPNは必要とされ続ける。消滅するより、むしろ進化する可能性の方が大きい。 VPNを利用する目的は、信頼性の低いネットワークを介して信頼性の高いデータの送受信を実現することにある。VPNはデバイス同士を結ぶ仮想的なトンネルを作り、データを暗号化して伝送できる。このトンネルと暗号化によってデータを読み取られたり、改ざんされたりする事態を防ぐ。 クライアントベースのVPNと比較されるのは、TLS（Transp
[asin:4908686009:detail] 最近ふとSSL/TLSの仕組みについて知りたくなったので、「プロフェッショナルSSL/TLS」を読んだ。 かなりいろんな話題を網羅していて、かつ具体的な設定例なども書かれていて良かった。TLSに関する仕事をするときや、SSL/TLSやHTTPS周りで何回かハマったことがあるなら非常にお勧めできる。 仕組みを理解したいなら1章 SSL/TLSと暗号技術・2章 プロトコル・3章 公開鍵基盤が参考になった。実運用なら8章 デプロイ・9章 パフォーマンス最適化・16章 Nginxの設定あたりが参考になりそう。またTLS周りでハマった時のトラブルシューティングには12章のOpenSSLによるテストが使えるだろう。 ただ最新のTLS 1.3に関してはそこまで多く言及はなかった（電子書籍版の巻末の付録のみ）ので、これについては別書籍や別資料で学ぶ必要があ
【書評】SSLちゃんと理解できているかな…。「SSLをはじめよう」を読んでみた #技術書典 | DevelopersIO
こんにちは(U・ω・U) AWS事業部の深澤です。 現在、オンラインで技術同人誌のオンライン即売イベントである「技術書典応援祭」が開催されています。（期間：4/5まで） そんな中に「SSLをはじめよう」というタイトルの本があります。SSLという身近な技術なのですが、自分の中で理解できているか不安があり今回手にとってみました。読み進めてみると意外とSSLを理解できていなかったんだなと気づかされる構成となっており、さらに初学者の方にも是非お勧めしたいと思える1冊でしたので今回ご紹介させていただこうと思います。 どんな本なの？ こちらはかつて筆者であるmochikoさんが書かれた「DNSをはじめよう」、「AWSをはじめよう」の続編となる書籍です。 この画像にも記載されているとおり「SSLをはじめよう」から読み進めていただいても問題なさそうでした。ですが途中で「DNSをはじめよう」で取得したドメイ
割りと大きな問題なのだが、世間ではあまり話題にならないことがある。今回は、そんな Let’s Encrypt の問題について書く。 ネットを昔から利用している人は気づいているかもしれないが、普段見ているWebページのURLの多くが、いつのまにか http から https に変わった。 まず、http だが、HyperText Transfer Protocol（ハイパーテキストの転送通信規約）の略である。ハイパーテキストとは、ざっくりと言うとWebページのようなリンクを持った文書だ。http でデータをやり取りしますよ、というのが http で始まるURLだ。 HTTPS は、Hypertext Transfer Protocol Secure の略である。HTTP に Secure（安全）が加わったものだ。HTTPS は、HTTP をより安全にするために登場した。HTTPS は、通信内
2020年2月にApple社が「2020年9月1日以降に発行されるSSLサーバ証明書で、有効期間が398日を超える証明書をSafariでは無効とする」という発表を、グローバルサインブログで紹介しました。本日はその続報を紹介します。 その後、ブラウザベンダーのアナウンス CA/Browser Forumでは、SSLサーバ証明書の有効期間を398日未満とする、基本ルール(Baseline Requirements)を盛り込むよう、投票に向けた議論を重ねている最中ですが、2020年6月23日にオンライン会合の場で、GoogleやMozillaも相次いでAppleのアナウンスに同意するかたちで、9月1日以降に発行されるSSLサーバ証明書で、398日を超える証明書は無効化することをアナウンスしました。 これは、CA/Browser ForumのBaseline Requirementsの要件にかかわ
無料でSSL証明書が発行できる「Let’s Encrypt」がインターネット上の「暗号化により安全に保護されたウェブサイト」の割合を約4年で2倍にした方法
by Philipp Katzenberger インターネット上にはさまざまな情報があふれていますが、同時に自分がネット上で「何を見たか」や「何を購入したか」などの情報も、ネットワーク経由で漏れる可能性があります。そういったことを防ぐためには通信を暗号化することで、盗み見られたとしても内容が読み取れないようにすることが重要です。そんな暗号化をインターネット上のウェブサイトに広めるために、普通は有料で提供されるようなサービスを無料で提供するという試みが行われています。 How Let's Encrypt doubled the internet's percentage of secure websites in four years https://techxplore.com/news/2019-11-encrypt-internet-percentage-websites-years.
CTO室SREの @kenzo0107 です。 2021年6月24日に「 kakari for Clinic ホームページ制作 」がリリースされました。 kakari for Clinic ホームページ制作 今回は上記サービスで採用した、 AWS + ngx_mruby で構築した SSL 証明書の動的読み込みシステムについてです。 SSL 証明書を動的に読み込みする理由 kakari for Clinic ホームページ制作の1機能で、制作したホームページに独自ドメインを設定する機能がある為です。*1 複数ドメインでアクセスできる ＝複数ドメインの SSL 証明書を読み込む を実現する必要があります。 動的に SSL 証明書を読み込むには？ 以下いずれかのモジュールを組み込むことで SSL 証明書の動的読み込みが可能になります。 ngx_mruby lua-nginx-module 以下理
by Sean MacEntee HTTPS通信に必要なサーバー証明書を無料で発行する認証局「Let's Encrypt」が、ソフトウェアのバグによって安全に証明書が発行できていなかったとして、バグの影響を受けたと考えられる証明書を2020年3月4日(水)に失効させることを発表しました。 2020.02.29 CAA Rechecking Bug - Incidents - Let's Encrypt Community Support https://community.letsencrypt.org/t/2020-02-29-caa-rechecking-bug/114591 Revoking certain certificates on March 4 - Help - Let's Encrypt Community Support https://community.letsen
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
安全な証明書自動更新のやり方 - Cybozu Inside Out | サイボウズエンジニアのブログ
SSL (TLS) 対応プロトコルのリスト - Qiita
ピクシブにおけるBeyondCorp Remote Accessの活用事例 - pixiv inside
GoogleとMozillaが独裁国家の認証するルート証明書をブロックすると発表
Twitterも影響を受けたSSL VPN製品の脆弱性についてまとめてみた - piyolog
Kernel TLSとSSL_sendfileによるパフォーマンス向上 - NGINX
中国がTLS 1.3とESNIを使用するHTTPSトラフィックをブロック
HTTP/2の改定版仕様(RFC9113)の変更点について - ASnoKaze blog
今こそ理解しよう、輸出コンプライアンス
驚愕！その先に見えたdeveloper tool - Qiita
「VPN」がいまだに使われる理由、今後も残る理由
「プロフェッショナルSSL/TLS」を読んだ - $shibayu36->blog;
話題にならないけど一大事!? 無料でHTTPSが利用できる「Let’s Encrypt」で問題発生の可能性浮上 « ハーバー・ビジネス・オンライン
SSLサーバ証明書の有効期間を短縮するという決定に関する続報
AWS + ngx_mruby で SSL 証明書の動的読み込みシステム構築 - メドピア開発者ブログ
「バグの影響で特定のサーバー証明書を失効させる」とLet’s Encryptが発表、影響を受けるのは全体の2.6%