OpenSSL 3.0のTLS証明書用プライベート鍵生成方法
こんにちは、技術開発室の滝澤です。 前回（2021年7月）、『TLS証明書チェッカーcheck-tls-certの公開』というエントリーを公開しました。このcheck-tls-certを開発するにあたって、テスト用のPKI（Public Key Infrastructure、公開鍵基盤）を構築しました。 opensslコマンドを利用したPKI用のスクリプトを整備したのですが、開発当時ではOpenSSL 3.0の開発が進んでいることもあり、OpenSSL 3.0でも利用できるようにとドキュメントを読んでみると、「deprecated」（非推奨）の文字が散見されました。そのため、それを踏まえたスクリプトを書きました。この際に得られた知見を本記事で紹介します。 なお、2021年9月7日にOpenSSL 3.0.0がリリースされました。 本記事を1行でまとめると次のようになります。 OpenSSL
今度こそopensslコマンドを理解して使いたい (3) CA証明書の拡張設定を検証する - Qiita
前回まで: 第1回: 今度こそopensslコマンドを理解して使いたい (1) ルートCAをスクリプトで作成する 第2回:. 今度こそopensslコマンドを理解して使いたい (2) 設定ファイル（openssl.cnf）を理解する 第1回で作成したルートCAを使ってサーバー／クライアント証明書を作成したいところですが、今回はその前に以下の準備を行います。 ルートCAの作成方法と拡張設定を見直す 拡張設定を検証して詳しく調べる ルートCA作成方法の見直し 前回調べた設定ファイルの内容を踏まえて、第1回で作成したルートCAの作り方を見直します。 設定ファイル（openssl.cnf） 第1回でルートCA証明書の自己署名に使用した拡張セクションは、ノーマルのopenssl.cnfの[ v3_ca ]です。 → 「拡張セクションを指定する」 ノーマルのopenssl.cnfでは、拡張セクション[
RSA鍵、証明書のファイルフォーマットについて - Qiita
RSAの公開鍵暗号技術を利用するためには、鍵や証明書のファイルを扱う必要があるため、そのファイルフォーマットについて理解しておく必要があります。 実際、いろんな拡張子が登場するので、それぞれの意味を理解していないとすぐにわけがわからなくなります。そんなときのために備忘録をまとめてみました。 ファイルの拡張子の注意点 .DERと .PEMという拡張子は鍵の中身じゃなくて、エンコーディングを表している デジタル暗号化鍵やデジタル証明書はバイナリデータなのですが、MD5のハッシュ値のような単なる 値 ではなく、データ構造をもっています。.DERや .PEMはそのデータ構造をどういうフォーマットでエンコードしているかを表しています。そのため、.DERや.PEMという拡張子からそのファイルが何を表しているのかはわかりません。暗号化鍵の場合もあるし、証明書の場合もあります。 .DER 鍵や証明書をAS
SHA-2 アルゴリズムを使用した自己署名証明書の生成
デフォルトでは、openssl コマンドは SHA-1 アルゴリズムを使用して PCA 上に自己署名証明書を生成します。 必要に応じて、以下のコマンドのように -sha256 オプションを追加することで、デジタル署名ハッシュに SHA-2 を使用できます。 /usr/local/ctccap/bin/openssl req -x509 -sha256 -days 365 -newkey rsa:2048 ¥ -key example.key -out example.crt PCA ビルド 3500 以降でない場合は、別の Linux システムで SHA-2 鍵を生成できます。 これが可能かどうかを判別するには、以下のコマンドを非 PCA 環境で実行します。 openssl dgst ?h 生成される出力には、以下の行が表示されるはずです。 -sha256 to use the sha25
opensslコマンドでSSL証明書の有効期限を確認する - Qiita
$ openssl s_client -connect example.com:443 < /dev/null 2> /dev/null | openssl x509 -text | grep Not Not Before: Sep 25 09:14:02 2014 GMT Not After : Oct 27 09:49:54 2017 GMT Register as a new user and use Qiita more conveniently You get articles that match your needsYou can efficiently read back useful informationYou can use dark themeWhat you can do with signing up
BEAST/SSLの脆弱性を突く「BEAST攻撃」って何だ？｜デジ・ステーション｜J-Net21[中小企業ビジネス支援サイト]
日々進歩するIT技術は、ともすると取り残されてしまいそうな勢いで進化の速度を高めています。そこでキーマンズネット編集部がお届けするのが「5分でわかる最新キーワード解説」。このコーナーを読めば、最新IT事情がスラスラ読み解けるようになることうけあい。忙しいアナタもサラっと読めてタメになる、そんなコーナーを目指します。今回のテーマ、「BEAST攻撃」は、Webでのセキュアな通信を支える暗号化通信の基盤技術であるSSL/TLSの脆弱性を利用して、通信の盗聴とアカウントの乗っ取りを実現してしまう高度な攻撃方法。インターネットの商業利用の信頼性を揺るがす危険性を秘めており、全世界が緊張を高めた攻撃手法です！ 1.SSL/TLSの脆弱性を突く「BEAST」とは？ 「BEAST」とは「Browser Exploit Against SSL/TLS」の略で、Juliano Rizzo氏とThai Duon
![BEAST/SSLの脆弱性を突く「BEAST攻撃」って何だ？｜デジ・ステーション｜J-Net21[中小企業ビジネス支援サイト]](https://cdn-ak-scissors.b.st-hatena.com/image/square/110551cbd47125c10974b2d85bc79258eb4ff635/height=288;version=1;width=512/http%3A%2F%2Fj-net21.smrj.go.jp%2Fassets%2Fimages%2Fogp.jpg)
brew link openssl --forceができない問題 - Qiita
Warning: Refusing to link: openssl Linking keg-only openssl means you may end up linking against the insecure, deprecated system OpenSSL while using the headers from Homebrew's openssl. Instead, pass the full include/library paths to your compiler e.g.: -I/usr/local/opt/openssl/include -L/usr/local/opt/openssl/lib http://blog.yukarien.com/tech/openssl-versionup/ 上記サイトでopensslをバージョンアップした時の問題解決 どうやら
SSL/TLSサーバ証明書、コードサイニング証明書 | 国内最安値DigiCert（デジサート）正規代理店
SSL証明書ファイルのエンコードタイプとopensslでの変換方法 X.509証明書ファイルとPKCS証明書ファイルのタイプと変換方法 X.509証明書ファイルのエンコードタイプ X.509証明書のエンコードタイプのうち、よく使われるものとその代表的ファイル拡張子は以下です。 拡張子は随意に決めることができるため、必ずしも以下の拡張子が使われるわけではありません。 エンコードタイプ ファイル拡張子
PKCS #12 個人情報交換ファイルフォーマットについて - Qiita
PKCS #12 個人情報交換ファイルとは 個人情報交換ファイル は PKCS #12 Personal Information Exchange Syntax Standard という規格で定義されたファイルです。 PKCS #12という規格は、英語版Wikipediaによると以下のように説明されています。 See RFC 7292. Defines a file format commonly used to store private keys with accompanying public key certificates, protected with a password-based symmetric key. PFX is a predecessor to PKCS #12. 訳してみます。 RFC 7292を参照。パスワードベースの対象鍵による保護のもと、秘密鍵をそれと
サーバーが設定しているSSL暗号を確認したい時 - Qiita
突然ですが、SSLの暗号の設定を諸事情により変更する事があると思います。 例えば、2015/2 RFC7456で、RC4が禁止となった等 サーバーのSSLの暗号の設定変更を行った後、外部からの確認方法に迷っていたのを思い出したので、備忘録がてら。 先に設定方法も記載しておくので、確認方法のみで良い場合は、確認方法の項へ サーバー側の設定 設定に関しては、例として、RC4を外していく事を想定して記載しています。 ELBを利用している場合 AWSコンソールから以下のように辿り、RC4を利用しないポリシーを選択するか、カスタムポリシーからRC4のチェックを外す EC2 -> Load Balancers -> 変更したいELB -> Listenersタブ -> Cipherの項にあるChange Policyの変更 Policyの変更 Predefined Security Policyの場合
OpenSSL で証明書確認とか設定とか - Qiita
忘れるからメモという名のコピペ 作成手順 openssl コマンドを使って SSL 自己証明書を作成する。 1. 秘密鍵（server.key）の作成 openssl genrsa -aes256 1024 > server.key 1. 公開鍵（server.csr）の作成 openssl req -new -sha256 -key server.key > server.csr 1. デジタル証明書（server.crt）の作成 openssl x509 -in server.csr -sha256 -days 365 -req -signkey server.key > server.crt 1. Apache の ssl.conf を編集する。
私が愛した openssl (SSL/TLS 編) - してみんとて
id:blooper:20120907 の続きですが、皆様におかれましては既に証明書が好きで好きでたまらなくなって、HTTPS を利用したサイトに行くと証明書の拡張まで読んだ後でなくては証明書の内容が気になってサイトの本文が読めなくなっているかと思いますが如何お過ごしでしょうか。 SSL は Secure Sockets Layer の頭文字で Netscape Communications が 1995 年に、ってのは wikipedia:Secure_Sockets_Layer でも見れば載ってるので見てね。で、RFC にしようってことで SSL は Netscape のでしょ? ってことで TLS (Transport Layer Security) に改名した、と記憶してるんだけど本当だっけな。ハンドシェイク時のレコードのバージョン見ると SSLv3.0 は 3.0 TLSv1.0
CentOS7.2 64bit OpenSSLを使用して秘密鍵、CSRを作成し、自己署名のSSLサーバー証明書を作成
ネットワークで送受信するデータを暗号化する方法として、SSL(Secure Sockets Layer)があります。 SSLはバージョンアップされ、TLS(Transport Layer Security)というものになっているのですが、一般的にはSSLと表記されることが多いため、ここでもSSLという表記を使用します。 SSLで暗号化通信を行うには、SSLサーバー証明書が必要となります。 ここでは、CentOS7.2の標準リポジトリからインストールできるOpenSSL1.0.1eを使用して、SSLサーバー証明書を作成する際に必要となる秘密鍵とCSR(Certificate Signing Request)を作成し、自己署名のSSLサーバー証明書を作成する方法を、以下に示します。 ※自己署名のSSLサーバー証明書は、CSRを作成せず、秘密鍵と同時に作成することもできます。その手順については、
OpenSSLに2件の深刻な脆弱性--早急にパッチの適用を
Steven J. Vaughan-Nichols （Special to ZDNET.com） 翻訳校正： 編集部 2016-05-06 11:28 「OpenSSL」に2件の脆弱性が存在し、パッチが提供されたことが明らかになった。どちらの脆弱性も、セキュリティに重大な影響を及ぼす可能性がある。 暗号ライブラリであるOpenSSLは、有名なウェブサイトのSSLやTLSでも利用されており、これにはTwitter、GitHub、Tumblr、Steam、DropBoxなども含まれる。 OpenSSLが使われているのはウェブサイトだけではない。オープンソースの仮想プライベートネットワークである「OpenVPN」や、リモートからターミナルに安全にログインするために使用する「OpenSSH」の古いバージョンでも使用されている。 これは、セキュアなサーバを運用していれば、OpenSSLを利用している
理解してるつもりの SSL/TLS でも、もっと理解したら面白かった話 · けんごのお屋敷
apache や nginx の設定をしたことがあれば以下の様な行を見たことがある人も多いのではないでしょうか。(※ 下記は nginx の設定。apache の場合は SSLCipherSuite です。) ssl_ciphers AES128-SHA:AES256-SHA:RC4-SHA:DES-CBC3-SHA:RC4-MD5; これが暗号スイートを指定している箇所です。そしてこの部分、わけのわからない文字列の羅列なのですごく取っつきにくくて何を指定したらいいかわからないので、コピペしてしまう人も多いんじゃないでしょうか。かくいう私も数年前に趣味で TLS 対応の Web サービスを作った時はコピペで済ませていました。この暗号スイートは、以下のような OpenSSL のコマンドを使って対応している一覧を見ることができます。 $ openssl ciphers -v AES128-SH
LinuxにApacheとOpenSSLをソースからビルドしてインストールする - Qiita
こちらの記事がとても良記事だったので、ビルドの勉強のために自分でやってみました。 Apache HTTP Serverのビルドを始めよう 自分でソールからビルドしてみると、共有ライブラリ(=ダイナミックリンクライブラリ,シェアードライブラリ)や.soファイルの仕組みがよくわかるようになります。 環境 CentOS 6.5 httpd 2.2.29 openssl 1.0.1j 他のディストリビューションでもやり方はほとんど同じだと思います。 ターゲット構成 /opt/openssl/ にopensslをインストール /opt/httpd/ にApacheをインストール 準備 ビルドに必要なパッケージを入れます。 # コンパイルするのに必要 $ sudo yum install -y gcc make # opensslをビルドするのに必要 $ sudo yum install perl z
OpenSSLの脆弱性CVE-2015-1793について - ロードバランスすだちくん
シンジです。続報です。（前回の記事） 新たに正式なアナウンスがありましたので、各種発表の一部から要約してお伝えします。 脆弱性について証明書系の攻撃にて、中間者攻撃を受ける可能性 緊急度高いとされています。 影響度影響度は低いと考えます。 AWSの各種サービスには、事実上影響無しHTTPS/FTPSなどSSL証明書を使用していない場合は影響なしAmazon Linuxはリポジトリを更新済みで適用可能AWSのサービスで対象があるものの、順次対応される為、ユーザー影響は無し対象範囲2015/6/11以降の比較的新しいOpenSSLにしか影響がないUbuntu 15.04 (Vivid Vervet)（訂正します、ご指摘ありがとうございます）, Amazon Linux等該当のバージョンは1.0.2c1.0.2b1.0.1n1.0.1o対処方法影響を受けるバージョンの1.0.2系は1.0.2dへ
OpenSSLで作ったオレオレ証明書を使ったHTTPS通信をのぞいてみる。 - それマグで！
このエントリがおもしろそうだったのでOSX でやってみた。 オレオレ証明書をopensslで作る（詳細版） WiresharkでSSL通信の中身を覗いてみる 実際にやったこと。 openssl の自己証明を使って、HTTPSの実験サーバーを作る。 HTTPSの通信の中身をのぞいてみまみる Apache+mod_sslを openssl で用意しました。 オレオレ証明書を使ってHTTPSサーバーを作った 今回はOSX の組み込みApacheの設定変更で対応することにする。 本来、cert (certification)は、認証局に署名して貰うのだが、今回は自分で自分を証明する。オレオレ証明書を使う 秘密鍵（server.key）の作成 openssl genrsa 2048 > server.key 公開鍵（server.csr）の作成 openssl req -new -key serve
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
https://community.akamai.com/customers/s/detail/aS80f0000004CZ1CAM
OpenSSL 秘密鍵とCSRを一緒に生成するシェルスクリプト