オレオレ証明書をopensslで作る（詳細版） - ろば電子が詰まつてゐる
前回のopensslでRSA暗号と遊ぶでRSA暗号や秘密鍵について中身を色々といじってみた。続いて今回は、Apacheで使うオレオレ証明書を作ってみる。 細かいことはいいから、オレオレ証明書を作るコマンドだけ知りたい お急ぎの方は、以下3つだけやれば良い。これで10年間(3650日)有効なオレオレ証明書ができあがる。 $ openssl genrsa 2048 > server.key $ openssl req -new -key server.key > server.csr $ openssl x509 -days 3650 -req -signkey server.key < server.csr > server.crtできあがったserver.crtとserver.keyを、例えば/etc/httpd/conf/ 配下のssl.crt/ と ssl.key/ ディレクトリに設置
NginxでHTTPS：ゼロから始めてSSLの評価をA+にするまで Part 2 – 設定、Ciphersuite、パフォーマンス | POSTD
NginxでHTTPS：ゼロから始めてSSLの評価をA+にするまで Part 2 – 設定、Ciphersuite、パフォーマンス 今日のインターネットの世界では、一般的な静的Webサイトも含め、 全てのWebサイト に、強固で安全なHTTPSのセットアップが必要となります。この記事は、Nginxセキュリティをどのようにセットアップするのかに関するシリーズのパート2です。 パート1 は、Webサーバに有効な署名証明書をセットアップする話で終了しました。しかしこれには、最適な設定とは言い難い、デフォルトのNginxの設定を使用していました。 この記事を読み終えれば、SSL Labsのレポートで、A+の評価を獲得できる安全なHTTPSの設定ができます。それだけでなく、追加でいくつかの微調整も行い、パフォーマンスそしてUXも向上させていきます。 ここに掲載した記述やコードの抜粋の他にも、すぐに使
Webサーバー nginx における SSL証明書設定の安全性向上 ～SSL Server Test で A+ 判定を目指して～ - SaintSouth.NET
Webサーバー nginx における SSL証明書設定の安全性向上 ～SSL Server Test で A+ 判定を目指して～ はじめに SSL証明書に使われる暗号化方式は設定時には安全と判断しても、日が経ってから脆弱性が発覚するものです。 脆弱性が発覚した暗号化方式は以後使えなくなるよう、無効にする必要があります。 今回、CentOS7 + Nginx における設定の調整方法と、安全性の確認には QUALYS SSL LABS の SSL Server Test ツール (https://www.ssllabs.com/ssltest/index.html) による安全性の確認を紹介したいと思います。 前提として、CentOS7 + Nginx にはすでに SSL証明書がインストール済みで、https://～ でアクセスできる状態にしておいてください。こちらの投稿を参照してください。
安全なWebサイトの構築方法（SSL編） ～Qualys SSL LABSでA評価を目指して～
年末をいかがお過ごしですか？おはこんばんちは、インフラチームのfujyaです。昨年の年末は色々とあって休みがほとんどありませんでしたが、今年はのんびり年末を過ごしています。2015年を振り返ってみるとOpenSSL周りの脆弱性や証明書のsha1からsha2への切り替えなど、SSL全般に関しての対応が多かったような気がします。 シャノンでは、通信の秘密を守るために日夜SSL関連のチューニングを怠らなようにしてます。 チューニングの結果を外部診断して確認する手段としてQualys SSL LABSの「SSL Server Test」を活用しています。SSLサイトチェックの定番です（よね？）。ここでA評価をもらう事が一つの安全の指標といえるのではないでしょうか。 シャノンのサービスではもちろんA評価です。皆様に安心にご利用して頂くため、日々セキュリティアップデートがあれば対応を続け、A評価を保ち
SSL/TLS Strong Encryption: How-To - Apache HTTP Server Version 2.4
This document is intended to get you started, and get a few things working. You are strongly encouraged to read the rest of the SSL documentation, and arrive at a deeper understanding of the material, before progressing to the advanced techniques. Basic Configuration Example Your SSL configuration will need to contain, at minimum, the following directives. LoadModule ssl_module modules/mod_ssl.so
Qualys SSL LabsでスコアAがとれるnginxのTLS/SSLの設定方法 - kumaaaaaaa!
この記事は この記事は、2015/4/7現在、Qualys SSL LabsでスコアAがとれる、nginxのTLS/SSLの設定方法について説明するものです。 TLS/SSLと書いていますが、後述しますがSSLは使用しません。 また、TLS/SSLとはなにか、といった話題については触れません。細かい解説もしません。細かい解説は参考文献を参照してください。 具体的なconfファイルの記述例 server { listen 443 ssl; #実際の設定方法に合わせる server_name localhost; #nginxのバージョンを表示しないようにする server_tokens off; ssl on; #中間証明書とbindingしたものを指定する ssl_certificate /path/to/server.crt; #openssl req -nodes -newkey rs
OpenSSLで認証局（CA）構築とApache+mod_sslでサーバ認証
前に書いた続き。実際に認証局を構築してApacheサーバから発行した証明書に署名してインストールをやってみた。環境はCentOS5.3 流れは 自前の認証局（CA）で証明書（CACERT）を作成（３のときに実行しても良いけど、認証局がサーバより先にあるというのが一般的なので） Apacheサーバで秘密鍵（Key）と証明書署名要求（CSR）を作成 自前の認証局で証明書署名要求（CSR）に署名し証明書（CERT, certificate）を作成 証明書（CERT）と秘密鍵（Key）をApacheサーバにインストール クライアントのブラウザに自前の認証局の証明書（CACERT）をインストールして信頼させる という感じ。ここのサイトなどを参考に。 ベリサインなどのWebTrust認証局にサーバ証明書を発行してもらったときは２と４の作業だけで済む（１と５は既に終わっていて、３は申請するだけ）。 １．
SSL通信時発生する証明書エラーとその仕組みを理解する - Qiita
(2014/1/30追記) Yahoo!のWebAPIやOpenIDでも同様の事象があったようです。 かなり影響の大きい問題だったのですね。 WebAPIやOpenIDでSSLエラーが起きる現象につきまして http://techblog.yahoo.co.jp/maintenance/4/ 問題 curlでとあるhttpsスキームのAPIを叩いたら、こんなエラーが。 SSL certificate problem, verify that the CA cert is OK. Details: error:14090086:SSL routines:SSL3_GET_SERVER_CERTIFICATE:certificate verify failed 後付けで分かりましたが、原因は以下でした。 RHEL5/CentOS5でGlobalSignのルート証明書が有効期限切れで大騒ぎ ht
OpenSSLのSHA256でSSL証明書をインストールする！ - 東京ウェブのお知らせ
みなさん、こんにちは。何でも屋のさとうです。 デザインもCMSもサーバの設定も私にお任せあれ！と言いたい所ですが、いつもビビりながら作業をしている毎日です。 そんな私が本日SSLの設定についてご説明いたします。 SSL証明書が2048ビット以上じゃないと受付けなくなったりしましたが、最近はSHA256じゃないと受け付けてくれないようですね。 グローバルサインの証明書も申込時にSHA256を推奨してます。 SSL証明書インストールまでの流れ SSL証明書の流れを簡単にご説明いたします。 keyファイル作成 CSRファイル作成 パスフレーズの削除 グローバルサインなどで証明書購入 グローバルサインから証明書データが来る サーバの所定位置に、crtファイル、cerファイルを作成する keyファイルを所定の位置に移動する Apacheの再起動 私の失敗談 CSRファイル作成時に「-SHA256」を
CentOS6などで俺俺CAとSHA2証明書を作るときのメモ - Qiita
参考 - Redhatのガイド：https://access.redhat.com/documentation/ja-JP/Red_Hat_Enterprise_Virtualization/3.3/html/Developer_Guide/appe-Certificates.html ここよりも参考になりそうなQiitaの記事がありました： http://qiita.com/mako10z/items/ef15372d4cf4621a674e Motivation 普通はオフィシャルな文書を見ればいいのだけど、RHEL6互換のOSでは署名のアルゴリズムがSHA1がデフォルトとして/etc/pki/tls/openssl.cnfに記載されているため、明示的に指定する必要があるので、備忘としてメモ。 CentOS7へ移行してもいいのかもしれませんが、まだ試していません。 CAから作り直すケー
OpenSSLの脆弱性(CVE-2014-3511)でTLSプロトコルの基礎を学ぶ - ぼちぼち日記
1. はじめに、 昨日 OpenSSLのバージョンアップがアナウンスされ、９つの脆弱性が公開されました。バージョンアップの数日前にOpenSSLの次期リリース予告がアナウンスされていましたが、ちょうど BlackHat 開催初日にあたることもあり、なんかまた重大な脆弱性の修正が入るんじゃないかとドキドキしていました。蓋を開けてみるとHeatBleed程の大事ではなくホットひと安心です。 昨日公開されたOpenSSLの９つの脆弱性のうち、TLS プロトコルダウングレード攻撃 (CVE-2014-3511)の修正を見ていたところ、これはTLSプロトコルを学ぶいい題材になるなぁとふと思いつき、試しにこのOpensslの脆弱性の詳細をTLSプロトコルの基礎に合わせて書いてみました。 ちょっと長いですが、TLSプロトコルの仕組み（の一部）を知りたい方はお読みください。 2. OpenSSLの脆弱性
名前ベースのバーチャルホストでSSLを使う（SNI） | あぱーブログ
TLS拡張（RFC4366）仕様の一つ Server Name Indication（SNI）によって名前ベースのバーチャルホストでもSSLが使えますが、そもそもなぜ、名前ベースのバーチャルホストでSSLが使えないのかその理由と、SNIの仕組みと設定方法について調べてみました。 以前、WEBディレクターの方から、SSLを使っているサイトのバーチャルホストの設定依頼を受けて「SSL使ってるとバーチャルホストは使えないっすよ」とドヤ顔で答えてしまい、少し恥ずかしい思いをしました。(^^;) 昔の上司の言葉「常にアンテナを張っておけ！」を思い出します。 SNIの仕組みSSLを使っていると当然ですがHTTPヘッダは暗号化されているので、クライアントがどのホスト名を指定しているのか判断できないため、先頭のバーチャルホスト（図の場合は lamp-sv）が表示されてしまいます。 SNIではSSL/TLS
XAMPPのApacheでエラーが出た際の対処法
新しくXAMPPの1.8.2をインストール後、エラーが出たので修正。 修正時のただのメモです。 エラーログはこちら「C:\xampp\apache\logs\error.log」。 エラー1 [Sun Oct 12 12:00:00.870600 2014] [core:alert] [pid 7168:tid 1844] [client ::1:64386] C:/xampp/htdocs/xampp/example/.htaccess: order not allowed here, referer: http://localhost/example/example.php 原因 AllowOverrideの設定で.htaccessが無効になっている。 xamppの場合は「C:\xampp\apache\conf\httpd.conf」だけでなく、「C:\xampp\apache\co
iPadのSafariでオレオレSSLクライアント証明書を使っていると動画再生できない - terazzoの日記
イントラ案件だけどiPadで動画を見たいという話があったので、videoタグを使ったHTMLページを作り、Safariから動画を視聴できるようにした。 動画自体は社外秘ではないのだけど、サイト内の他のコンテンツは社外秘なので、SSLクライアント証明書を配布してSSL経由でのアクセスのみ許可するようにしている。(関連: Apache2.2でリモートアドレスベースでの制限 "または" SSLクライアント証明書による認証を行う - terazzoの日記) ところが、どうやってもSSL経由で動画が再生できない。同じHTML/動画ファイルでも、SSLを使わない場合や、クライアント証明書を使わない場合には再生できたので、どうやら証明書周りが怪しい。 確認したバージョンはこの辺: Apache 2.2系 iOS 6.1.3 結論 videoタグでhttpsを使用した際に、端末にそのドメインに対するクライ
apache 2.4におけるSSL証明書の設定 - Qiita
apache 2.4（厳密には2.4.8以降）でSSL証明書の設定でちょっとハマったのでメモ。 ※CentOS 7系の標準apacheだと2.4.6のため、ここで記載するapache 2.2の方の設定になります。注意。 結論 初っ端から結論。 apache 2.4では中間CA証明書を指定する SSLCertificateChainFile ディレクティブがなくなってます。 そのためapache 2.4ではサーバ証明書と中間CA証明書、それからクロスルート証明書を一つのファイルにまとめてサーバ証明書を指定する SSLCertificateFile ディレクティブで指定します。 参考：http://httpd.apache.org/docs/current/mod/mod_ssl.html#sslcertificatechainfile apache 2.2での証明書構成 SSLCertifi
OpenVPN を使って仮想LAN接続してみる | レンタルサーバー・自宅サーバー設定・構築のヒント
OpenVPN を使って仮想LAN接続してみる
オレオレ認証局の適切な運用とName Constraints - kazuhoのメモ置き場
オレオレ認証局が忌避されるべきものとされてきた理由は、X.509 PKIが保証する安全性は、最も信頼性が低い認証局（trusted root）のそれに等しいからです。 しかし、X.509 v3以降ではName Constraintsが導入され、「特定のドメインに対してのみ証明書を発行可能な認証局」を定義できるようになっており、同constraintをcritical key usage extension*1として宣言したルート証明書を安全な経路で配布、インストールすることができれば、上記のようなX.509 PKIの系全体に対する影響は発生しないことになります*2。 ここで問題になるのは、どの程度のウェブブラウザがName Constraintsに対応しているのか、という点になりますがhttps://news.ycombinator.com/item?id=5194103によると、Chro
コンピュータに詳しくない人へ。インターネット史上最悪のOpenSSLの脆弱性のニュースをわかりやすく書いてみました。ほとんどすべての人に影響します。 - 非天マザー by B-CHAN
インターネットで使われる鍵（カギ） みなさん、こんにちは！ こんなニュースが発表され、世界に衝撃を与えています。 ↓ Gmail、YouTubeにも影響。壊滅的なOpenSSLの脆弱性、「Heartbleed」問題とは « WIRED.jp コンピュータ関係者は大騒ぎですが、ボクたち一般人はどうすればいいのでしょうか？ コンピュータに詳しくない人に、なるべくわかりやすく書いてみます。 まず、インターネットのいろんなサービスを利用するにはIDとパスワードが必要ですよね。 例えば、Amazonや楽天市場で買物をするには、Amazonや楽天市場のIDとパスワードを入力する必要があります。 どちらかが欠けても買い物はできません。 あなた以外の第三者があなたのIDを知ったとしてもパスワードがわからなければ、あなたの名前で勝手に買い物をすることはできないわけです。 これによって安全が守られているわけで
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
SSL証明書のインストール手順 apache + modssl + openssl - Q&A - SSLOFF
TechCrunch | Startup and Technology News
