CVE-2014-0160 OpenSSL Heartbleed 脆弱性まとめ - めもおきば
必要な情報は http://heartbleed.com/ にまとまっているのですが、英語だし長いしって人のために手短にまとめておきます。 どうすればいいのか OpenSSL 1.0.1〜1.0.1fを使っていなければセーフ あてはまる場合には、一刻も早くバージョンアップして、サーバごと再起動(わかるひとはサービス単位でもOK、ただしreloadではだめなことも) SSL証明書でサーバを公開しているなら、秘密鍵から作り直して証明書を再発行し、過去の証明書を失効させる(末尾に関連リンクあり)。 サーバを公開していない場合も、外部へのSSL通信があれば影響を受けるので、詳しく精査する。 PFS(perfect forward secrecy)を利用していない場合、過去の通信内容も復号される可能性があるため、詳しく精査する。 漏洩する情報の具体例は、OpenSSLの脆弱性で想定されるリスクとして
ポートフォワーディングの利用
■概要 「SSH」には、特定のポートから受け取ったデータを他のポートへ転送する「ポートフォワーディング（port forwarding）」 という機能があります。 これは、リモートコンピュータのポートを、自分のＰＣのポートにSSHを通して仮想的に割り当てることにより、リモートの ポートを自分のＰＣのポートであるように利用することができます。 ■利用用途 例えば、学外から学内限定ページを見る手段としては「ＶＰＮ接続サービス（SSL-VPN）」があります。 しかし、サポートプロトコルが限定されており、そのページに「Java」や「ActiveX」等が使われていると、うまく表示されません。 「ポートフォワーディング」機能により、これらのアプリケーションも暗号化され利用可能となります。
Module ngx_http_ssl_module
The ngx_http_ssl_module module provides the necessary support for HTTPS. This module is not built by default, it should be enabled with the --with-http_ssl_module configuration parameter. This module requires the OpenSSL library. To reduce the processor load it is recommended to set the number of worker processes equal to the number of processors, enable keep-alive connections, enable the shared s
[メモ] nginx に中間CA証明書をインストールする | Ikeda->Weblog();
すぐ忘れてしまいそうなのでメモ。 あ、ご無沙汰してます@ikedaです。 RHETOLOベータリリースで落ち着くかと思いきや、やるべきこと・やりたいことが山積みで相変わらずな状態ですorz さて、そのRHETOLOのhttps接続用にGeoTrustのサーバ証明を使っているんですが、初めてhttps接続する時に「接続の安全性を確認できません」と火狐君に怒られる、という現象が報告されました(´・ω・｀) 調べてみると、GeoTrust社のサーバ証明書はルートCAを含め3階層もしくは4階層になっていて、どうやらこの2階層目・3階層目の中間CA証明書が火狐君にインストールされていない場合に警告されるようです。 ということで、nginxに中間CA証明書をインストールしてみました。 まず、GeoTrustから中間CA証明書を取得してファイルに保存しておきます。 CA証明書はWebで公開されてますね。
Nginx + SSL + Rails
普通に nginx をフロントに置いて、バックエンドに Rails を置いた場合の nginx の設定ファイルは、 半年くらい前に書いた。 これはこれで良いのだが、今度は HTTPS でもアプリケーションにアクセスしたくなった場合、 listen 80 の server セクションをコピーして、listen 443 で SSL を利用する server セクションを追加すれば良いだけの気もするのだが。 単純にコピーして SSL の設定をしただけだとはまることがある。 force_ssl Rails 3.x からだと思うが、ActionController に force_ssl というクラスメソッドが追加された。 # Force the request to this particular controller or specified actions to be # under HTTP
WebSocketでSSLを使用しセキュリティを確保する方法: Ruby EventMachineでサーバーを立てる場合 - memo.yomukaku.net
2011-06-18 00:49 WebSocketを使用してserver pushを行う場合、通常は通信の傍受が可能な状態になっています。SSLを使用するWebSocketサーバーの作り方を書きます。 EventMachineを使用してWebSocketのサーバーを作る場合、SSLを使用しない場合は以下のようになります。 # server.rb require 'em-websocket' EM.run do EM::WebSocket.start(:host => "0.0.0.0", :port => 8000) do |ws| ws.onopen do puts "WebSocket connection open" ws.send "WebSocket connection open" end ws.onclose do puts "Connection closed" end
＠IT：Webアプリケーション: 第3回 気を付けたい貧弱なセッション管理
※ご注意 他社および他組織のWebサイトなどへのポートスキャンおよびデータの取得などの行為で得た情報を侵入などに悪用するか、または同じ目的を持つ第三者に提供した時点で違法となります。ご注意ください。 本稿の内容を検証する場合は、必ず影響を及ぼさない限られた環境下で行って下さい。 また、本稿を利用した行為による問題に関しましては、筆者および株式会社アットマーク・アイティは一切責任を負いかねます。ご了承ください。 「第2回 顧客データがすべて盗まれる」は、クロスサイトスクリプティング（XSS）と同様に実際のプログラミングを行うプログラマの責任であるという対策で、最も危険と思われるSQL InjectionとOS Command Injectionについて紹介した。今回は、プログラミング以前の設計段階で潜り込むセキュリティホール――見落としがちなセッション管理の脆弱性について説明していく。 We
Herokuの本番環境にRailsでSSL(https)を導入する方法 - Qiita
$ openssl req -new -key server.key -out server.csr You are about to be asked to enter information that will be incorporated into your certificate request. What you are about to enter is what is called a Distinguished Name or a DN. There are quite a few fields but you can leave some blank For some fields there will be a default value, If you enter '.', the field will be left blank. ----- Country Na
SSL 証明書 を 無料 で 取得
INSANEWORKS,LLC What You Need Is What You Get!! Hostname: 133.242.243.6 IP Addr: 133.242.243.6 代表のkotaです。 業務のWebシステムにSSLを使おうとしやのですがやはり高い!! 対外的に見せるモノじゃないので鍵長2048bitをタダで取れたりしないのか？？ と調べているとありました。StartComという所の証明書です。 IE Firefox Safari Opera対応 管理ページへのアクセスはクライアント認証対応 Class1-3,EV証明書に対応 Class1は無料で一年間有効 Class1はドメインの所有がメールで確認できれば即時発行 という無料！？おいおいというような仕様。(EVSSLが出たからですかね、、) というワケで早速取得してみました。 以下手順はこの記事執筆当時のもので風
transitive.info - SSL の証明書を取得と nginx、rails、devise の設定
SSL の証明書を取得と nginx、rails、devise の設定 SSL の証明書について 証明書は SSL で暗号化して通信するのに必要というくらいの認識だったので調べてみた。 「SSL 証明書」で検索したときに上位にきた http://www.atmarkit.co.jp/fsecurity/special/133evssl/evssl00.html を読んだ。EV (Extended Validation) SSL 証明書について書かれている。 証明書の機能は SSLサーバ証明書は、「通信データの暗号化」と、「通信相手の認証」という2つの主な機能を持っています。 で「通信相手の認証」の方で証明書の種類があるようだ。 EV とつく証明書は、認証の方法が厳格ということらしい。 SSL サーバ証明書自体については、「SSL サーバ証明書は、大きく分けると3種類」と書いてあって、次の3
Rack::SSL試したいときー - 困ったときのメモ ver.2.0
2011-07-08 ちょっぴり修正 requireの順番を修正。 はじめに 以前も書いた、以下のサイトからのコピペだす。ありがてぇ。 http://www.nearinfinity.com/blogs/chris_rohr/configuring_webrick_to_use_ssl.html http://d.hatena.ne.jp/LukeSilvia/20071016/1192554033 http://d.hatena.ne.jp/elm200/20070428/1177752908 ごちゃまぜにして作った ので、ソース残しとく。たぶんいろいろ間違ってるから、動くけどエラーでまくりんぐエラーも出てないっぽい。Herokuに移す前の確認用てことで。 以下のコードを「script」ディレクトリ直下に「sslrails」て名前で保存。 #!/usr/bin/env ruby.exe
rack-ssl で http と https を混在させようとして諦めた - おもしろwebサービス開発日記
表題の通りのメモ。rails で一部のパスだけ http 、他は https にしたいなーと思ってざっくり調べたのでした。 調べたこと Rails 3 では config.force_ssl = true としたら rack-ssl が使われる Rails 4 では ActionDispatch::SSL が使われる ソース見た感じ、 ActionDispatch::SSL は rack-ssl を少しだけいじったものに見える rack-ssl には、ssl の対象にならない条件を exclude オプションに callable なオブジェクトを渡すことで指定できる Rails 4(ActionDispatch::SSL) では exclude オプションが無い なぜ ActionDispatch::SSL に exclude オプションが入っていないか(削除されたか)というと、 rack
Rails3 で HTTPS を使うには - おもしろwebサービス開発日記
Configuring Rails 3 to use HTTPS and SSL – Simone Carletti's Blogの意訳。 Rails 3.1以降 Rails3.1以降からは、このコミットによってHTTPからHTTPSへ遷移させるのがちょう簡単にできるようになった。下記のようにするだけでOK。 # config/application.rb module MyApp class Application < Rails::Application config.force_ssl = true end end このコードの裏側では、Railsはrack-sslをミドルウェアとして追加している。Rack::SSLは自動的にHTTPのリクエストをHTTPSにリダイレクトする。あとは Strict-Transport-Security ヘッダを付けたりcookieに secure 属
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
