Let’s EncryptとNginx : セキュアなWebデプロイメントの現状 | POSTD
最近まで、SSL暗号化通信は「あると好ましい機能」という程度にしか考えられていませんでした。そのため、安全なのはアプリのログインページだけというサービスが数多く存在していました。 しかし、状況は良い方向へと変化しています。現在では暗号化は必須と考えられ、ほとんどの開発者が導入を義務付けています。また、巨大検索エンジンGoogleでは、SSLの導入が検索結果の順位を決定する要因にさえなっています。 しかし、SSLが広範に普及しているにも関わらず、セキュアなWebサービスを構築することは、未だに面倒で、時間がかかり、エラーの原因になりやすいと考えられています。 最近この分野では、 Let’s Encrypt が、SSL証明書をより広く普及させ、Webサイトのセキュリティ維持に係るワークフローを大幅に簡略化しようと取り組んでいます。 強力なWebサーバNginxや、他のハードニング方法と組み合わ
Let's Encrypt
A nonprofit Certificate Authority providing TLS certificates to 363 million websites. Read all about our nonprofit work this year in our 2023 Annual Report. From our blog Dec 28, 2023 A Year-End Letter from our Vice President A summary of how ISRG’s three projects, Let’s Encrypt, Divvi Up, and Prossimo continue to improve security and privacy. Read more Dec 13, 2023 Our role in supporting the nonp
Webサービスを常時SSL化しようとして諦めた話
弊社の新規事業でWebサービスを作っていて、セキュリティトレンドの常時SSLってやつをやってみようと思った。 世のWebサービスを見てみるとやっている所が何故かほとんどなく、mixiやニコニコなどの大手もやってないようだ。ニコニコのURLを試しにhttpsにしてみたら繋がらず、mixiはhttpにリダイレクトされる。 うちは新規だから最初からhttps化することで特にデメリットはないと判断、安いSSL証明書を買ってhttpをhttpsにリダイレクトするようにした。技術的な難所はまったくないので問題なく実装完了し、これで安心度がちょっと上がったと思っていたのだが…。 つづく。 続き。 弊サービスではユーザーがYouTubeなどの動画を貼り付ける機能が重要なのだが、テストしてみるとニコニコ動画の埋め込みが動作しなくなっていた。調べてみるとニコ動の埋め込みコードがhttpなせいで、さらに最近のブ
Amazon CloudFrontの独自ドメインSSL証明書をAWS CLIでアップロードする | DevelopersIO
はじめに 今回はCloudFrontで独自ドメインSSL証明書を使用するために AWS CLIで証明書をアップロードする方法を書きたいと思います。 以前、弊社のブログでも紹介していましたが「aws-iam-tools」での方法でしたので AWS CLI版の投稿となります。 CloudFrontの独自ドメインSSL証明書対応を試してみた | Developers.IO 証明書をアップロードする ELBの証明書はコンソール上でもアップロード可能ですが、CloudFrontではコマンドラインでアップロードします。 $ aws iam upload-server-certificate --server-certificate-name CertificateName ¥ --certificate-body file://public_key_certificate_file ¥ --priva
Let's Encrypt Launch Schedule - Let's Encrypt
Let’s Encrypt has reached a point where we’re ready to announce our launch schedule. First certificate: Week of July 27, 2015 General availability: Week of September 14, 2015 We will issue the first end entity certificates under our root under tightly controlled circumstances. No cross-signature will be in place yet, so the certificates will not validate unless our root is installed in client soft
WoSign Free SSL Certificateが3年無料でマルチドメイン対応かつStartSSLがクロスルートと最強な件 - このブログはURLが変更になりました
TL;DR 申し込みはこちらから はじめに Let's Encryptが2015年9月14日の週から利用可能になる予定だったり、さくらインターネットがRapidSSL証明書1年分無料キャンペーンを展開するなど最近盛り上がりをみせるSSL証明書業界ですが、今ここに新たな救世主がやってきました。 それが中国系SSL認証局の沃通(WoSign)が提供するWoSign Free SSL Certificateです。 WoSign Free SSL Certificateの仕様 WoSign Free SSL Certificateは3年間無料、しかも１つのSSL証明書でマルチドメインに対応しています（100ドメインまで）。ま、マジで！ 通常こういったマイナーな認証局が発行するSSL証明書はサポートするブラウザが極端に少なかったりするのですが、クロスルート方式でStartSSLをルート証明書にもつこ
【RDS】2015年3月のSSL証明書バンドル・認証局(CA)の更新作業をやってみた | DevelopersIO
こんにちは、ブログにはご無沙汰の三井田です。 今回の記事は、Amazon RDSでSSL通信を利用しているユーザ向けです。 SSL通信を使用していない場合は、特に更新作業は必要ありません。 はじめに 先日、AWSよりAmazon RDSでSSL通信を利用しているユーザ向けに脚注に引用したアナウンス *1がありました。RDSのマネジメントコンソールにも以下のようなバナーが表示されています。 要点をかいつまむと、次のような内容です。 対応が必要なのは、RDS（MySQL、SQL Server、またはPostgreSQL）とクライアント間でSSL通信を利用している方 対応期限は、日本時間で、2015年3月24日 午前5時 SSL証明書が有効期限を迎えるので、引続きRDS〜クライアント間のSSL通信を行うには対応が必要 クライアントプログラムは、AWSが提供する新しい証明書バンドルを利用するように
なぜHTTPSはHTTPより速いのか
先週、httpvshttps.com というウェブサイトが公開されました。このウェブサイトでは、HTTP と HTTPS を用いてアクセスした場合のウェブページのダウンロード完了までにかかる時間の比較ができるのですが、多くの環境で HTTPS の方が HTTP よりも高速なことに驚きの声が上がっていました。 HTTP が TCP 上で平文を送受信するのに対し、HTTPS は TCP 上で TLS (SSL) という暗号化技術を用いて通信を行います。ならば、TLS のオーバーヘッドのぶん HTTPS のほうが遅いはずだ、という予測に反する結果になったのですから、驚くのも無理はありません。 実は、この結果にはからくりがありました。 Google Chrome、Mozilla Firefox、最近のSafari注1は、Google が開発した通信プロトコル「SPDY」に対応しており、HTTPS
Strong SSL Security on nginx - Raymii.org
Strong SSL Security on nginx Published: 14-06-2015 | Last update: 27-04-2019 | Author: Remy van Elst | Text only version of this article ❗ This post is over five years old. It may no longer be up to date. Opinions may have changed. This tutorial shows you how to set up strong SSL security on the nginx webserver. We do this by updating OpenSSL to the latest version to mitigate attacks like Heartble
リポジトリ / 利用規約 ｜SSLサーバ証明書 ジオトラスト
2023年8月15日よりCertCentralのサインインではユーザ名とパスワードのほかにワンタイムパスワード（OTP）もしくはクライアント証明書の二要素認証による提示が必要となりました。 設定等についてはこちらのKnowledgeを参照ください。 ジオトラストについて ジオトラストは、世界的に認められたTLS/SSL証明書のプロバイダーであり、現在は高保証のウェブサイト・セキュリティの業界リーダーであるDigiCert社が提供しています。ジオトラストのエンジニアは、お客様のブランドと顧客の最も重要な個人情報の両方を確実に保護するために、舞台裏で働いています。ジオトラストは、ウェブサイト、サーバ、デジタル環境を確実に保護するために、低価格で柔軟性のあるTLS/SSL証明書を様々な企業や組織に提供しています。また、GeoTrustのお客様は、DigiCertの受賞歴のあるカスタマーサポートを
Classic Load Balancer の SSL 証明書の置き換え - Elastic Load Balancing
HTTPS リスナーがある場合、リスナー作成時に SSL サーバー証明書をロードバランサーにデプロイしました。各証明書には有効期間が記載されています。有効期間が終わる前に、証明書を更新するか、置き換える必要があります。 AWS Certificate Manager が提供し、ロードバランサーにデプロイされた証明書は、自動的に更新できます。ACM は期限切れになる前に証明書を更新しようとします。詳細については、AWS Certificate Manager ユーザーガイド の「管理された更新」を参照してください。証明書を ACM にインポートした場合は、証明書の有効期限をモニタリングし、期限切れ前に更新する必要があります。詳細については、AWS Certificate Manager ユーザーガイド の「証明書のインポート」を参照してください。ロードバランサーにデプロイされた証明書の更新後
クラシックロードバランサー の SSL/TLS 証明書 - Elastic Load Balancing
フロントエンドリスナーに HTTPS (SSL or TLS) を使用する場合、ロードバランサーに TLS/TLS 証明書をデプロイする必要があります。インスタンスにリクエストを送信する前に、ロードバランサーはこの証明書を使用して接続を終了し、クライアントからのリクエストを復号します。 SSL および TLS プロトコルは、X.509 証明書 (SSL/TLS サーバー証明書) を使用して、クライアントとバックエンドアプリケーションの両方を認証します。X.509 証明書は、認証機関 (CA) によって発行された IDENTITY デジタル フォームで、識別情報、有効期間、パブリックキー、シリアルナンバー、発行者のデジタル署名が含まれます。 証明書の作成には、AWS Certificate Manager または SSL や TLS プロトコルをサポートする OpenSSL などのツールを使
RapidSSLをELBに適用するメモ
事前準備として、CSR作成時のserver.keyからパスフレーズを除去 1. $ cp server.key server.key.bk 2. $ openssl rsa -in server.key.bk -out server.key $ cp server.key server.key.bk $ openssl rsa -in server.key.bk -out server.key Enter pass phrase for server.key.bk: と出るので、パスフレーズ入力 ここからELBだ。 AWSコンソールからELB作る ListenersタブからプロトコルにHTTPSを選択し、SSL CertificateのSelectをクリック Certificate Name:* (e.g., myServerCert) Private Key:* (pem encode
Configuring HTTPS servers
To configure an HTTPS server, the ssl parameter must be enabled on listening sockets in the server block, and the locations of the server certificate and private key files should be specified: server { listen 443 ssl; server_name www.example.com; ssl_certificate www.example.com.crt; ssl_certificate_key www.example.com.key; ssl_protocols TLSv1 TLSv1.1 TLSv1.2 TLSv1.3; ssl_ciphers HIGH:!aNULL:!MD5;
RapidSSLをEC2 nginxに適用した際の手順メモ
何か有っても責任取れないから事故判断でね・・ CSRの作成手順 作業場所作成 $ mkdir -p ssl/ssl-{対象common名} _2013 とかで適当に作業ディレクトリ作成。 作ったディレクトリに移動 適当にファイル作成 $ touch {Ymd} とかで。 ※ 後のsha1がディレクトリ内のファイルから擬似乱数ファイルを作成する為。 擬似乱数ファイルを作成 $ openssl sha1 * > sha1.dat 作成した擬似乱数ファイルから秘密鍵ファイルを作成 $ openssl genrsa -des3 -out server.key -rand sha1.dat 2048 Enter pass phrase for server.key: 秘密キーを入力 Verifying - Enter pass phrase for server.key:秘密キーを再入力 CSR
AWS ELBを使う際に注意すべきこと | Basicinc Enjoy Hacking!
AmazonWebServiceのELBは、とても簡単にサーバ分散化できる素晴らしいサービスなんだけど、ちょっとしたことに注意しないと、とんでもない目に遭う。というか、マニュアルとかにちゃんと書かれているから、読めよって話なんだけど。 AZ毎のEC2インスタンスは同じにする！ 初めてELBを運用していた当初、どうもEC2インスタンスによってアクセスに偏りがあるな…と思ってたら、ELBはまず登録されているAZの数でトラフィックを分けて、その中から各EC2に振り分ける挙動だった。つまり、AZ_AにEC2が1個／AZ_BにEC2が10個あると、総トラフィックの約50%をAZ_AのEC2インスタンス1個が引き受けるという地獄に…。 マニュアルにも書かれています…。 着信トラフィックはロードバランサーで有効になっているすべてのアベイラビリティゾーン間で均等に負荷分散されるので、各ゾーンのインスタンス
reverse proxyをHTTP/HTTPS両対応のサイトに導入するときの落とし穴 · DQNEO日記
発生にいたるメカニズム サーバ構成 フロントのリバースクプロキシにNginx、バックエンドのアプリケーションサーバにApacheを使用していました。 (ただ、これは何のソフトウェアを使っているかとかは関係なく、どの組み合わせでも起こりうると思います。） フロントでNginxが80番と443番の両方のポートをListenして、バックエンドでApacheが8080番をListenします。 わりとよくある構成ではないかと思います。 ブラウザ -> (http) -> Nginx(80) -> (http) -> Apache(8080) ブラウザ -> (https) -> Nginx(443) -> (http) -> Apache(8080) Nginxは、クライアントから静的コンテンツを要求された場合は即レスポンスし、動的コンテンツ(.phpなど)を要求された場合は背後のApacheにリク
nginx で SSL リバースプロキシを構築 - WebOS Goodies
最近あまりネタがないのでが、このままだとまた何週間も投稿なしになりそうなので、以前やった nginx による SSL リバースプロキシの構築方法を備忘録的に書いてみます。開発目的で GAE の dev_appserver.py を SSL 化するために使っただけですが、パッケージシステム等を使わずにソースからビルドし、一般ユーザー権限でインストールする方法にしています。ごく基本的な内容ですが、参考にしていただければ幸いです。 nginx とは nginx は Tornado などと同様の非同期イベントドリブンモデルを採用した HTTP サーバーです。 BSD に似たライセンスのオープンソースソフトウェアとして公開されています。プロセス・スレッドモデルを採用した Apache などよりも多数のコネクションを効率よく処理できるため、多くの高負荷サイトで採用されています。現在 Apache, I
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
Use SSL for Amazon RDS / MySQL (and your Rails app)
Using the Nginx Web Server as a Reverse Proxy: Multiple SSL Sites with a Single IP Address | | InformIT