我々はどのようにして安全なHTTPS通信を提供すれば良いか - Qiita
HTTPS通信は複数のプロトコル、手法が組み合わされて実現されている。そのため、暗号化手法それぞれのリスク、ブラウザの対応等様々な用件があり、全てを理解するにはちょっと時間とリソースが足りない。結局のところ、我々はどのようにして安全なHTTPS通信を提供できるのか。色々調べていたところ、MozillaがMozilla Web siteに使用する、HTTPSの推奨設定を公開している。 Security/Server Side TLS - MozillaWiki このドキュメントはMozillaのサーバ運用チームが、Mozillaのサイトをより安全にするために公開しているもので、他のサイトにそのまま適用できるかは十分に注意する必要がある。例えばガラケー向けサイトとか。そのまま使えないとしても、HTTPS通信の設定をどうすれば良いか、理解の一助になるはずだ。 この記事は上記MozillaWiki
WiresharkでSSL通信の中身を覗いてみる - ろば電子が詰まつてゐる
OpenSSLの脆弱性「Heartbleed」が世間を賑わせていますが、色々と乗り遅れてしまった感があるので、ゆるゆると落ち穂拾いをしようかと思います。 Heartbleedで秘密鍵を手に入れたらSSL通信の中身全部見えちゃうじゃん!! という事態になっていますが、なんとなく理論的にそうだろうなと分かるもののイマイチ具体的な手順が分からない。 というわけで今回のテーマとして、手元にサーバの秘密鍵と、SSL通信をパケットキャプチャしたpcapファイルがあるときに、Wiresharkでどんな感じでSSL通信を「ほどく」のか……という具体的な手順を、ハマり所を含めてまとめておこうかと思います。 というか、私自身がハマったので自分用メモですな。なおこの文書では"SSL"とだけ記述し、TLSは無視しています。 前提条件 とりあえず以下のような感じの検証環境で試しました。 IPアドレス 説明 ホストO
AWS Solutions Architect ブログ
AWSのソリューションアーキテクトの荒木(twitter: @ar1)です。 Amazon EC2のElastic Load Balancing(ロードバランサ、以下、ELB)のSSLターミネート機能は非常にパワフルで、利用されているユーザも多いかと思います。今日は、その機能を安全に使い続けるためのELBのSSL証明書更新の方法をまとめておきます。 忙しい方向け ELBのSSL証明書更新について覚えておくことは次の３つです。 SSL証明書の更新はマネージメントコンソール、CLIかAPIで可能です。 基本セッション切れはありません。 古くなった証明書はAPIで削除します。 ELBを長年使っていると、SSL証明書の更新のタイミングを迎えることとなります。また、不幸にも更新をせざるを得ない事は起こりえます。そこで、ELBのSSLターミネート機能を使いはじめる前に知っておくことはだれにとっても有益
Camo - GitHubでも使われている画像プロキシ
MOONGIFTはオープンソース・ソフトウェアを紹介するブログです。2021年07月16日で更新停止しました 最近のWebサービスではSSLを常用するようになっています。しかしそんな中、意外と厄介なのが画像などの外部リソースです。HTTPSに入っていない外部リソースを参照しようとすると全てがSSLでないといった注意が出てしまいます。 そこで使ってみたいのがCamoです。GitHubでも使われている小さな画像プロキシになります。 Camoのデモ これはCamoがSSLになっており、プロキシとしてFlickrの画像を取得している形になります。Camoは5MBまでの画像を取得可能で、Googleチャートをサポート、リダイレクトした画像も取得できます。 URLのフォーマットは次のようになります。 http://example.org/<digest>?url=<image -url> http:/
SSL証明書検証エラーの警告を無視しないほうがいいたった1つの理由
こんにちは。CTOの馬場です。 昨日のエントリ RHEL5/CentOS5でGlobalSignのルート証明書が有効期限切れで大騒ぎ で暫定回避策として「接続先のSSL証明書を検証しないようにする」と書いたのですが、そのリスクについてもっと伝えたほうがよさそうなので追加のエントリです。 ( @nekoruri さんご指摘ありがとうございます！) いきなり結論から書きますが、 SSL証明書の警告無視はSSLの目的の1つである「通信相手の認証」を無効にするのでヤバい のです。 つまり証明書検証エラーを無視すると、通信は暗号化しているけど通信相手は誰かわからない、というトンチンカンな状況になります。 なので、トンチンカンな状況が許せる時だけにしましょう。 実はHTTPでいいんだけどなんとなく通信は暗号化しておきたいときとか、リスク覚悟で通信したいときとか... なお、技術的な説明は以下のページが
WebAPIやOpenIDでSSLエラーが起きる現象につきまして
ヤフー株式会社は、2023年10月1日にLINEヤフー株式会社になりました。LINEヤフー株式会社の新しいブログはこちらです。LINEヤフー Tech Blog こちらのFAQも合わせてご参照ください。 旧ルート証明書の有効期限切れに伴う影響範囲について │SSL・電子証明書ならグローバルサイン 2014年1月28日(火) 21:00～より、弊社で提供しているhttpsのWebAPIにリクエストすると、SSL通信の障害が発生するという事象が報告されています。 弊社では下記のSSLサーバ証明書を利用しております。 GMOグローバルサイン 企業認証SSL 原因として、WebAPIを利用するクライアント側の環境で、下記のルート証明書の有効期限が終了していることが考えられます。 GlobalSign Root CA Serial Number = 02:00:00:00:00:00:D6:78:B
RHEL5/CentOS5でGlobalSignのルート証明書が有効期限切れで大騒ぎ
こんにちは。CTOの馬場です。 昨晩1/28 21:00JSTにRHEL5/CentOS5にインストールされているルート証明書のうち、GlobalSignの有効期限が切れました。 伴ってREHL5/CentOS5からのHTTPS(SSL)接続にてGlobalSignの証明書を使っているサイトへの接続がエラーになるようになりました。 私の確認している範囲では、 curlコマンドやPHPのcurlライブラリなどでの接続時に接続エラーとなることに起因して以下のような影響が出ています。 ※接続される側ではなくて、接続する側での問題です※ oauthなどの外部認証が不可 決済などの外部連携が不可 対策 RHEL5の場合、errataが公開されているのでupdateしましょう。 Red Hat Customer Portal https://rhn.redhat.com/errata/RHEA-201
SSL/TLSライブラリの正しい使い方（もしくは、コモンネームの検証について）
スマホアプリの市場拡大に伴い、直接SSL/TLSライブラリを使用するプログラムを書く機会も増えてきている今日この頃かと思います。 SSL/TLSライブラリを使う際には、接続確立時にサーバの認証を正しく行う必要があります。具体的には、クライアントプログラムで以下の２種類の検証を行うことになります。 SSL/TLSライブラリがサーバの証明書の検証に成功したこと サーバの証明書に含まれるコモンネーム注1が接続しようとしたサーバと同一であること 前者については、OpenSSLの場合はSSL_CTX_set_verifyの引数にSSL_VERIFY_PEERを指定するなどして、ライブラリ側で処理を行わせることが可能です（証明書の検証に失敗した場合はSSL_connectがエラーを返します）。 一方、後者についてはSSL/TLSライブラリによって差があり、検証機能を有効にするために特別な呼出が必要だっ
HAProxyでSSL処理をできるようにする - 元RX-7乗りの適当な日々
ロードバランサとかリバースプロキシを使って色々やっていると、HTTPS/SSL対応かー、どうしようかなーみたいなことを考える日がそのうちやってきたりするかもしれません。 さて、最近触り始めたHAProxyなんですが、公式サイトの記載を見ていると、開発版のバージョンだとSSL処理をサポートしているみたいなんですよねー。 Update [2012/09/11] : native SSL support was implemented in 1.5-dev12. The points above about CPU usage are still valid though. HAProxy - The Reliable, High Performance TCP/HTTP Load Balancer ふむふむ、"1.5-dev12"以降のバージョンであれば使えそう。 ということで、前回のエントリ
無料のSSL証明書StartSSLを活用する - Qiita
背景 自前のサービスでhttps通信をサポートするには、SSL証明書が必要になります。 自分で使用するだけなら、SSL証明書も自前で作成するいわゆるオレオレ証明書を用いても良いのですが、外部に公開するサービスの場合そうとも行きません。 SSL証明書というと値段が高い印象がありましたが、StartSSLというサービスで無料でSSL証明書の発行を受けられると言うことで試してみました。 StartSSLにユーザー登録する 証明書の発行を行う前に、StartSSLにユーザー登録する必要があります。 StartSSLから、"StartSSL Free (Class1)"を選択します。 Certificate Control Panelを選択。 Sign-upに進みます。 名前、住所、メールアドレスなど 個人情報の登録を行います。 登録したメールアドレスに本人確認のメールが届くので、受信したメールのa
SSL証明書のインストールチェックはどのサイトを利用すべきか - このブログはURLが変更になりました
先日ツチノコブログでクロスルート証明書の確認にIE6を使ってる話が紹介されてた。 確かに実機で確認するのは大事なのだが、SSL証明書が正しくインストールされているかチェックしてくれるサービスがいくつかある。 それで確認すればいいんじゃね？と思って調べてみたが、実はクロスルート証明書まで調べてくれるサービスは少ない。また各社チェックしてくれる内容が結構違う。 そこでオススメのSSL証明書チェックサイトを3つ厳選してみた。 Qualys SSL Labs SSL Server Test クロスルートを含む複数のチェインを表示してくれるのは試した限りここだけだった。 また、クロスルート以外にも脆弱なプロトコルや暗号アルゴリズムを使用していないか、BEAST、CRIME、Lucky13、BREACHなどの攻撃に対して対策されているかなども調べてくれる。 グレード表記や項目別スコア表示もあり。最低限
GoogleアカウントにログインしていないユーザーにもSSL検索が強制適用、(not provided)が100%になる日は近い!?
[対象: 全員] Googleは、Googleアカウントのログイン状態にかかわらず、すべてのGoogle検索をHTTPSでの接続つまりSSL検索を利用するように仕様を変更しました。 すでに実施済みです。 僕たちにとってこれが何を意味するかというと、Google検索からのトラフィックの検索キーワードを取得することが不可能になります。 Googleアナリティクスでいうと、「(not provided)」だけになってしまいます。 HTTPSへ強制的にリダイレクト Googleアカウントからログオフした状態で、http://www.google.co.jp/ のように http:// で始まるURLでGoogle検索にアクセスしても、 https:// で始まるURLに強制的にリダイレクトされます。 FirefoxやChromeでは、ブラウザが内蔵しているGoogle検索ツールやアドレスバーからG
Ssl証明書を設定したらapacheが起動しない？
This document discusses Veriloggen, a Python framework for generating Verilog HDL code from Python. It allows designing hardware at the register-transfer level using Python by mapping Python constructs to Verilog modules, always blocks, wires, and other Verilog constructs. Veriloggen includes modules for RTL generation (Core), connecting Python threads to finite state machines (Thread), and defini
CloudFrontの独自ドメインSSL証明書対応を試してみた | DevelopersIO
よく訓練されたアップル信者、都元です。先日AWSにおける静的コンテンツ配信パターンカタログ（アンチパターン含む）というエントリを書いたのですが、「独自ドメインSSLだとCloudFront使えないから横綱無理だよねー」というコメントを数カ所から頂き、密かに悔し涙で枕を濡らしておりました。 が、もう2週間ほど前の話になりますが *1Amazon CloudFrontが独自SSL証明書をサポートしたことが発表されました。 独自ドメインSSLでも横綱パターンが使えるようになったわけです。 というわけで、試してみました。 準備 仕様決め まずは今回のサンプル仕様を整理しておきます。 オリジンバケット名はxxxxxxxxtest 使う独自ドメインはawscftest.classmethxxxxxxxx コンテンツは/logo.png S3バケットの作成とコンテンツのアップロード まずは、S3バケット
なぜあなたがウェブサイトをHTTPS化するとサイトが遅くなってユーザーが逃げていくのか - 射撃しつつ前転 改
完全に釣りタイトルですけど中身は真面目に書くよ。 近年、ウェブサイトのHTTPS化が流行のようになっている。私の知る限り、Googleの各種サービスやTwitter、Facebookなどが完全にHTTPSで通信を行うようになっている。HTTPS、つまりSSLによる通信の暗号化によって、ユーザにこれまでよりも安全なウェブサイトを提供できる。 しかし、あなたが作っているサイトをふと思いつきでHTTPS化してしまうと、たぶん、これまでよりもサイトが遅くなる。ここでは、HTTPSで通信する場合の問題を解説する。 なぜ遅くなるのか HTTPで通信する場合、クライアントがサーバへと接続するためにはTCP/IPの3ウェイハンドシェイクという手順が必要になる。めんどくさいのでここでは詳しくは説明しないが、要するにクライアントがリクエストを投げる前にパケットを１往復させないといけないのである。パケットの往復
security:sslは暗号化のためのものではありません [TenForward]
<fs 150%><color red>@kfujieda さんによるもっと良い翻訳が登場しました．勉強になります．このページのものよりそちらをご参照ください．</color>→ SSL is not about encryption</fs> <color red>言い訳になりますが，もちろん藤枝さんのおっしゃるような「SSLの主目的は暗号化ではない」というのは理解しています．そこをあえて今回のようなタイトルに訳したのは私なりの考えがあってのことです．ただ，「翻訳」というものが期待されるものからすると不適当だったかも知れません．</color> <color red>自分が通信をしたい相手であることがきちんと確認が取れた相手と暗号化通信を行わないと意味がないと思いますが，「暗号化されてるからいいでしょ」というような事を今まで何度か聞いた事があり，それは違うだろうと思った事があります．この
個人利用なら SSL 証明書が無料で利用できるらしい: ある SE のつぶやき
「体系的に学ぶ 安全なWebアプリケーションの作り方」を読んでいたら、とっても気になる記述が。 サーバー証明書のうちドメイン認証証明書は比較的価格が安く、購入のハードルが低いものですが、ドメイン認証証明書には無料のものがあります。イスラエルのStartComという企業は、無料のサーバー証明書を発行しています。IE、Firefox、Google Chrome、Safari、Operaの最新版で証明書エラーなく使用できます。IE6でもアップデートが当たっていれば使用できます。 日本の携帯電話には対応していないようです。しかし、今までラピッド SSL が年間2,100円で最強だと思っていたけど無料のものがあるとは。気になったので、ちょっと調べてみました。 以下の画面が StartCom のサイトです。画面の赤枠のリンクをクリックすると次の画面が表示されます。 そうすると、SSL 証明書の製品紹介
(ひ)メモ - Net::SSL::ExpireDate ＋ Test::Base で証明書の期限切れをチェック
拙作のNet::SSL::ExpireDateとTest::Baseとで証明書の期限切れをチェック。 こんな感じの出力。 $ prove -v sample/cert-expire.t sample/cert-expire....1..2 ok 1 - rt.cpan.org ok 2 - www.google.com ok All tests successful. Files=1, Tests=2, 5 wallclock secs ( 0.33 cusr + 0.03 csys = 0.36 CPU)で、期限切れのがいるとこんな感じに。 $ prove -v sample/cert-expire.t sample/cert-expire....1..2 # Failed test 'rt.cpan.org' # in sample/cert-expire.t at line 27.
Striking Back... - Pastebin.com
I told all that I can do it again, I told all in interviews that I still have accesses in Comodo resellers, I told all I have access to most of CAs, you see that words now? You know, I have access to 4 more so HIGH profile CAs, which I can issue certs from them too which I will, I won't name them, I also had access to StartCom CA, I hacked their server too with so sophisticated methods, he was luc
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
SSL Labs - Projects / Public SSL Server Database - SSL Server Test
