Let's Encryptの証明書切替周りその後 | おそらくはそれさえも平凡な日々
「Android7.1以前でLet's Encrypt証明書のサイトが見られなくなる」の続き。 色々動きがあって猶予もできて助かった形だけど、来年9月29日以降の対応をどうするか考えないといけない状況なのは当然変わっていません。先にまとめると以下。 何もせずとも来年の1月11日までは猶予が伸びた 証明書を発行する側の場合、各クライアントで --preferred-chain "DST Root CA X3" のようにオプション設定することで、来年の9/29まで先延ばしが可能 独自ドメインに対して自動でSSL証明書を発行してくれるサービスを利用している場合はサービスが声明を出していないか調べ、出してない場合は問い合わせると良いでしょう 前回以降の動き go-acme/legoに--preferred-chainオプションのpull requestを取り込んでもらいました デフォルトRoot証
Android7.1以前でLet's Encrypt証明書のサイトが見られなくなる | おそらくはそれさえも平凡な日々
追記: その後の動きについて書きました → Let's Encryptの証明書切替周りその後 このサイトはLet's Encryptで証明書発行しているのでタイトルの件が気になったのだが、どうもあまり話題になっていない。恥ずかしながらSSL周り詳しいわけじゃないので、誤っているかも知れない。識者の意見を求む。 Let's Encryptが使われているサイトがAndroid7.1以前のバージョンで今年の9月29日以降見られなくなる可能性がある 延命策は用意されそうだが、それも来年の9月29日まで Let's Encryptのルート証明書切り替え計画に起因している Let's Encryptのルート証明書の変更 Let's Encryptはルート証明書を自身(ISRG)の認証局のルート証明書(ISRG Root X1)に切り替えようとしている。現在は、IdenTrustのルート証明書(DST
ACME v2 and Wildcard Certificate Support is Live
We’re pleased to announce that ACMEv2 and wildcard certificate support is live! With today’s new features we’re continuing to break down barriers for HTTPS adoption across the Web by making it even easier for every website to get and manage certificates. ACMEv2 is an updated version of our ACME protocol which has gone through the IETF standards process, taking into account feedback from industry e
Ballot 193 – 825-day Certificate Lifetimes - CAB Forum
The voting period for Ballot 193 has ended. The ballot passed. Voting by CAs – 27 votes total including abstentions 24 Yes votes: Entrust Datacard, TurkTrust, Izenpe, Certinomis, DigiCert, Amazon, CNNIC, HARICA, GlobalSign, GDCA, Disig, Trustwave, Let’s Encrypt, Quo Vadis, SHECA, CFCA, OATI, Comodo, Buypass, Logius PKIoverheid, Cisco, Symantec, Certum, SwissSign 0 No votes: 3 Abstain: ANF Autorid
デジサート社証明書再発行対応について（2018年6月更新） | さくらのサポート情報
公開日：2017年8月3日 本ページは以前公開しておりました「シマンテック社SSL証明書に関する再発行対応期限の変更について」の内容を、2018年6月22日現在の最新情報で更新いたしました。 今回の対応の概要 再発行対象となる証明書有効期間 対応方法 証明書有効期間の短縮について Firefoxブラウザの対応について 本件に関するよくある質問 本件に関するお問い合わせ先 今回の対応の概要 以前よりご連絡しておりましたとおり、Google社とデジサート社（旧シマンテック社）の間でデジサート社発行のSSLサーバー証明書をGoogle Chrome ブラウザで失効させる措置を取ることが合意されております。 本ページでは失効措置を回避するための方法、ならびに失効対象のSSLサーバー証明書の判別方法などをご案内いたします。 再発行対象となる証明書有効期間 無効化スケジュール、対象SSLサーバー証明書
AWS：無料でSSL証明書を取得する方法 - Qiita
概要 先日公開した自分のサービスをhttps接続できるようにしたいと思いました。 SSL証明書は、どこが安くて信頼できるか社内の上司で相談したところ、近くにいたインターン生が「AWSなら無料で発行できますよ。」とナイスなアドバイスをくれました。 さっそく調べて、SSL証明書を取得したのですが、ネット上には断片的な情報しかなく思ったよりも詰まったので、これから取得する方のために、わかりやすく画像で解説します。 前提 今回は、無料でSSL証明書が利用できるAWS Certificate Manager（ACM）を使います。 アジアパシフィック (東京)は、ELB（ロードバランサー）のみにACMを使用することができます。 なので、ELBを利用していないと、無料のSSL証明書を使うことができません。 ちなみに、ELBは有料で、デフォルトで月2000円くらい掛かります。 もし使用される方は以下に設定
【重要】シマンテック社SSLサーバー証明書に関する再発行対応について | さくらインターネット
お客さま各位 さくらインターネット株式会社 平素よりさくらインターネットに格別のご愛顧を賜り、誠にありがとうございます。 「さくらのSSL」で提供中のシマンテック社およびジオトラスト社の発行する SSLサーバー証明書が、Google Chromeのブラウザにて段階的に無効化されることが確定い たしました。これにより、今後リリースされるGoogle Chromeブラウザにおいて、警告や エラーが表示される可能性がございます。 対象のお客さまには、メールにて証明書の再発行方法をご案内いたします。なお、ご案 内につきましては、2017年12月1日以降を予定しております。 詳細は下記をご参照ください。 さくらインターネットでは、今後もよりよいサービスの提供が行えますよう、精一杯努 めてまいります。引き続き変わらぬご愛顧を賜りますようお願い申し上げます。 ＜記＞ ■シマンテック社SSLサーバー証明書
シマンテックのCA事業売却に伴ってChromeでのシマンテック証明書の無効化スケジュールをGoogleが発表
Symantec(シマンテック)傘下の認証局(CA)が発行する証明書に信頼性の低いものが含まれているとして、GoogleはブラウザChromeでシマンテックの認証局が発行する証明書を段階的に失効させる計画を明らかにしています。そのシマンテックがCA事業を売却することになったのに伴って、Googleがあらためてシマンテック証明書の取り扱いをSecurity Blogでまとめています。 Google Online Security Blog: Chrome’s Plan to Distrust Symantec Certificates https://security.googleblog.com/2017/09/chromes-plan-to-distrust-symantec.html GoogleやMozillaなどのブラウザ開発企業は、「シマンテックのPKI事業では業界標準であるCA
これからドンドン使われていくSNIについて
SNIとは元々SSL通信は1つのIPアドレスに対して、1つの証明書が前提になっていました。というのもSSLでは暗号化されているため、1つのIPアドレスに対して複数の証明書を持っていた場合、リクエストが来たときにどの証明書を使えばいいか判断できないからです。 しかしこれだとどう考えてもつらいことが分かります。昨今の流れとして常時SSL通信が当たり前の世界になりつつあります。すべてのドメインに対して全てのIPアドレスを用意するのは特にIPv4では現実的ではありません。 そもそもHTTPではVirtual Hostを使って、1つのIPアドレスで複数のドメインのサイトを扱うことがとても一般的です。 そこで有用なのがSNIです。SNIは最初の通信時に今から通信したいサーバーネームをサーバーに平文で渡すことで、通信したいSSL証明書を指定できます。 SNIを使うことでHTTPのVirtual Host
Chromeがシマンテックの古い証明書を信頼しなくなる今後のスケジュール(2017/09/13更新) - ASnoKaze blog
2017/09/13 更新 Googleのブログで公式アナウンスが出ました。 一部対応者の表記がDigiCertになりましたが、大きなスケジュール変更はありません security.googleblog.com 今年の上旬より、Chromeが古いシマンテックの証明書を失効扱いするニュースが世間を賑わせたのは記憶にあたらしいかと思います。 internet.watch.impress.co.jp 議論は続いており、Blinkの開発者メーリングリストの「Intent to Deprecate and Remove: Trust in existing Symantec-issued Certificates」にてシマンテックとGoogle(+ Mozilla)が協議を重ねていることがわかります。 本日、「Google ChromeとChromiumプロジェクトを代表して」という形で最終になるで
Wildcard Certificates Coming January 2018 - Let's Encrypt
Update, March 13, 2018 Wildcard certificate support is live. Let’s Encrypt will begin issuing wildcard certificates in January of 2018. Wildcard certificates are a commonly requested feature and we understand that there are some use cases where they make HTTPS deployment easier. Our hope is that offering wildcards will help to accelerate the Web’s progress towards 100% HTTPS. Let’s Encrypt is curr
Symantecが再びGoogleの信頼を失った件についてのメモ - Technically, technophobic.
（初めに言い訳しておくと、証明書界隈については詳しくないです。某誤訳量産サイトが適当な記事を書いていたので、なにか書かねばと思って書いているという程度のまとめ記事です。間違いなどあればご指摘ください） 何が起こるのか Ryan Sleeviさん（Googleの人）がBlink-devのメーリングリストに投稿したこれにまとまっています：https://groups.google.com/a/chromium.org/d/msg/blink-dev/eUAKwjihhBs/rpxMXjZHCQAJ 経緯についてはいったん飛ばして、どのようなアクションが提案されているのか見ます。 To restore confidence and security of our users, we propose the following steps: A reduction in the accepted
【悲報】Google、シマンテック発行のSSL証明書を問答無用でブロックへ : IT速報
Googleは、シマンテック発行のSSL証明証に対し、厳しい処罰を検討しているという。 シマンテックまたはその証明書の再販業者がSSL証明書を不適切に発行したという重大な事件について、Googleは厳しい処罰を検討しています。 提案された計画は、会社にすべての顧客の証明書を置き換え、それを持っているユーザーの拡張された検証（EV）ステータスの認識を停止することです。 シマンテックは、2015年のNetcraft調査によると、ウェブ上で使用される3つのSSL証明書のそれぞれについて約1つを担当し、世界最大の商用証明書の発行者となっています。数年にわたり買収した結果、VeriSign、GeoTrust、Thawte、RapidSSLなどの以前のスタンドアロン認証局のルート証明書を管理しています。 SSL / TLS証明書は、ブラウザとHTTPS対応のWebサイトとの間の接続を暗号化し、ユーザー
DNS Certification Authority Authorization (CAA)
Copyright © 2011 Blue Lock by Kilayla Pilon, on Flickr 前回に引き続き、SSLに関連する新しい技術についてご紹介したいと思います。 今回ご紹介するのは 「DNS Certification Authority Authorization (CAA)」です。 DANEとCAAの違い CAAの基本的な考え方は、DNSレコードの中にそのドメインに対して証明書を発行できる認証局の情報を記述し、意図しない認証局からの証明書の誤発行を防ごうというものです。この考え方は前回ご紹介したDANEに非常によく似ています。 では、DANEとCAAの間にはどのような違いがあるのでしょうか。 CAAは今年(2013年)の1月にRFC6844としてRFC化されていますが、この中にDANEとCAAの違いを説明する記述がありますので、ちょっと長くなりますが引用しましょ
AWSのロードバランサー(ELB)にサーバー証明書(SSL)を適用する – 機械忍者 @cyborg__ninja
2016年1月18日。 ロードバランサー(ELB)にSSL(サーバー証明書)をつけようとしたらエラーが出たので色々調べて対応した件のまとめ。 問題： AWS管理画面からロードバランサー(SSL付)を作成しようとしたらエラー。 管理画面から簡単にできるような気配を見せておきながら。。。 やることリスト(順番)： AWS管理画面からIAMを作成する awscliをインストールする セキュリティシールを発行する コマンドラインからセキュリティシールをIAMにアップロードする ロードバランサー(ELB)を作る セキュリティシールの準備と、IAMの設定が必要と解釈してください。 3は1,2より先にやってもらってもOKです。 1. AWS管理画面からIAMを作成する 参考：【AWS】IAM Roleを使用してインスタンスに操作権限を設定する – TASK NOTES 画面のスクリーンショットが、もう大
既存の ELB に SSL 証明書を追加しようとすると Server Certificate not found for the key というエラーになる件の解決方法 - Qiita
既存の ELB に SSL 証明書を追加しようとすると Server Certificate not found for the key というエラーになる件の解決方法AWSSSLelb 概要 AWS の管理画面から既存の ELB に対して, 新規の SSL 証明書を適用しようとすると画像のようなエラーになりました. ELB は HTTP 通信のみ許可した状態です. どこにハマったかというと, AWS の管理画面から新規の SSL 証明書を追加して, それを既存の ELB に適用できるようになっているのに, そこでエラーになってしまうというところです. 今回参考にしたのはこちらです. AWSのロードバランサー(ELB)にサーバー証明書(SSL)を適用する 結局 AWS の管理画面から新規の SSL 証明書を追加してそれを ELB に適用できるようになってはいるものの, コマンドラインからで
Let’s Encrypt あらため certbot でSSL証明書インストール
この記事は古いです。現在ではほとんどのLinux Distributions がcertbotのパッケージをサポートしているはずですので、そちらを使ってください。 カスタムで設定を入れる必要があるとすると、証明書が更新した後に該当するサービス(dovecot, postfix など)をどうやってリロードするかだと思います。 これは、/etc/letsencrypt/renewal-hooks/post に 100-dovecot のようなファイルを作って、 /bin/systemctl restart dovecot.service のような形で設定すればOKだと思います。 Let’s Encrypt がついにβフェーズを終わって正式リリースされました。そして、EFF提供のcertbotになりました。 インストールと設定も、βのころに比べると格段に楽になりました。 まず、https://
Let’s EncryptとNginx : セキュアなWebデプロイメントの現状 | POSTD
最近まで、SSL暗号化通信は「あると好ましい機能」という程度にしか考えられていませんでした。そのため、安全なのはアプリのログインページだけというサービスが数多く存在していました。 しかし、状況は良い方向へと変化しています。現在では暗号化は必須と考えられ、ほとんどの開発者が導入を義務付けています。また、巨大検索エンジンGoogleでは、SSLの導入が検索結果の順位を決定する要因にさえなっています。 しかし、SSLが広範に普及しているにも関わらず、セキュアなWebサービスを構築することは、未だに面倒で、時間がかかり、エラーの原因になりやすいと考えられています。 最近この分野では、 Let’s Encrypt が、SSL証明書をより広く普及させ、Webサイトのセキュリティ維持に係るワークフローを大幅に簡略化しようと取り組んでいます。 強力なWebサーバNginxや、他のハードニング方法と組み合わ
Let's encryptをHerokuにあるRailsアプリに適用する - Qiita
追記(2016/9/23) Let's encryptのやり方がだいぶ更新されてhomebrewでインストール可能になった 新しい方法を別記事で書いたので参考にしてください はじめに 無料でSSL証明書を反抗できるLet's encryptを用いて、ステージング環境に対してSSL証明書を使えるようにした。 （以前はオレオレ証明書を使っていた) ここでは以下のことを実施する Railsで組み込めるようにプログラムを変更する Let's encryptのコマンドを叩いて証明書を発行する 出来ないこと SSL証明書の自動更新 普通のLinuxサーバの場合は自サーバでCrondでSSL証明書を更新しているが、Herokuの場合は今のところこれが出来ない。もしやり方がある場合は是非情報を提供していただきたい Railsプロジェクトに組み込む方法 Let's encryptでは証明書を取得するために、
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
Let's EncryptでHerokuアプリを独自ドメインSSL化