安全な証明書自動更新のやり方 - Cybozu Inside Out | サイボウズエンジニアのブログ
cybozu.com Cloud Platformチームのhsnとtomoです。今回はサイボウズで証明書更新の自動化を安全に行うための工夫をご紹介します。 背景 サイボウズではcybozu.comのサービスを提供するために数多くの証明書を取得し、管理しています。 今まではそれらをすべて手動で取得し、入れ替えを行っていました。 しかし、元来の運用ではいくつかの問題が浮上してきました。 手動更新の際は認証局によって更新手順が異なります。 具体的にはドメインの所有確認(DCV: Domain Control Validation)と証明書のダウンロード手順を、それぞれの認証局が独自に提供しています。 そのため、ドメインの更新手順書は複雑に長くなってしまいます。結果として更新の準備に時間がかかり、実施の際にミスも発生しやすくなっていました。 サイボウズでは証明書の有効期限が切れる1か月前に管理用の
「SSL/TLS暗号設定ガイドライン 第2.0版」を読んで - ぼちぼち日記
1. はじめに 昨日「SSL/TLS暗号設定ガイドライン 第2.0版」が公開されました。 前回から約3年経って今回はCRYPTREC暗号技術活用委員会で検討作業が行われたようです。 普段、TLS/HTTPSの記事を書いたり発表したりしている立場上、これを見逃すわけにはいけません。 本文冒頭では、 「本ガイドラインは、2018 年 3 月時点における、SSL/TLS 通信での安全性と可用性（相互接続性）のバランスを踏まえた SSL/TLS サーバの設定方法を示すものである。」 ということなので、できたてほっかほっかの最新ガイドラインを読ませていただきました。 読み進めてみるとChangelogが細かく書いてなく、以前のバージョンとどこがどう変わったのかよくわかりません。TLS1.3とかは絶対に新しく入った内容なんですが、細かいところはどうだろう… それでも全部(SSL-VPNを除く)をざっと
Chrome が Symantec の証明書に対する信頼を破棄する予定について
.app 1 .dev 1 #11WeeksOfAndroid 13 #11WeeksOfAndroid Android TV 1 #Android11 3 #DevFest16 1 #DevFest17 1 #DevFest18 1 #DevFest19 1 #DevFest20 1 #DevFest21 1 #DevFest22 1 #DevFest23 1 #hack4jp 3 11 weeks of Android 2 A MESSAGE FROM OUR CEO 1 A/B Testing 1 A4A 4 Accelerator 6 Accessibility 1 accuracy 1 Actions on Google 16 Activation Atlas 1 address validation API 1 Addy Osmani 1 ADK 2 AdMob 32 Ads
弊社ホームページにおけるセキュリティ強化に関する重要なお知らせ｜スターバックス コーヒー ジャパン
お客様各位 スターバックス コーヒー ジャパン 株式会社 弊社ホームページにおけるセキュリティ強化に関する重要なお知らせ 平素より弊社をご愛顧賜り、厚く御礼申し上げます。 このたび、弊社では、お客様の情報保護を第一に考え、通信の安全性を確保するために、弊社ホームページにおける「TLS1.0/1.1」を無効化することといたしました。 これにより、一部の端末やブラウザ（インターネット閲覧ソフト）からは、サイトの閲覧およびサービスの利用ができなくなりますのでご確認ください。 ■影響がある主なご利用環境 ・スマートフォン iOS4以前、およびAndroid 4.4以前の端末における標準ブラウザ環境 ・パソコン Internet Explorer 10.0 以前のブラウザ環境 ■対象ページ 弊社公式ホームページ内の、「https」で始まるアドレスのWebページ（My Starbucksマイページ、ス
SSL証明書の署名アルゴリズムとは？
「SHA-1証明書受付終了とSHA-2証明書移行のお知らせ」 署名アルゴリズムSHA-1のSSLサーバ証明書の受付を2015年12月下旬に終了する。 2016年12月31日までにSHA-2証明書へ移行せよ。 2017年1月1日以降、WindowsはSHA-1証明書のSSL通信を拒否する。 SSL証明書の発行会社から上のようなお知らせが来たが、署名アルゴリズムってなんだっけ？ということでまとめてみた。 SSLサーバ証明書発行の流れ サーバで秘密鍵とCSR(公開鍵とサーバの所有者情報を含む)を作成する。 (2014年現在ではRSA2048bitの鍵を使用するのが一般的) CAはCSRからハッシュ関数を用いてメッセージダイジェストを生成する。 (2014年9月現在ではハッシュ関数はSHA-1が一般的) メッセージダイジェストをCA秘密鍵を用いて暗号化して、CA署名を生成する。 (この暗号化方式は
RSA鍵、証明書のファイルフォーマットについて - Qiita
RSAの公開鍵暗号技術を利用するためには、鍵や証明書のファイルを扱う必要があるため、そのファイルフォーマットについて理解しておく必要があります。 実際、いろんな拡張子が登場するので、それぞれの意味を理解していないとすぐにわけがわからなくなります。そんなときのために備忘録をまとめてみました。 ファイルの拡張子の注意点 .DERと .PEMという拡張子は鍵の中身じゃなくて、エンコーディングを表している デジタル暗号化鍵やデジタル証明書はバイナリデータなのですが、MD5のハッシュ値のような単なる 値 ではなく、データ構造をもっています。.DERや .PEMはそのデータ構造をどういうフォーマットでエンコードしているかを表しています。そのため、.DERや.PEMという拡張子からそのファイルが何を表しているのかはわかりません。暗号化鍵の場合もあるし、証明書の場合もあります。 .DER 鍵や証明書をAS
Web開発者が恐らく知らない、SSLについて知っておくべきこと | POSTD
2015年、Web開発者は以前よりもSSLに関する理解を深めています。そうしたWeb開発者たちがHacker Newsを読むなら知っておくべきことを以下に挙げてみます。 ドメイン認証（DV）証明書は Let’s Encrypt から無料で取得することが可能。 拡張認証（EV）証明書 は CertSimple かいくつかのチェックののちの支払いで取得することが可能。これが我々のやり方。 Mozilla SSL Config Generator を使用すれば、サポートしたいブラウザに対して、サーバを可能な限り安全に設定することが可能。 完了後に SSL Labs を使って全てをチェックし、A評価獲得を確認しましょう。そうでなければ人に小言を言われます。 その他はどうでしょうか。我々の顧客から寄せられる最も多い質問について、回答を紹介していきましょう。 1. Chromeで”古い暗号スイート”を
DebuggingSSLProblems - HTTPD - Apache Software Foundation
Here are some tips on what to do if the SSL connection to your server just isn't working as it should. This article reflects the limited knowledge of it's author(s). If you discover anything incorrect when reading this article, you are asked to please either correct the text, or to leave a note in the text stating the problem. Helpful documents The SSL topic is a non trivial one. Do try to read an
Configuring client certificate authentication in apache
I am trying to set up part of a Virtualhost in apache to require client authentication. The VirtualHost in question also acts as a reverse proxy for the actual web server. Here's what I have done: Created ca.crt, ca.csr, and ca.key on the server I am using as the CA. Modified the config of the VirtualHost to look like this: ... ProxyPass / http://xxx.xxx.xxx.xxx:80/ ProxyPassReverse / http://xxx.x
SSLサーバ証明書インストール Apache + mod_ssl + OpenSSL[新規・更新]
SSLサーバ証明書をApache + mod_ssl + OpenSSL環境にインストールする手順を説明します。 新規取得時・更新取得時ともに同じ手順です。 ■ステップ１ サーバ証明書と中間CA証明書のインストール サーバ証明書 受信した「発行完了メール」にある 「サーバ証明書」のすぐ下の （—–BEGIN CERTIFICATE—–） から （—–END CERTIFICATE—–） までをコピーし、 テキストエディタに貼り付け、サーバ証明書ファイルとして任意のファイル名で保存します。 例： 2015yourdomain.crt [サーバ証明書] 中間CA証明書 受信した「発行完了メール」にある 「中間CA証明書」のすぐ下の （—–BEGIN CERTIFICATE—–） から （—–END CERTIFICATE—–） までをコピーし、 テキストエディタに貼り付け、中間CA証明書ファイ
5分でわかる正しい Web サイト常時 SSL 化のための基礎知識
Web サイトを常時 SSL 化する場合に、最低限知っておかなければならない知識や、注意点、実際の設定方法まで、ひと通りまとめてみました。メリットやデメリット、証明書の種別からリダイレクト設定などについても解説しています。 HTTPS をランキングシグナルに使用しますと Google が公式に発表したあたりから、Web サイトの SSL 対応、特に Google が推奨している Web サイトをすべて HTTPS で配信する、所謂 「常時 SSL 化」 についての話を聞いたり、実際にお客様から相談されたりするケースが増えてきました。 そこで、いい機会だしその辺に関する情報をまとめておこうかな～ と思って書いてみた、恒例の （？） 5分でわかるシリーズ。書き終わって見たところ絶対に 5分じゃ無理っていう文章量になっててどうしようかなぁとも思ったんですが、気にせず公開してみます。 常時 SSL
OpenSSLの脆弱性(CVE-2015-1793)によるAltチェーン証明書偽造の仕組み - ぼちぼち日記
TL;DR やっぱり書いていたら長文になってしまいました。あまりちゃんと推敲する気力がないので、変な文章になっているかもしれません。ご了承いただける方のみお読みください。 1. はじめに 昨晩未明にOpenSSL-1.0.2d, 1.0.1pがリリースされました。事前に予告されていた通り深刻度高の脆弱性CVE-2015-1793が修正されています。Advisoryを見ると、この脆弱性がiojs/Nodeに影響があるということが判明したので直ちにiojs/Nodeのアップデートを行い、今朝未明に無事脆弱性対応版をリリースしました。 今回が初めてではありませんが、深夜に日欧米のエンジニアがgithub上で互いに連携しながら速やかにセキュリティ対策のリリース作業を行うことは何回やってもなかなかしびれる経験です。時差もありなかなか体力的には辛いものがありますが、世界の超一流のエンジニアと共同でリア
オレオレ証明書をopensslで作る（詳細版） - ろば電子が詰まつてゐる
前回のopensslでRSA暗号と遊ぶでRSA暗号や秘密鍵について中身を色々といじってみた。続いて今回は、Apacheで使うオレオレ証明書を作ってみる。 細かいことはいいから、オレオレ証明書を作るコマンドだけ知りたい お急ぎの方は、以下3つだけやれば良い。これで10年間(3650日)有効なオレオレ証明書ができあがる。 $ openssl genrsa 2048 > server.key $ openssl req -new -key server.key > server.csr $ openssl x509 -days 3650 -req -signkey server.key < server.csr > server.crtできあがったserver.crtとserver.keyを、例えば/etc/httpd/conf/ 配下のssl.crt/ と ssl.key/ ディレクトリに設置
Heartbleed脆弱性検査
Heartbleed脆弱性(CVE-2014-0160)を容易に検査できるサービスを無償で提供致します。 以下フォームに、検査対象アドレスを入力し、検査することができます。 入力例：ssl.netagent.co.jp この脆弱性はどのようなもので、どのような影響があるのですか？ 暗号化通信をしているプログラム内のメモリが読めてしまう脆弱性です。 暗号化通信で重要な「秘密鍵」が盗み出されてしまう可能性があり、過去に暗号化して通信した内容が解読できてしまいます。 また、この脆弱性で、その時利用していたユーザーの暗号化通信の内容が、暗号化されていない状態で見られてしまいます。 実際に公開されている事例としては、 米国の大手ポータルサイトのメールサービスで、ユーザーのID・パスワードなどが盗まれたようです。 ユーザーへの影響はありますか？ 脆弱性を利用されて秘密鍵を持ちだされ、過去の通
オレオレ認証局の作り方～SSL証明書を無料で作る方法 on CentOS 5 - OPTPiX Labs Blog
ウェブテクノロジのサーバやネットワークのお守りをしている yone です。今後、社内で実際に使っているソフトウェア・設定・構成などの豆知識のご紹介をしていきたいと思っています。巷にある情報の再掲になりますが、実稼働事例の一つとしてご参考になれば幸いです。 1. お金のかかる証明書は要らない HTTPS を使ったウェブサイトを立ち上げるとき、SSL サーバ証明書屋さんからサーバ証明書を購入するのが普通です。 ところが、会社内や特定のメンバー内だけで利用するサーバであれば、必ずしも証明書屋さんから証明書を購入する必要はないのです。 今回は、証明書屋さんから買わずに自前で証明書屋さんを作って自前で証明書を発行し、HTTPS サイトを立ち上げる方法をご紹介します。 その証明書の正式名称は、自己署名証明書ですが、本稿ではオレオレ証明書と表記することにします。(笑) 試しに、「オレオレ証明書」で検索し
OpenSSLコマンドの使い方
以下に、直接OpenSSLのコマンドを使って、独自CAを作成する方法を説明します。 独自CAの作成 本来、セキュアなWebサーバを運用するためには、認証局から、署名付きの証明書を発行してもらう必要があります。 認証局とは、CA(Certification Authority)とも呼び、証明書を発行する第三者機関のことです。 認証局を利用しないで、独自でCAの証明書を発行し、認証することもできます。 以下に、独自CAの作成方法について説明します。 ランダム情報ファイルの作成 opensslのメッセージダイジェスト機能（md5）を使って、ランダム情報ファイルを作成します。 ランダム情報ファイルは、rand.datという名前で作成します。
SSL and TLS
SSL and TLS: Designing and Building Secure Systems, Addison-Wesley, 2001 ISBN 0-201-61598-3 Previews Table of Contents (PostScript) (ASCII) Sample Chapter: Part of Chapter 9, HTTP over SSL This chapter describes the use of HTTP with SSL. Errata A list of known errors is available here. See here for notes on errata in the the C sample code. Software The ssldump SSL/TLS protocol analyzer used to gen
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
TLS徹底演習
SSL Labs - Projects / Public SSL Server Database - SSL Server Test
SSL and TLS