自堕落な技術者の日記 : JRE 1.4-1.6やAndroidのAPIを使ったHTTPS接続のCipherSuitesがRC4-MD5を優先しているかなりヤバい話 - livedoor Blog（ブログ）
基本は喰ってるか飲んでるかですが、よく趣味でカラオケ・PKI・署名・認証・プログラミング・情報セキュリティをやっています。旅好き。テレビ好きで芸能通 OWASP Night 8thに行ってきて、iOSやAndroidのいろんなアプリのHTTPS接続の検証がいい加減という話を聞いてきたんですが、それよりもAndroidのデフォルトブラウザChromeが失効検証をしない(=証明書の取り消し確認をしない)という事だって十分問題なんじゃないかなぁとか思ったりしてました。 そういえば以前、秋山さんにAndroidだとHTTPS通信がRC4-MD5になっちゃうという話を聞いて、実際にAndroid上のChromeやOperaやFireFoxを見て全く問題ないことを確認し「よしよし安心だ」などと思っていました。 あれれ?待てよ、秋山さんが言っていたのはブラウザではなく、APIで呼び出したときのCiphe
Java1.7のSSLサーバでRC4を優先する方法
技術者ブログ クラウド型WAF「Scutum（スキュータム）」の開発者/エンジニアによるブログです。 金床“Kanatoko”をはじめとする株式会社ビットフォレストの技術チームが、“WAFを支える技術”をテーマに幅広く、不定期に更新中！ はじめに 以前このブログにおいて『Tomcatなど、Java製のサーバでBEAST対策を行う方法』というエントリを書きました。このエントリでは『JavaではSSL通信時に、基本的にサーバ側ではCipherSuiteの優先順位を決定することができず、クライアントが送ってくるCipherSuiteのリストが優先される』ことを示しました。また、この制限を回避するためのJSSEライブラリのハックについて紹介しました。 しかしこの方法はJava1.6系を前提としたもので、Java1.7では同じ方法を採ることができません。今回は、Java1.7系で使える手法をご紹介し
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
処理を実行中です
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
