WebサーバのSSL化対応 - ねじまきまきまき -Random Note-
■WebサーバのSSL化 ■Reverse Proxy(トンネリング)の構築に向けて ■いろいろな選択肢 ■選択肢 Apacheを使う(mod_proxy/mod_ssl) ■選択肢 NGINXを使う ■選択肢 other ■gost ■stone ■用途として一番しっくり来たstoneを使用する ■stoneのmake完了後の動作確認 ■SSLサーバ証明書 ■Let’s Encryptでの証明書発行準備 ■certbot導入 ■証明書自動更新設定 ■stone起動設定 ■定義ファイル作成 ■stone起動確認 ■起動用シェル ■WebサーバのSSL化 keitaircのSSL化を棚上げしていたものをようやくやったので、その話。 ■Reverse Proxy(トンネリング)の構築に向けて keitaircのssl化はマニュアルにある通り、mod_ssl等を利用することを想定している。 ke
脆弱性対応（Heartbleed）の責任の所在 東京地判令元.12.20（平29ワ6203） - IT・システム判例メモ
クレジットカード情報漏えい事故に関し，その原因の一つと考えられる脆弱性対応が運用保守業務に含まれていたか否かが争われた事例。 事案の概要 Xは，Xの運営する通販サイト（本件サイト）を第三者に開発委託し，運用していたが，その後，2013年1月ころまでに，Yに対し，本件サイトの運用業務を月額20万円で委託した（本件契約）。本件サイトはEC-CUBEで作られていた。なお，XからYへの業務委託に関し，契約書は作成されておらず，注文書には「本件サイトの運用，保守管理」「ＥＣ－ＣＵＢＥカスタマイズ」としか記載されていない。 2014年4月には，OpenSSL*1の脆弱性があることが公表されたが*2，本件サイトでは，OpenSSLが用いられていた。 2015年5月ころ，Xは，決済代行会社から本件サイトからXの顧客情報（クレジットカード情報を含む）が漏えいしている懸念があるとの連絡を受け（本件情報漏えい）
[動画公開] Fortigate on AWS でサクッと作るリモートアクセスVPN #devio2020 | DevelopersIO
こんにちは、菊池です。 今週より開催しているクラスメソッド主催のオンラインカンファレンス、Developers.IO 2020 CONNECTにて「Fortinet Fortigate Next-Generation Firewall でサクッと作るリモートアクセス VPN（SSL-VPN）」というテーマにてセッション動画を公開いたしました。 セッション動画 こちらの動画は、元々以下の記事にて紹介していたものをわかりやすい手順として作成したものです。 [AWS] Fortinet Fortigate Next-Generation Firewall でサクッと作るリモートアクセス VPN（SSL-VPN） 昨今のテレワーク需要の増加により、リモートアクセスVPN（SSL-VPN）やVDIの導入相談が増えています。AWSネイティブのサービスとしてはAWS Client VPNが提供されていま
![[動画公開] Fortigate on AWS でサクッと作るリモートアクセスVPN #devio2020 | DevelopersIO](https://cdn-ak-scissors.b.st-hatena.com/image/square/fc9a9494072f053931dd1c9c9a7cd3a48c5728f4/height=288;version=1;width=512/https%3A%2F%2Fdevio2023-media.developers.io%2Fwp-content%2Fuploads%2F2020%2F06%2F848c8d9b6e4887cb9c9c6cb87b9a2cd4.png)
証明書300万件を強制失効。Let's Encrypt に一体何が起きたのか？ - Qiita
無料 SSL の認証局である Let's Encrypt は、有効な証明書のうち 2.6% に当たる300万件の証明書に対し、2020年3月4日に失効手続きを行うと宣言しました。しかもその事がユーザーに通知されたのは失効手続きの数時間前です。一体、Let's Encrypt に何が起きたのでしょうか？ 私が調べた事を共有したいと思います。 この記事は Let's Encrypt の証明書失効に関する一連の出来事についてまとめた物です。今回の失効処理の対象となっているかどうかの確認方法等については、以下の記事をご覧下さい。 Let's Encrypt に重大なバグが発覚。該当サイトは2020/3/4 までに対応が必須 更新しました(2020/3/7) 影響の度合いについての記載が正しくなかったので修正 現在の Let's Encrypt の見解が正しくなかったので修正 何が起きているのか？
SSLサーバ証明書の設定確認、中間CAの設定ミスを発見する - Qiita
SSLサーバ証明書の設定で一番やらかしがちなのは中間CA証明書の設定ミスです。 PCブラウザでの鍵マーク確認だけじゃダメ！ いまどきのPCブラウザだと証明書に記載されている Authority Information Access 拡張フィールドから中間CA証明書を自動DLしてくれたりキャッシュしたりする機能がある為、サーバに中間CA証明書が正しく設定されていなくても問題なく閲覧出来てしまう。 便利だが、それ故に確認ツールとしてブラウザを使ってしまうと中間CA証明書の設定漏れに気が付かずに置かれた結果、中間CA証明書の自動DL機能のない(主には)携帯端末などからアクセスできなくなって初めて設定漏れに気付く。 なんてことがよくあるのでブラウザじゃなくちゃんとした手順で確認することを覚えましょう！ SSLサーバ証明書チェッカー 認証局がチェッカサイトを提供しているのでこれを使うのが一番簡単で確
httpでアクセスしたいのにhttpsへリダイレクトされて悩んだ（HSTSまたはStrict-Transport-Securityの沼） - Qiita
httpでアクセスしたいのにhttpsへリダイレクトされて悩んだ（HSTSまたはStrict-Transport-Securityの沼）SSLheaderredirectHTTPS 解決まで時間がかかったので自分への戒めとして残しておく [事象] httpでアクセスしたいのにhttpsでのアクセスにリダイレクトする ERR_SSL_PROTOCOL_ERRORとブラウザに言われる これはSSLに対応していないサーバにhttpsでアクセスしたため [ポイント] サーバにSSLの設定はしていない アプリケーションでもリダイレクトの設定はしていない でもhttpsになる。。。 [原因] レスポンスヘッダで以下を返却していることで そのドメインではブラウザがhttpsでアクセスするように求めていると理解する includeSubDomainsがあることで、サブドメインまで対象となる。 [解決方法]
複数のWebサーバでSSLセッションキャッシュを共有してSSL処理を高速化(Apache + mod_ssl + mod_socache_memcache) - 元RX-7乗りの適当な日々
HTTPS(SSL利用)サイトがSEO的に優遇されるトレンドで、世間的にもHTTPS接続でサイト運用するサービスが増えてきています。 これが、ハイトラフィックサイトになってくると、このフロントエンドでSSL処理させることが負荷的にもなかなか辛いのです。 で、Apache 2.3以降では、Shared Object Cache Providerとして、memcachedが選択できるようになっています。 この仕組みを利用して、Apacheとmemcachedを並べることで、各サーバでユーザのSSL Session Cacheを共有しながらHTTPSリクエストを負荷分散できる構成を作ってみました。 WebサーバでSSLオフロード 常時SSLを利用したWebサイトを運用するために、SSLアクセラレータといったアプライアンス製品だとか、ソフトウェアだとApacheやNginxのSSLモジュールを使う
2018年9月13日 OpenSSL 1.1.1がLTSでリリース、TLS 1.3のサポートも | gihyo.jp
Linux Daily Topics 2018年9月13日OpenSSL 1.1.1がLTSでリリース、TLS 1.3のサポートも OpenSSL開発チームは9月11日（米国時間）、「OpenSSL 1.1.1」のリリースを発表した。前バージョンから2年の開発期間を経てのリリースで、5年間のサポートを保証するLTS（Long Term Support）バージョンとして提供される。 OpenSSL 1.1.1 Is Released - OpenSSL Blog OpenSSL 1.1.1では、2018年8月にIETFに「RFC8446」として承認されたばかりの「TLS 1.3」がサポートされており、セキュリティやパフォーマンスの大幅な向上が実現している。とくに「0-RTT」と呼ばれるハンドシェイクプロトコルの拡張機能により、クライアントは通信の準備に必要なラウンドトリップを省略できる
「SSL/TLS暗号設定ガイドライン改訂及び鍵管理ガイドライン作成のための調査・検討」報告書 | アーカイブ | IPA 独立行政法人 情報処理推進機構
本ページの情報は2018年6月時点のものです。 独立行政法人情報処理推進機構（以下「IPA」という。）では、近年の情報セキュリティの基盤技術として広く利用されている暗号について、暗号技術評価プロジェクトCRYPTRECの活動を通じ、SSL (Secure Sockets Layer) / TLS (Transport Layer Security) の適切な利用促進を目的として、SSL/TLSサーバの構築者や運営者が適切なセキュリティを考慮した暗号設定ができるようにするための「SSL/TLS暗号設定ガイドライン」を2015年5月に公開しました。その公開から約3年が経過し、SSL/TLSを取り巻く状況の変化やSSL/TLSをサポートするアプリケーションのバージョンアップ等を反映した内容とするための改訂が必要となってきました。 また、2016年度のCRYPTREC活動において、暗号を正しく使う
「SSL/TLS暗号設定ガイドライン 第2.0版」を読んで - ぼちぼち日記
1. はじめに 昨日「SSL/TLS暗号設定ガイドライン 第2.0版」が公開されました。 前回から約3年経って今回はCRYPTREC暗号技術活用委員会で検討作業が行われたようです。 普段、TLS/HTTPSの記事を書いたり発表したりしている立場上、これを見逃すわけにはいけません。 本文冒頭では、 「本ガイドラインは、2018 年 3 月時点における、SSL/TLS 通信での安全性と可用性（相互接続性）のバランスを踏まえた SSL/TLS サーバの設定方法を示すものである。」 ということなので、できたてほっかほっかの最新ガイドラインを読ませていただきました。 読み進めてみるとChangelogが細かく書いてなく、以前のバージョンとどこがどう変わったのかよくわかりません。TLS1.3とかは絶対に新しく入った内容なんですが、細かいところはどうだろう… それでも全部(SSL-VPNを除く)をざっと
AWS 上で利用している SSL/TLS 証明書を一括管理するツール aws-cert-utils を作った話 - Kaizen Platform 開発者ブログ
はじめまして、Kaizen Platform SRE の @tkuchiki です。 本記事では AWS 上で利用している SSL/TLS 証明書(以下、証明書)を一括管理するツールを作成したので紹介いたします。 TL;DR aws-cert-utils を作成して AWS 上で利用している証明書を一括管理できるようにした 証明書の一覧表示、証明書を利用している ALB / CLB / CloudFront の一覧表示も可能 aws-cert-utilsを利用し証明書を管理することで、更新・確認作業においてミスが発生しにくくなった 背景 今までの問題点 CLB / ALB / CloudFront の証明書更新時に aws cli iam でアップロードした証明書を Management Console から一つひとつ切り替えていた 更新対象が多いので作業に時間がかかる 確認作業も大変 そ
SSL/TLSについてまとめ2018 - Qiita
はじめに SSL/TLSについて改めて理解を深めたい思い、関連する技術についてまとめました。 本記事はTLSに関すること主題として、HTTPS、暗号化、Apache、OpenSSL等について記載しています。 SSL/TLSの通信は色々なプロトコルや暗号化方式が組み合わされ補いあってできています。暗号化の仕組みはパズルのようで面白いです。一つ一つを読み取り理解が深まるごとで、SSL/TLSって本当によくできると思いました。フレームワークの意味について考えさられます。 HTTPSの通信 HTTPSの通信はTCP/IPプロトコルスイートとして、TCPの上層にSSL/TLSがあり、アプリケーションプロトコルのHTTPプロトコルが載って通信をしています。 コネクションとセッションは通信の概念として別になります。TCPでクライアントからWebサーバに対してコネクション(経路)が確立され、その上でセッシ
『OpenSSLクックブック』提供開始のお知らせ
ご来店ありがとうございます。 本日より、『プロフェッショナルSSL/TLS』（2017年3月発行）からスピンオフしたミニブック『OpenSSLクックブック』の提供を開始しました。購入ページからカートに追加していただくことで、どなたでも無償でダウンロードが可能です（クレジットカード情報は不要ですが、直販サイトの購入フローを経由する関係で、お名前の欄と住所の欄への入力はお願いいたします）。 同書は『プロフェッショナルSSL/TLS』の原書である‟Bulletproof SSL and TLS”からOpenSSLに関する章を抜き出して再編された‟OpenSSL Cookbook”の翻訳に相当し、『プロフェッショナルSSL/TLS』の「第11章 OpenSSL」と「第12章 OpenSSLによるテスト」加え、SSL Labsで公開されている ‟SSL/TLS Deployment Best Pra
nc, cURL, Chrome, openssl s_client, RDP で SOCKS プロキシーを使う（＆ socatのご紹介） | DevelopersIO
SOCKS 4 プロキシを経由しないとアクセス出来ない Web 環境（のSSL証明書）をテストする必要があったので、各試験用コマンドで SOCKS4 プロキシーを使う方法を調べました。また、その過程で socat というツールも見つかったのでご紹介します。 前提 以下、下記の前提で話を進めます。 プロキシーサーバのホスト名は proxy.example1.jp プロトコルは SOCKS4、ポートは 1080/TCP 試験対象（接続したい Web 環境）の URL は https://target.example9.jp/ クライアント側の作業環境は macOS High Sierra になりますが、CLIコマンドなどは Linux でも使用可能かと思います。 nc (netcat) 443/TCP が LISTEN しているか、そもそも作業環境・プロキシーサーバからアクセス出来るか（SG
GitHub - acmesh-official/acme.sh: A pure Unix shell script implementing ACME client protocol
An ACME protocol client written purely in Shell (Unix shell) language. Full ACME protocol implementation. Support ECDSA certs Support SAN and wildcard certs Simple, powerful and very easy to use. You only need 3 minutes to learn it. Bash, dash and sh compatible. Purely written in Shell with no dependencies on python. Just one script to issue, renew and install your certificates automatically. DOES
HTTPS通信の疎通確認に覚えておきたい３つのコマンド - Qiita
$ curl -s -v --sslv3 https://example.com 1> /dev/null * Rebuilt URL to: https://example.com/ * Trying 93.184.216.34... * Connected to example.com (93.184.216.34) port 443 (#0) * SSL peer handshake failed, the server most likely requires a client certificate to connect * Closing connection 0 おっと、SSLハンドシェイクで通信に失敗したようですね。SSL3.0はPOODLE脆弱性問題があります。ちゃんとexample.comでは無効にしているようですね。以下のようにTLS1.2ではきちんとできました。Di
Testssl.sh - Testing TLS/SSL Encryption Anywhere on Any Port
Aaron KiliLast Updated: May 11, 2021 Read Time: 3 minsCategories Open Source 5 Comments testssl.sh is a free and open-source, feature-rich command-line tool used for checking TLS/SSL encryption enabled services for supported ciphers, protocols, and some cryptographic flaws, on Linux/BSD servers. It can be run on macOS X and Windows using MSYS2 or Cygwin. Features of Testssl.sh Easy to install and
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
【図解】https(SSL/TLS)の仕組みとシーケンス,パケット構造 〜暗号化の範囲, Encrypted Alert, ヘッダやレイヤについて～
GitHub - Shyp/generate-tls-cert: Generating self signed certificates
NeverSSL - Connecting ...