You signed in with another tab or window. Reload to refresh your session. You signed out in another tab or window. Reload to refresh your session. You switched accounts on another tab or window. Reload to refresh your session. Dismiss alert
こんにちは、技術開発室の滝澤です。 前回（2021年7月）、『TLS証明書チェッカーcheck-tls-certの公開』というエントリーを公開しました。このcheck-tls-certを開発するにあたって、テスト用のPKI（Public Key Infrastructure、公開鍵基盤）を構築しました。 opensslコマンドを利用したPKI用のスクリプトを整備したのですが、開発当時ではOpenSSL 3.0の開発が進んでいることもあり、OpenSSL 3.0でも利用できるようにとドキュメントを読んでみると、「deprecated」（非推奨）の文字が散見されました。そのため、それを踏まえたスクリプトを書きました。この際に得られた知見を本記事で紹介します。 なお、2021年9月7日にOpenSSL 3.0.0がリリースされました。 本記事を1行でまとめると次のようになります。 OpenSSL
やまゆです。 現在 TLS の実装として一番に挙げられるライブラリは OpenSSL 1.1 ですね。 他に Google fork の BoringSSL や LibreSSL などがありますが、もともとはどちらも OpenSSL の実装をベースにしていますので、やはり大元としては OpenSSL になります。 執筆現在の OpenSSL 安定板バージョンは 1.1.1l です。 2.x はリリースされず 3.0 が次のリリースになる予定です。 このツイートによると、 来週火曜 に正式リリースされるようです。 追記 2021/09/07) OpenSSL 3.0.0 がリリースされました！ こちらの記事から変更点について挙げていきます。 ライセンスの変更。今までは OpenSSL と SSLeay のデュアルライセンスでしたが、 Apache License 2.0 に変更されます。 バ
ニュースソース：Let’s Encrypt Community 以下は、2018年01月11日に公開された 2018.01.11 Update Regarding ACME TLS-SNI and Shared Hosting Infrastructureを要約したものです。 Let’s Encryptのドメイン名検証方法のひとつとして利用されていたACME TLS-SNIで、他人のドメイン名でサーバ証明書取得ができてしまうことが判明しました。 この脆弱性が発見されてから48時間後に、Let’s EncryptはACME TLS-SNI検証を無効化し、ドメイン検証をHTTPまたはDNSで行うよう強く推奨しています。 以下について詳しくは2018.01.09 Issue with TLS-SNI-01 and Shared Hosting Infrastructureを参照してください。 A
TLS拡張（RFC4366）仕様の一つ Server Name Indication（SNI）によって名前ベースのバーチャルホストでもSSLが使えますが、そもそもなぜ、名前ベースのバーチャルホストでSSLが使えないのかその理由と、SNIの仕組みと設定方法について調べてみました。 以前、WEBディレクターの方から、SSLを使っているサイトのバーチャルホストの設定依頼を受けて「SSL使ってるとバーチャルホストは使えないっすよ」とドヤ顔で答えてしまい、少し恥ずかしい思いをしました。(^^;) 昔の上司の言葉「常にアンテナを張っておけ！」を思い出します。 SNIの仕組み SSLを使っていると当然ですがHTTPヘッダは暗号化されているので、クライアントがどのホスト名を指定しているのか判断できないため、先頭のバーチャルホスト（図の場合は lamp-sv）が表示されてしまいます。 SNIではSSL/TL
Server Name Indication（SNI、サーバー ネーム インディケーション、サーバ名表示）は、SSL/TLSの拡張仕様の一つである。SSLハンドシェイク時にクライアントがアクセスしたいホスト名を伝えることで、サーバ側がグローバルIPごとではなくホスト名によって異なる証明書を使い分けることを可能にする。 SNIは特に、HTTP 1.1の名前ベースバーチャルホストをHTTPSに対応させるために使われる。SNIを機能させるには、Webサーバ側とブラウザ側両面の対応が必要である。SNIを実装しないブラウザでは全てのホスト名で同じサーバ証明書が使われるため、警告が表示されることがある。2016年時点でPC・モバイルの主要なブラウザで問題なく利用できる状況である。 SSL/TLS接続のはじめに、クライアントはSSL/TLSのサーバから（サーバとCAの）証明書を受け取り、証明書の改ざんさ
ご無沙汰しております。細羽です。 昨年、AndroidにおけるSNI対応状況という記事で、SSL/TLSの拡張仕様であるSNI(Server Name Indication)について触れました。 少しニッチなテーマだと思っていましたが、つい先日、さくらのレンタルサーバでSNI SSLを提供開始というプレスリリースが発表されました。広いサービスでSSL/TLS導入への需要が高まっている今、このような事例は今後増えていくものと考えられます。 そこで本記事では、重要度が高まっているSNIについて、その技術の概要を改めて理解し、実際の運用に役立てられるように整理をしたいと思います。 知識の整理を目的にした前編と、実践を目的にした後編の2部構成でお届けします。 以下が前編の内容です。 SNIで何が出来るようになるのか SNIで複数ドメインが運用可能になるまで SNIが重要になりつつある背景 SSL運
RC4 with TLS has been broken for quite some time now, but I did not yet manage to make the switch. Having a little time on my hands, I decided to future-proof my Apache configuration. Basically, what I want to do is: Disable ciphers for SSL that have known weaknesses. RC4, I am looking at you. DES, yes, you are meant as well. This includes ciphers that are marked EXPORT. Use TLS 1.2 instead of the
[English] 最終更新日: Mon, 16 Jun 2014 18:21:23 +0900 CCS Injection Vulnerability 概要 OpenSSLのChangeCipherSpecメッセージの処理に欠陥が発見されました。 この脆弱性を悪用された場合、暗号通信の情報が漏えいする可能性があります。 サーバとクライアントの両方に影響があり、迅速な対応が求められます。 攻撃方法には充分な再現性があり、標的型攻撃等に利用される可能性は非常に高いと考えます。 対策 各ベンダから更新がリリースされると思われるので、それをインストールすることで対策できます。 （随時更新） Ubuntu Debian FreeBSD CentOS Red Hat 5 Red Hat 6 Amazon Linux AMI 原因 OpenSSLのChangeCipherSpecメッセージの処理に発見
細かい事をはぶきますが、SSL通信を行っているプロセスのメモリが読み取られる件。 http://heartbleed.com/ http://d.hatena.ne.jp/nekoruri/20140408/heartbleed チェック方法 CentOS 6の話です。 １，まずパッケージ名を見る # rpm -qa |grep openssl openssl-1.0.1e-16.el6_5.4.x86_64CentOS 6系だと、1.0.x系で、「el6_x.x」のx.xが、5.7でなければ脆弱性あります。 yum update openssl とかしましょう。 注意点として、Opensslを野良でいれて、野良で他のプログラムをビルドしてないか気を付けましょう。 （…ということをさける為にも、よほどの事がなければ野良ビルドはやめましょう） ２，ツールをつかう 実際にパケットを飛ばして脆弱
Check your CSR Remove cross certificates View browser warnings Check certificate installation Search certificate logs Check your SSL/TLS certificate installation Enter the URL of the server that you want to check.
NSA（米国家安全保障局）やGCHQ（英国政府通信本部）は、「HTTPS」や「SSL」などを含むインターネット上の暗号化通信を解読可能であると、2013年9月5日に英ガーディアン紙や米ニューヨークタイムズ紙などが報じた。エドワード・スノーデン氏がガーディアンに提供した秘密文書から判明したとする。商用ソフトウエアにバックドアを設けるなどして、解読しているという。 NSAやGCHQは、スーパーコンピュータを用いたブルートフォース型の暗号解読を行ったり、商用ソフトに設けたバックドアを使ったりすることで、暗号化通信を解読しているという。NSAのこれらプロジェクトは「Bullrun」と呼び、HTTPSやVoIP、SSLなど、インターネット上で広く使われている技術を対象としている。 NSAは10年前からこれら暗号解読技術の開発を進めており、2010年に大量の通信を解読可能になったという。NSAは同技術
2月14日、日本ベリサインはECC、DSAという新しい公開鍵暗号アルゴリズムを用いたSSLサーバー証明書を発表した。従来、公開鍵暗号で用いられてきたRSAとは異なる選択肢を提供することで、保護とパフォーマンスを向上させるという。 RSA方式が危険な訳ではないが…… 従来、SSLサーバー証明書は、RSAのアルゴリズムをSSLのハンドシェイクに用いて、Webサーバーの運営団体の実在性を証明してきた。今回、日本ベリサインでは新たにECCとDSAという暗号アルゴリズムをサポートし、商用として初めて「マネージドPKI for SSL」のオプションとして提供するという。 発表会の冒頭、登壇した日本ベリサイン SSL製品本部 SSLプロダクトマーケティング部 上級部長 安達徹也氏は、まずシマンテックおよびベリサインとして、RSAの暗号方式が危ないと判断しているわけではないことを強調。米国や日本の政府機関
日本ベリサインは、SSLサーバ証明書の暗号アルゴリズムにECC 256ビットとDSA 2048ビットをオプションとして追加する。ECC 256ビットでは既存のRSA 2048ビットよりもパフォーマンスが向上するという。 日本ベリサインは2月14日、SSLサーバ証明書の暗号アルゴリズムに「Elliptic Curve Cryptography（ECC） 256ビット」と「Digital Signature Algorithm（DSA） 2048ビット」をオプションとして追加すると発表した。2月下旬以降に提供を開始する予定だ。 今回の措置により、SSLサーバ証明書のユーザー企業などでは既存のRSA 2048ビットと合わせて3種類の暗号アルゴリズムを選択できるようになる。ベリサインは、Webサイトを大規模展開している企業や組織向けの「マネージドPKI for SSL」のうち、「グローバル・サーバ
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く