OpenSSL 3.0のTLS証明書用プライベート鍵生成方法
こんにちは、技術開発室の滝澤です。 前回（2021年7月）、『TLS証明書チェッカーcheck-tls-certの公開』というエントリーを公開しました。このcheck-tls-certを開発するにあたって、テスト用のPKI（Public Key Infrastructure、公開鍵基盤）を構築しました。 opensslコマンドを利用したPKI用のスクリプトを整備したのですが、開発当時ではOpenSSL 3.0の開発が進んでいることもあり、OpenSSL 3.0でも利用できるようにとドキュメントを読んでみると、「deprecated」（非推奨）の文字が散見されました。そのため、それを踏まえたスクリプトを書きました。この際に得られた知見を本記事で紹介します。 なお、2021年9月7日にOpenSSL 3.0.0がリリースされました。 本記事を1行でまとめると次のようになります。 OpenSSL
Nginxによるリバースプロキシの設定方法 - Qiita
Nginxをリバースプロキシとして利用するための方法と個人用メモ プロキシ設定 Nginxをリバースプロキシとして利用するためには、/etc/nginx/conf.d に設定ファイルを配置すればよい ファイル名は {ConfigName}.conf 今回は server.conf としてファイルを配置した 以下のように server.conf を用意して Nginx を再起動する server{ server_name example.com; proxy_set_header Host $host; proxy_set_header X-Real-IP $remote_addr; proxy_set_header X-Forwarded-Host $host; proxy_set_header X-Forwarded-Server $host; proxy_set_header X-Fo
CloudFront で SSL/TLS 証明書を使用するための要件 - Amazon CloudFront
このトピックでは、SSL/TLS 証明書の要件について説明します。これらの要件は、特に注記がなければ、以下の両方の証明書に適用されます。 証明書の発行者 AWS Certificate Manager (ACM) で発行された証明書を使用することをお勧めします。ACM からの証明書の取得の詳細については、AWS Certificate Manager ユーザーガイドを参照してください。CloudFront で ACM 証明書を使用するには、米国東部 (バージニア北部) リージョン (us-east-1) の証明書をリクエスト (またはインポート) していることを確認します。 CloudFront は Mozilla と同じ認定権限 (CA) をサポートしているため、ACM を使用しない場合は、「Mozilla に付属する CA 証明書一覧」の CA が発行する証明書を使用します。証明書の取
OCSP Stapingの調査 - Qiita
OCSP Stapingの概要 OCSPとは？ Online Certificate Status Protocol オンラインで証明書の状態を検証するプロトコル RFC2560 応答する証明書の状態は有効(good)、失効(revoke)、不明（unknown)の3通り。それに加えて、OCSP応答状態（無応答）も考慮する必要がある。 OCSP応答の例 openssl s_clientコマンドで以下のように確認できる。 > openssl s_client -connect www.office.com:https -CApath /etc/ssl/certs -status CONNECTED(00000005) OCSP response: ====================================== OCSP Response Data: OCSP Response
RSA鍵、証明書のファイルフォーマットについて - Qiita
RSAの公開鍵暗号技術を利用するためには、鍵や証明書のファイルを扱う必要があるため、そのファイルフォーマットについて理解しておく必要があります。 実際、いろんな拡張子が登場するので、それぞれの意味を理解していないとすぐにわけがわからなくなります。そんなときのために備忘録をまとめてみました。 ファイルの拡張子の注意点 .DERと .PEMという拡張子は鍵の中身じゃなくて、エンコーディングを表している デジタル暗号化鍵やデジタル証明書はバイナリデータなのですが、MD5のハッシュ値のような単なる 値 ではなく、データ構造をもっています。.DERや .PEMはそのデータ構造をどういうフォーマットでエンコードしているかを表しています。そのため、.DERや.PEMという拡張子からそのファイルが何を表しているのかはわかりません。暗号化鍵の場合もあるし、証明書の場合もあります。 .DER 鍵や証明書をAS
Android4系端末のTLS1.1&1.2対応について - Qiita
各バージョンの対応状況 Androidの各バージョンにおいてTLSの対応状況は以下のようになっています。 ※ Template:ウェブブラウザにおけるTLS/SSLの対応状況の変化より 5.0以降については「TLS / SSL のデフォルトの構成の変更」にも記載の通り、デフォルトで有効になっています。 Android4.0.4未満については非対応ですが、4.1から4.4.4については規定で無効となっています。本記事ではこれを有効にする方法について書いていきます。 参考：SSLSocket：Default configuration for different Android versions GooglePlayサービス経由でセキュリティプロバイダをアップデートする 公式の「SSLの脆弱性攻撃から保護するためにセキュリティプロバイダをアップデートする」へ記載の通り、 GooglePlayサ
AWSのサービスでドメインを取得しALBでSSLで接続出来るようにする - Qiita
概要 表題の通りですが、AWSのサービスのみで独自ドメインの取得を行いALBで公開を行います。 なお公開するWebサービスはSSLで接続可能にしますので、AWS Certificate Manager で証明書の取得も行います。 前提条件 ALB（Application Load Balancer） が作成されている必要があります。 ※以前、ALB（Application Load Balancer）でWebサービスを冗長化する という記事を書きました。参考になれば幸いです。 ドメインの登録を行う Route53のドメイン登録画面に遷移する マネジメントコンソールからRoute53サービスの "Domain registration" に進みます。 "Register Domain"を選択します。 取得しようと思っているドメイン名が利用可能かどうかをチェックする 希望のドメイン名を入力し、
S3+CloudFront+ACM(AWS Certificate Manager)でHTTPS静的サイトを作ってみた - Qiita
ドメイン取得からS3での静的サイト及びHTTPS化(CloudFront,ACS)までやってみた時の作業メモ。 やること ドメインの登録を行う(今回、お名前.comでやったみたが、Route53の登録でもOK) 本例では example.com というドメインを購入したと想定(この作業メモを書いた時は別のドメインで検証しています) S3のStaticWebsiteHostingとCloudFronとACMを利用して、 https://blog.example.com でアクセス出来るようにする ドメインを探す 自分の利用したいドメインを探して購入します。 せっかくなのでRoute53で購入してみたかったのですが、欲しいのが丁度なかったのでお名前.comで購入しました。 登録が完了すれば登録したメールアドレスに登録完了通知が来ているかと思います。 Route53にドメインを登録する 次に取得
AWS EC2にLet's Encryptを導入してみた - Qiita
開発用EC2インスタンスはhttpで使用していたのですが、セキュリティ対策を入れたりでステージング環境に近くなってきたので簡易的にSSLを導入しようとLet's Encryptを使用してみました。 思ったより簡単に導入できたので参考になれば幸いです。 Let's Encryptとは？ 簡単に言うと無料でオープンな証明書を発行できるサービスです。手続きも不要で、サーバーとドメインさえ持っていれば即時発行可能です。(Chromeでも緑の鍵マークになるので安心です) ※私もどこかのタイミングで寄付します！ 導入手順 さっそく導入してみましょう。 環境は AmazonLinux + CentOS6 + Apache2.4 です。(バージョン違いは適宜読み替えてください) 前提として上記は導入済みとします。まだの方はAWSのページなどを参考にインストールまで済ませてください。 1. AWSのセキュリ
CloudFront に SSL 証明書を導入する際のポイントまとめ - Qiita
CloudFront に SSL を入れる際に気をつける項目のまとめです。 2017年9月時点では、特に S3 との連携で大きな制約があり、将来的には改善されていくのではと思います。現在の状況を確認してください。 (2017/10/26 追記) Lambda@Edge で S3 の制約を回避できるようになりました。こちらの記事を参照してください。 SNI か専用 IP か まず、ブラウザと CloudFront 間の通信で、SNI (Server Name Indication) が使えるかどうか検討します。 ガラケーやWindowsXP の IE は SNI に対応していません。これらの古い環境でサイトが見えなくても構わないかどうかを確認します。 SNI 非対応のブラウザに対応するには、専用 IP を使う必要があります。専用 IP は $600/月かかります。 https://aws.a
改めて知ろう、SSLサーバー証明書とは？ | さくらのナレッジ
こんにちは、サイバートラストの坂本です。このたび、さくらのナレッジの筆者陣に加わることになりました。どうぞよろしくお願いします。 SSL サーバー証明書が注目をあびた 2014 年 今年ほど、SSLサーバー証明書に関するニュースを頻繁に目にした年はなかったのではないでしょうか。 最近の話題であれば、Chrome による、SHA-1 アルゴリズムを用いた SSL サーバー証明書の制限。また、SSL に関する脆弱性ということでは、全国紙やテレビのニュースでも取り上げられた「 Heartbleed 」や、他にも POODLE が深刻度の高いものでした（いきなり脱線しますが、私は「SSL サーバー証明書」でなく、「TLS サーバー証明書」といつから呼ぼうか迷っています）。 さらに、Chrome といえば、Google は SSL サーバー証明書が使用された Web サイトを SEO の評価として優
【翻訳】中間証明書の失効確認: OneCRL の導入 - Mozilla Security Blog 日本語版
この記事は、2015 年 3 月 3 日付で Mozilla Security Blog に投稿された Revoking Intermediate Certificates: Introducing OneCRL（筆者: mgoodwin）の翻訳です。この翻訳は公式なものではありません。詳しくはこちらをご覧ください。 また、2013 年 7 月 29 日付の記事 OCSP Stapling in Firefox（参考: 日本語訳）ならびに 2015 年 11 月 23 日付の記事 Improving Revocation: OCSP Must-Staple and Short-lived Certificates（参考: 日本語訳）も合わせてご覧ください。 Firefox 37 以降のユーザは、OneCRL という新しい機能で保護されることになりました。この OneCRL とは、失効済みの
対応しているSSL暗号化スイートを確認する - dondari
暗号スイート(cipher)の確認 $ openssl ciphers -v DHE-RSA-AES256-SHA SSLv3 Kx=DH Au=RSA Enc=AES(256) Mac=SHA1 DHE-DSS-AES256-SHA SSLv3 Kx=DH Au=DSS Enc=AES(256) Mac=SHA1 AES256-SHA SSLv3 Kx=RSA Au=RSA Enc=AES(256) Mac=SHA1 KRB5-DES-CBC3-MD5 SSLv3 Kx=KRB5 Au=KRB5 Enc=3DES(168) Mac=MD5 KRB5-DES-CBC3-SHA SSLv3 Kx=KRB5 Au=KRB5 Enc=3DES(168) Mac=SHA1 EDH-RSA-DES-CBC3-SHA SSLv3 Kx=DH Au=RSA Enc=3DES(168) Mac=SHA1
【翻訳】Firefox における OCSP Stapling - Mozilla Security Blog 日本語版
この記事は、2013 年 7 月 29 日付で Mozilla Security Blog に投稿された OCSP Stapling in Firefox（筆者: David Keeler）の翻訳です。この翻訳は公式なものではありません。詳しくはこちらをご覧ください。 また、2015 年 3 月 3 日付の記事 Revoking Intermediate Certificates: Introducing OneCRL（参考: 日本語訳）ならびに 2015 年 11 月 23 日付の記事 Improving Revocation: OCSP Must-Staple and Short-lived Certificates（参考: 日本語訳）も合わせてご覧ください。 OCSP Stapling が最新の Firefox Nightly に実装されました！OCSP Stapling とは、プラ
【翻訳】証明書失効確認の改善: OCSP Must-Staple と Short-lived 証明書 - Mozilla Security Blog 日本語版
この記事は、2015 年 11 月 23 日付で Mozilla Security Blog に投稿された Improving Revocation: OCSP Must-Staple and Short-lived Certificates（筆者: mgoodwin）の翻訳です。この翻訳は公式なものではありません。詳しくはこちらをご覧ください。 また、2013 年 7 月 29 日付の記事 OCSP Stapling in Firefox（参考: 日本語訳）ならびに 2015 年 3 月 3 日付の記事 Revoking Intermediate Certificates: Introducing OneCRL（参考: 日本語訳）も合わせてご覧ください。 Firefox において証明書失効の確認プロトコルをより良く実装するため、昨年に私たちは長期的な計画を立案しました。今週の時点で、この
ocsp-must-staple-ocsp-multi-stapling-onecrl.html
MIRACLE ZBX 4.0 以下のバージョンから 7.0 へアップグレードしたさいにはユーザパスワードのリセットが必要です
OCSP Stapling: How CloudFlare Just Made SSL 30% Faster
OCSP Stapling: How CloudFlare Just Made SSL 30% Faster Loading... CC BY-SA 3.0 image by Yathin sk This week CloudFlare is announcing several things we're doing to significantly improve the performance of SSL. Too few sites are secured with SSL. One of the reasons sites don't implement SSL is that it can slow down web performance. One of the less frequently discussed, but most significant, performa
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
httpsだからというだけで安全？調べたら怖くなってきたSSLの話!？ - Qiita
SSL Labs - Projects / Public SSL Server Database - SSL Server Test
CDN OCSP Stapling - KeyCDN