中国がTLS 1.3とESNIを使用するHTTPSトラフィックをブロック
印刷する メールで送る テキスト HTML 電子書籍 PDF ダウンロード テキスト 電子書籍 PDF クリップした記事をMyページから読むことができます 中国政府は、国内の通信を検閲するシステムである「グレートファイアウォール」（GFW）をアップデートし、通信のインターセプト（傍受、妨害）を防止する最新のセキュリティプロトコルを使ったHTTPS接続をブロックし始めた。 中国の検閲状況を調査している3つの組織（iYouPort、メリーランド大学、Great Firewall Report）が米国時間8月7日に発表した共同レポートによれば、この状況は7月末から始まっているという。 中国政府はHTTPS＋TLS 1.3＋ESNIの接続をブロック GFWのアップデートで新たに標的になったのは、「TLS 1.3」や「ESNI」（Encrypted Server Name Indication）など
TLS1.3時代の新常識
TLS • TLS (reliable) endpoint endpoint CC BY 3.0 https://www.youtube.com/user/TheWikiLeaksChannel ClientHello+ ApplicationData end_of_early_data Finished ServerHello EncryptedExtension ServerConfiguration Certificate CertificateVerify Finished ApplicationData
Let's Encrypt 周りの自動化を行う Azure Functions の正式版をリリースした - しばやん雑記
前に作った Let's Encrypt の自動化を行う Azure Functions ですが、あれからもちょいちょい弄り続けた結果、先日やっと正式版を出せました。 いろんなバグやよくわからない Azure REST API の仕様などを乗り越えてきました。 今回の正式版リリースでは以下のような機能を実装しています。 全ての App Service に対応 Web Apps / Functions / Web App for Containers など（Windows と Linux に対応） Linux と Containers は Azure DNS が必要 ワイルドカード証明書の発行 これも Azure DNS が必要 wwwroot の readonly モードに対応 Run From Package を使った場合に readonly になる RBAC で権限を付与すれば 1 つの
Azure App Service 向けに Let's Encrypt 周りの自動化を行う Azure Functions を作った - しばやん雑記
タイトルの通りなんですが、App Service 向けに自動で Let's Encrypt の証明書を更新してくれる Azure Functions を作りました。Durable Functions と ACMESharp Core を使っています。 とりあえずベータリリース的な感じで出してみることにしました。 これまでも Site Extensions と WebJob を使って Let's Encrypt の証明書を更新してくれるものはありましたが、1 サイトに 1 つ仕込む必要があり、結構な確率で失敗することが多かったので不便だと思ってました。サービスプリンシパルを作って設定する必要があったのも面倒でした。 なので、今回の azure-appservice-letsencrypt は以下のような問題を解決するために作りました。 1 つの Azure Function で複数の証明書を
ガラケーや古いスマホでは、ほぼ日が見られなくなる？ - ほぼ日刊イトイ新聞
2018年７月、ほぼ日刊イトイ新聞は、 いまよりもセキュリティの高いページに 切り替わる予定になっています。 これによって、古い環境でご覧になっている方は いま見ているこの「ほぼ日」が 見られなくなってしまう可能性があります。 ほとんどの方は、まあ、大丈夫。 古い機械で見ている方は危ないかも？ 「あっ、私、たぶんダメだ」という方、 「え、わたしはどうだろう？」という方、 わかりやすく説明していきたいと思いますので どうぞじっくりおつき合いください。 「なぜセキュリティを高めるの？」という ものすごく根本的なことから、 「インターネットとつき合うには？」という 大きな話まで、雑談形式でお届けします。 担当は「ほぼ日」のシステム担当者、 芦沢、たえ、多田の３名。進行役は永田です。
Symantecが再びGoogleの信頼を失った件についてのメモ - Technically, technophobic.
（初めに言い訳しておくと、証明書界隈については詳しくないです。某誤訳量産サイトが適当な記事を書いていたので、なにか書かねばと思って書いているという程度のまとめ記事です。間違いなどあればご指摘ください） 何が起こるのか Ryan Sleeviさん（Googleの人）がBlink-devのメーリングリストに投稿したこれにまとまっています：https://groups.google.com/a/chromium.org/d/msg/blink-dev/eUAKwjihhBs/rpxMXjZHCQAJ 経緯についてはいったん飛ばして、どのようなアクションが提案されているのか見ます。 To restore confidence and security of our users, we propose the following steps: A reduction in the accepted
Gitで独自の証明書を使用する(Git for Windows 2.12.1で不要に) - kkamegawa's weblog
TFSを組織内で運用している場合、証明書を購入せず、Windows Serverの認証局で運用することもあると思います。Active Directoryを使用している場合、追加コストなく、安全に証明書の配布ができるので、使っているところも多いと思います。 WindowsのAPIを使って証明書の検証を行う場合、証明書ストアに入っていれば自動的に使用されるので問題ありません。しかし、Windowsの証明書ストアを使用しないツールでは検証できず、エラーになります。 例えば、Gitはhttpsでcloneすることができますが、独自の証明書*1を使っている場合、ビルドエージェントが以下のエラーを表示します。 fatal: unable to access ‘https://hoge.local/DefaultCollection/private/_git/PrivateGit/’: SSL cert
Let's EncryptのDNS-01を使用して無料のSSL証明書をWebサーバなしで取得する -- ぺけみさお
サマリDNSによる認証(DNS-01)でドメインを認証し、Let’s EncryptからSSL証明書を取得することができたので、メモとしてまとめます。クライアントはサードパーティ製のletsencrypt.shを使用します。DNSで認証するには、ドメインに認証専用のサブドメインを追加し、サブドメインに対してTXTレコードを設定できる必要があります。HTTPによる認証ではないため、Webサーバは必要ありません。このためHTTPによる認証と比較してとても簡単に証明書を取得できます。HTTPによる認証と手間なところ無料でDVのSSL証明書を取得できるLet’s Encryptが話題です。 Let’s Encryptで証明書の取得を行う場合、HTTPを使用してドメインを認証を方法(HTTP-01)が紹介されることが多いようです。 この方法でドメインを認証する仕組みは、ざっくり説明すると以下のとおり
暗号化通信を解読される「FREAK」脆弱性、Windowsも影響を受ける
日本マイクロソフトは2015年3月6日、「FREAK」脆弱性がWindowsにも存在することを明らかにした（画面）。FREAKはSSL/TLSの実装に関する脆弱性。悪用されると、SSL/TLS通信を盗聴されたり改ざんされたりする恐れがある。 FREAKは「Factoring RSA Export Keys」の略。フランス国立情報学自動制御研究所（INRIA）や米マイクロソフトなどの研究チームが報告した。SSL/TLSの実装の多くには、弱い暗号アルゴリズムである「輸出用RSA暗号（RSA Export Suites）」が含まれている。目的は、1990年代に米国が実施していた暗号輸出規制に対応するため。 輸出用RSA暗号は鍵長が512ビット以下であり、トレンドマイクロの情報によると、現在のコンピュータを使えば約7時間で復号可能で、クラウドサービスを使えば100ドルで復号できるという。 ただ、F
OpenSSLの脆弱性で想定されるリスク - めもおきば
JVNやJPCERT/CCの記事があまりにもさらっと書かれていて、具体的なリスクが想像しづらいと思うので説明します。 今北産業 (今ニュース見て来たから三行で教えて欲しいという人向けのまとめ) インターネット上の「暗号化」に使われているOpenSSLというソフトウェアが2年間壊れていました。 このソフトウェアは便利なので、FacebookだとかYouTubeだとか、あちこちのウェブサイトで使っていました。 他の人の入力したIDとかパスワードとかクレカ番号とかを、悪い人が見ることができてしまいます。(実際に漏れてる例) 他にも色々漏れてますが、とりあえずエンジニア以外の人が覚えておくべきはここまででOKです。もう少し分かりやすい情報が以下にあります。 OpenSSL の脆弱性に対する、ウェブサイト利用者（一般ユーザ）の対応について まだ直っていないウェブサイトもあれば、元々壊れていないウェブ
The Heartbleed Hit List: The Passwords You Need to Change Right Now
It's time to update your passwords to various sites affected by the Heartbleed bug. Credit: Mashable composite. iStockphoto, SoberP An encryption flaw called the Heartbleed bug is already being dubbed one of the biggest security threats the Internet has ever seen. The bug has affected many popular websites and services -- ones you might use every day, like Gmail and Facebook -- and could have quie
入力情報を送信するＩＭＥ
2013/12/26 コース：元祖こってり 「元祖こってり」記事はネットエージェント旧ブログ[netagent-blog.jp]に掲載されていた記事であり、現在ネットエージェントに在籍していないライターの記事も含みます。 入力情報を送信するＩＭＥ IMEの通信解析で利用されたSSLの解析技術に関して NHKなどで報道されている、パソコン用の日本語入力ソフトBaidu IME、 Android用の日本語入力ソフト Simejiの送信データを解析した件に関して詳細をご説明します。 検証解析環境 ＜ＳＳＬによる暗号化通信を解析できる環境＞ 解析の結果、日本語入力の文字列が、SSLで暗号化され送信されていることがわかりました。 Baidu IME , Simejiでは、全角入力の場合のみ情報が送信されています。 クラウド入力Offの場合でも入力文字列を送信していました。 パスワードなど半角入力のみ
cybozu.com を真に常時 SSL にする話 - Cybozu Inside Out | サイボウズエンジニアのブログ
@ymmt2005 こと山本泰宇です。 今回は cybozu.com を安全に利用するために暗号化した通信（SSL）を常時使用するための取り組みを紹介します。 HTTP と HTTPS HSTS とその弱点 Preloaded HSTS Chrome のリストに cybozu.com を組み込む まとめ HTTP と HTTPS Web ブラウザのアドレスバーに "www.cybozu.com" と打ち込むと、通常は暗号化されない HTTP 通信が行われます。そこでまず考えられるのは、Web サーバーにて HTTP 通信を受け付けたら、HTTPS に永続的リダイレクトをすることです。Apache なら以下のような設定になるでしょう。 <VirtualHost *:80> ServerName www.cybozu.com Redirect permanent / https://www.c
GoogleアカウントにログインしていないユーザーにもSSL検索が強制適用、(not provided)が100%になる日は近い!?
[対象: 全員] Googleは、Googleアカウントのログイン状態にかかわらず、すべてのGoogle検索をHTTPSでの接続つまりSSL検索を利用するように仕様を変更しました。 すでに実施済みです。 僕たちにとってこれが何を意味するかというと、Google検索からのトラフィックの検索キーワードを取得することが不可能になります。 Googleアナリティクスでいうと、「(not provided)」だけになってしまいます。 HTTPSへ強制的にリダイレクト Googleアカウントからログオフした状態で、http://www.google.co.jp/ のように http:// で始まるURLでGoogle検索にアクセスしても、 https:// で始まるURLに強制的にリダイレクトされます。 FirefoxやChromeでは、ブラウザが内蔵しているGoogle検索ツールやアドレスバーからG
Archived MSDN and TechNet Blogs
If you were looking for MSDN or TechNet blogs, please know that MSDN and TechNet blog sites have been retired, and blog content has been migrated and archived here. How to use this site Archived blogs are grouped alphabetically by the initial letter of the blog name. Select the initial letter from the TOC to see the full list of the blogs. You can also type the name of the blog or the title of the
[改訂版] iPhoneアプリのSSL接続をパケットキャプチャする方法 | [ bROOM.LOG ! ]
はじめまして。この度このページの情報を参考にiPhoneでパケットキャプチャをやらせていただいたにゃんこと申します。 掲載されていた情報通りに進めると、何点か不明点があったので、役立つか？当たり前なのか？分かりませんが補足させていただきます。 ①まず使用するburpsuiteですが、バージョンによってインターフェイスが異なっています。 Ver1.1なら記載されている通り『[proxy]タブ – [option] → 「loopback only」がチェックされているのでこれを外します。』であっています。 Ver1.5（2013/5/12）では[proxy]タブ – [option] には、「loopback only」という項目がありません。 この場合は、みうさんのコメントにある通り（以下転記）になります。 >>Burp suiteでの設定ですが、Proxy→Optionsと辿り、Prox
![[改訂版] iPhoneアプリのSSL接続をパケットキャプチャする方法 | [ bROOM.LOG ! ]](https://cdn-ak-scissors.b.st-hatena.com/image/square/aade9e21ce05ad2ed7895ccdfb10acc358475d21/height=288;version=1;width=512/https%3A%2F%2Fblog.rocaz.net%2Fuploads%2F2011%2F02%2FiPhoneApp_Capture2.png)
InfoQ: HTTPSコネクションの最初の数ミリ秒
ほとんどの人がHTTPSとSSL (Secure Sockets Layer) を結びつけて考えます。SSLは1990年代半ばにNetscape社が開発した仕組みですが、今ではこの事実はあまり正確でないかもしれません。Netscape社が市場のシェアを失うにしたがって、SSLのメンテナンスはインターネット技術タスクフォース(IETF)へ移管されました。Netscape社から移管されて以降の初めてバージョンはTransport Layer Security (TLS)1.0と名付けられ、1999年1月にリリースされました。TLSが使われだして10年も経っているので、純粋な"SSL"のトラフィックを見ることはほとんどありません。 Client Hello TLSはすべてのトラフィックを異なるタイプの"レコード"で包みます。ブラウザが出す先頭のバイト値は16進数表記で0x16 = 22。 これは
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
httpsだからというだけで安全？調べたら怖くなってきたSSLの話!？ - Qiita
TechCrunch | Startup and Technology News