“HTTPSレコード”って知ってる？今知るべき4つの注意点 | IIJ Engineers Blog
[注] この記事はすぐに陳腐化するはずの内容について扱っています。何年か経ってからこの記事を参照する場合、2022年3月に書かれた内容であることを留意の上お読みください。 はじめに IIJ DNSプラットフォームサービスにて、先日大きなアップデートと小さなアップデートがありました。大きなアップデートというのは、これまでのマネージドDNSサービスに加えてもうひとつ、IIJ DNSトラフィックマネージメントサービスという新たなサービスが追加されたこと。サーバの死活監視結果に応じて動的にDNSの応答を変えることができます。小さなアップデートは、従来のマネージドDNSサービスへの機能追加。HTTPSレコードに対応しました。 サービスの宣伝という意味では大きなアップデートの方を紹介した方がいいんでしょうけれど、ヘソ曲がりなのでここでは小さなアップデート、HTTPSレコードの方に焦点をあてます。 そも
Let's EncryptのルートCA期限切れで OpenSSL 1.0.2が思わぬ事故を起こす件
これは、Let's Encryptを支えるこの二人のルートCAと OpenSSLの物語である。 DST Root CA X3 (2000-2021) ISRG Root X1 (2015-2035) 〜2021年1月〜 ISRG Root X1「いままで一緒にやってきたDST Root CA X3さんの寿命が間近・・・このままだと僕を信頼してくれていないベテランの（具体的にいうと2016年くらいまでの）古いクライアントたちは Let's Encryptさんを信用してくれなくなっちゃう・・・どうしよう」 DST Root CA X3「どれ、わしが死ぬ前に(有効期限が切れる前に)お前が信頼に値する旨を一筆書いて残せばいいじゃろう。サラサラ」 Issuer: O = Digital Signature Trust Co., CN = DST Root CA X3 Validity Not Bef
9月末でLet's Encryptルート証明書が期限切れ、古い製品は要注意
人気の高いSSL証明書認証局であるLet's Encryptが使っているルート証明書の有効期限が近づいている。「IdentTrust DST Root CA X3」で認識されるこのルート証明書の有効期限は2021年9月30日、つまり今月いっぱいまでだ。古いルート証明書から新しいルート証明書への移行は完全に透過的だが、実際には過去に問題が発生している。特に古いソフトウェアを使っている場合は注意が必要だ。 IdentTrust DST Root CA X3 セキュリティ研究者であるScott Helme氏は9月21日(英国時間)、「Let's Encrypt's Root Certificate is expiring!」において、今月末でLet's Encryptが使用しているルート証明書が有効期限を迎えることを指摘するとともに、過去の事例などを引き合いにしてどのような問題発生が懸念されるか
ピクシブにおけるBeyondCorp Remote Accessの活用事例 - pixiv inside
概要 こんにちは、インフラ部のkoboです。 感染症の流行を受けて、ピクシブでは2020年春から自宅でも仕事ができる体制を継続しています。 その少し前から、ピクシブでは社内サービスへのVPNレスなアクセスを可能にするための堅牢なSSOプロキシの導入を進めていました。それはGoogleがBeyondCorp Remote Accessと呼んでいる仕組みです。ピクシブでは今もオンプレミスで動作する社内システムが多く存在していますが、これのおかげでほとんどの業務をVPNを使用することなく自宅でこなすことができています。 本記事では、BeyondCorp Remote Accessの概要と、ピクシブでの運用事例について紹介します。 BeyondCorp Remote Accessとは BeyondCorp Remote Accessとは、GCPのIdentity Aware Proxy (IAP)
2021年にLet’s Encryptのルート証明書が変更！影響や備えておくべきこととは？ | さくらのSSL
Let’s Encryptのルート証明書とは？ Let's Encryptを運営している非営利団体のISRG（Internet Security Research Group）は2014年に設立された新しい認証局です。もちろん、当時は設立されたばかりなのでISRGのルート証明書は様々な端末にインストールされていませんでした。そのため、別の認証局であるIden Trustが2000年に発行した「DST Root X3」というルート証明書を利用し、クロス署名された中間CA証明書を現在も利用しています。 この間（2014年～現在まで）ISRGは何をしていたかというと、各OS（Windows、Mac、Android等）やMozilla（Firefoxブラウザの開発元）に対して、自社のルート証明書である「ISRG Root X1」をインストールしてもらうようにお願いをして、徐々にインストール済み端末
話題にならないけど一大事!? 無料でHTTPSが利用できる「Let’s Encrypt」で問題発生の可能性浮上 « ハーバー・ビジネス・オンライン
割りと大きな問題なのだが、世間ではあまり話題にならないことがある。今回は、そんな Let’s Encrypt の問題について書く。 ネットを昔から利用している人は気づいているかもしれないが、普段見ているWebページのURLの多くが、いつのまにか http から https に変わった。 まず、http だが、HyperText Transfer Protocol（ハイパーテキストの転送通信規約）の略である。ハイパーテキストとは、ざっくりと言うとWebページのようなリンクを持った文書だ。http でデータをやり取りしますよ、というのが http で始まるURLだ。 HTTPS は、Hypertext Transfer Protocol Secure の略である。HTTP に Secure（安全）が加わったものだ。HTTPS は、HTTP をより安全にするために登場した。HTTPS は、通信内
2020年9月よりAppleがSSL証明書の有効期間を13か月に短縮！詳細や対策とは？ | さくらのSSL
今後Safariで起きること Safariとは、Appleで開発されているWebブラウザであり、パソコンであるMacの他にiPhoneやiPad、Apple TV、Apple Watchなどの端末に標準で搭載されています。 このSafariにおいて、2020年9月1日以降に発行された「有効期間が399日以上」のSSLサーバー証明書（以下、SSL証明書）が信頼されないことになります。 具体的なエラー画面の仕様などは明らかにされていませんが、Appleの発表に「This might cause network and app failures and prevent websites from loading.」と書かれていることから、失効したSSL証明書を利用しているサイトにアクセスした時のように、全画面でエラーが表示されてサイトへはアクセスできなくなってしまうことが考えられます。 購入済み
無料でOpenSSLに関する実務的な手順や解説が参照できる「OpenSSLクックブック」が配布中
インターネット社会において通信の暗号化は不可欠です。オープンソースで開発・提供されているSSL・TSLプロトコルのソフトウェア「OpenSSL」は通信を暗号化するために用いられるライブラリで、ほぼすべてのUnix系やWindowsのプラットフォームで利用可能。WEBブラウザの通信で使われる「HTTPS」通信もOpenSSLで動作しているなど、非常に広範囲で使用されている暗号化ライブラリです。そんなOpenSSLを学びたい人に最適な技術書「OpenSSLクックブック」が、プログラミング言語等IT関連の専門知識に関する技術書を出版しているラムダノートから2018年2月6日より無償配布されています。 『OpenSSLクックブック』提供開始のお知らせ - 技術書出版と販売のラムダノート https://www.lambdanote.com/blogs/news/openssl-cookbook 「
pixivを常時HTTPS化するまでの道のり（後編） - pixiv inside
ピクシブ株式会社で開発基盤チームとして働いている @catatsuy です。 前編ではpixivを常時HTTPS化する前にやった前準備として、広告、画像といったリソースをHTTPSに切り替える際の手順を紹介しました。 pixivを常時HTTPS化するまでの道のり（前編） - pixiv inside 後編では実際にpixivのアプリケーション自体を常時HTTPS化していく手順を紹介します。 従来のHTTPS配信 pixivはPHPアプリケーションを実行するアプリケーションサーバー(Apache/mod_php)の前段にnginxを配置する構成になっています。以前からセキュリティ的に重要なページはHTTPSで提供しており、nginxでHTTPS終端処理を行っていました。HTTPSで応答する場合はアプリケーションサーバーにX-HTTPSヘッダーを付けてプロクシーしています。 具体的には以下のよ
突然「保護されていません」と警告が!?Chromeの新しい安全性表示
本記事には古い情報が含まれている可能性があります。 2019年9月以降、各ブラウザのEV証明書のアドレスバー表示は変更されており、 本記事に掲載されている表示とは異なっている場合がありますので、ご注意ください。 ＜追記：2017年8月23日＞ 2017年8月中旬、Googleから「Chromeのセキュリティ警告を表示します」という内容のメールが、Webサイト運営者に送信されています。 届いた方は、警告の内容に関する記事と、実際の対処方法を解説した記事がありますので、参考にしてみてください。 サイト内検索にも警告が?Chromeが10月にさらにセキュリティ強化 常時SSL対応の準備～作業～仕上げまでの流れを把握する実践編 『今やるから他と差がつく! HTTPS(常時SSL)は最新のSEO対策』の記事にあるとおり、2017年1月リリース予定の「Google Chrome 56」から、アドレスバ
Let's EncryptのDNS-01を使用して無料のSSL証明書をWebサーバなしで取得する -- ぺけみさお
サマリDNSによる認証(DNS-01)でドメインを認証し、Let’s EncryptからSSL証明書を取得することができたので、メモとしてまとめます。クライアントはサードパーティ製のletsencrypt.shを使用します。DNSで認証するには、ドメインに認証専用のサブドメインを追加し、サブドメインに対してTXTレコードを設定できる必要があります。HTTPによる認証ではないため、Webサーバは必要ありません。このためHTTPによる認証と比較してとても簡単に証明書を取得できます。HTTPによる認証と手間なところ無料でDVのSSL証明書を取得できるLet’s Encryptが話題です。 Let’s Encryptで証明書の取得を行う場合、HTTPを使用してドメインを認証を方法(HTTP-01)が紹介されることが多いようです。 この方法でドメインを認証する仕組みは、ざっくり説明すると以下のとおり
Let's Encrypt
WebサイトのHTTPS対応が推奨されている昨今、無償かつ自動でSSL（TLS）証明書の発行や更新ができる「Let's Encrypt」が注目を集めている。Web系エンジニアを主な対象として、その仕組みやメリット、デメリットを解説。 連載目次 「Let's Encrypt」とは、SSL（TLS）に利用できるサーバ証明書を無償で発行している認証局またはサービスのこと。2016年4月から正式なサービスを開始した。MozillaやAkamai、Cisco Systemsなどが支援しているISRG（Internet Security Research Group）という団体が運営している。ソフトウェアツールによって証明書の更新などの作業を自動化できる点も特長として挙げられる。 SSLの普及を妨げている2つの要因 現在、プライバシー保護やセキュリティ強化の一環として、クライアントとWebサイトやメー
無料で証明書を発行してHTTPSの導入をサポートする「Let’s Encrypt」がベータ版から正式版に
By Sean MacEntee SSLを用いたHTTP通信の暗号化を誰でも手軽に行えるようにするために立ち上がったのがEFF、Mozilla、Cisco Systems、Akamai Technologies、IdenTrust、ミシガン大学の研究者などで、これらのメンバーがHTTPS普及のためにスタートした取り組みが「Let's Encrypt」です。これまで手間がかかり金銭的な負担も大きいと言われてきたサーバー証明書の発行を無料で行えるようになるのですが、同取り組みはついにベータ版から正式版にサービスを移行しています。 Leaving Beta, New Sponsors - Let's Encrypt - Free SSL/TLS Certificates https://letsencrypt.org//2016/04/12/leaving-beta-new-sponsors.h
How to setup SSL certificate and SPDY on ubuntu nginx using «Let’s Encrypt» | AnotherGuru
You might say «Why do we need to do that at all?» Good question! All passwords and credit cards data entered by users on your websites can be exposed to a third party so it would be wise to encrypt your connection using ssl certificate. Nowadays it is good practice to use SPDY (speedy) protocol which is an extension to HTTPS protocol and removes the limit of 6 concurrent connection from one browse
AWS Certificate Managerで無料SSL - Qiita
Amazonが、Certificate Managerを発表しました。 公式 AWS Certificate Manager 何ができるの？ AWSで使用するためのドメイン認証(DV)するSSL証明書を無料で作成できます。 ワイルドカードも、複数ホスト指定もいけます。さらに、自動で更新されます！！ メインサーバはEV証明書とか欲しいですが、ただ暗号化するだけならこれで十分そうですね。 テストサーバや、デモ用サーバも無料で暗号化できるので、SSLにしないのはエンジニアの怠慢になりますね。 既存の証明書をインポート すでに証明書を取得している場合には、インポートすることも可能です。 http://docs.aws.amazon.com/acm/latest/userguide/import-certificate.html 現状対応しているもの CloudFront S3でStatic Web
光の速さのWEBサーバー(nginx)をlet's encryptでSSL化及びHTTP/2化。ついでにセキュリティ評価をA＋にする。 - Qiita
光の速さのWEBサーバー(nginx)をlet's encryptでSSL化及びHTTP/2化。ついでにセキュリティ評価をA＋にする。nginxCentOSSSLTLSLet’sEncrypt 前回のおさらい インフラ さくらのVPS(v4) SSD 1G CentOS7.2 (OS) ミドルウェア nginx 1.8.0 php7.0-fpm (アプリケーション） MariaDB(SQL) 5.5.44 フロントエンド Wordpress 4.4.1 前回の記事の通り、Ansibleであっという間に以上の構成のwebサーバーを組むことができました。今回の記事ではこれらを無料で証明書を発行するwebサービス、let's encryptを使ってSSL/TLS化しちゃいます。そして、ついでにSSLの評価計測サイトであるQualys SSL Reportのセキュリティ評価でA＋をもらっちゃいます
ApacheやNginxのSSL関連のおすすめ設定を生成する便利サイト - cakephperの日記(CakePHP, Laravel, PHP)
ApacheやNginxとopensslのバージョンを指定するとおすすめの暗号スイートなど、SSL設定ファイルを表示してくれるMozillaのサイトがあります。 https://mozilla.github.io/server-side-tls/ssl-config-generator/ これを使えば安全な暗号スイートのみを使ってる設定などが簡単に生成されますので、この通りに指定すれば良いです。 Apacheの場合はデフォルトでは暗号スイート設定の記述はなかったと思いますが、下記の3つは表示通りに指定しておくのが良いかと思います。 SSLProtocol SSLCipherSuite SSLHonorCipherOrder Oldを選択すると、古いブラウザにも対応してる暗号スイートを含めます。ただ暗号強度が弱いものが含まれるためサイトのアクセス傾向をみて古いブラウザのアクセスが無いのであれ
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
Engadget | Technology News & Reviews
AP
メール鯖 SSL化 - 支援会