HTTPSは安全なのか？ - Qiita
いきなり追記 2024-01-09 この記事にはまともな結論がありませんし論点も定まっていません この記事には批判が多いので、こちらの素敵な記事をぜひお読みください。 Free Wi-Fi(00000JAPAN)は安全なのか？ コメントで不愉快とされたところを削除しました。 徳丸さんのツイート 猫の写真 素人というエクスキューズ （編集履歴はqiitaの機能で見れると思います） 信頼できるサービスであれば Free Wi-Fi に限らず被害に遭う可能性はとても低いと思います。気にせず使ってください。 気分を害された方にお詫び申し上げます。 ここから元記事 お正月休みは卒業した大学の記事を書く予定でしたが、ちまたで話題の「httpsなら安全」について攻撃的なツイートを散見どころかめっちゃ見たのでこの記事を書いています。httpsを盲信されるならまだしも、無知の斧で攻撃を振るう方に悲しみを覚え
接種証明アプリの通信内容が見えてしまう？ デジ庁「他人からは見えず問題ない」
デジタル庁が12月20日に公開した「新型コロナワクチン接種証明書アプリ」で、通信内容のデータが見られてしまうというツイートが話題になった。投稿者は該当ツイートを削除しているが、同庁はツイートについて把握しており、触れられている内容については「問題ない」との認識を示した。 投稿の内容は、同アプリの通信解析を試みたユーザーによる「アプリがサーバ証明書を確認せずに情報送信しているから、SSLインスペクション（暗号化通信の復号）で送受信データが読めてしまう」というもの。しかし、このツイートに対し「ピンニングをしていないだけでは」との指摘が相次いだ。 ピンニングとは、特定の証明書のみに限定して通信するもので、一時期はセキュリティに対して効果があるとされていたが、近年では別のリスク面からピンニングしないケースも多いようだ。同アプリはピンニングせずに通信しているが、アプリの送信データ自体は暗号化されてい
CA/ブラウザーフォーラム（CA/Browser Forum）
Webサイトに使われる電子証明書の認証事業者（CA）とWebブラウザーベンダーで構成する会員制の任意団体。現在は各国のCA53団体と、米グーグルや米マイクロソフト、米モジラ、米アップルなどの主要ブラウザーベンダーが会員だ。
カザフスタンの音楽検索サイト、政府による通信傍受を受けてHTTPSを捨てる | p2ptk[.]org
カザフスタンの音楽検索サイト、政府による通信傍受を受けてHTTPSを捨てる投稿者: heatwave_p2p 投稿日: 2019/8/24 TorrentFreakおよそ9年にわたって運営を続けてきた音楽検索エンジン「Slider.kz」が、サイトのシステム変更について非常に珍しい理由を説明している。運営者によると、同サイトがホストされているカザフスタンの法改正により、同国政府がHTTPSトラフィックを傍受するようになったためだという。 この数年、多数の「海賊版」サイトが様々な理由で活動を停止している。 権利者からの圧力に耐えかねてというのが最も一般的だが、それ以外にもホスティングやドメインの問題、時間やリソースの不足などが理由に挙げられることが多い。 だが、Slider.kzは、これまで聞いたことのないような理由を説明している。 Slider.kzは2010年に誕生し、9年間にわたって運
![カザフスタンの音楽検索サイト、政府による通信傍受を受けてHTTPSを捨てる | p2ptk[.]org](https://cdn-ak-scissors.b.st-hatena.com/image/square/e08090b831e6b31df88279360e30a668f34ad5ef/height=288;version=1;width=512/https%3A%2F%2Fp2ptk.org%2Fwp-content%2Fuploads%2F2019%2F08%2FKazakhstan_eye_h.jpg)
崩壊する「HTTPS神話」、鍵マークはもはや信頼の証しではない
個人情報を入力するWebサイトでは、Webブラウザーに鍵マーク（錠マーク）が表示されているのを確認する――。セキュリティーのセオリーとして、筆者が何度も記事に書いたフレーズだ。 だが、「鍵マークが表示されていれば安全」というHTTPSの神話は崩壊した。常識が変わったのだ。 米国の政府組織であるインターネット犯罪苦情センター（IC3）は2019年6月、「Webブラウザーのアドレスバーに、鍵のアイコンあるいは『https』という表示があるという理由だけでWebサイトを信頼しないでください」と注意を呼びかけた。
2つの公開鍵暗号(公開鍵暗号の基礎知識) - Qiita
はじめに TLS/SSLをはじめとして、様々な場面で公開鍵暗号が重要な役割を果たしているのは良く知られていることと思います。 ここで公開鍵暗号が何かというと、「かたやデータを公開鍵で暗号化して、かたや秘密鍵で復号する。他人にはデータの内容が漏れない」という説明が一般的です。 そうすると大抵の人は「TLS/SSL、公開鍵で暗号化して秘密鍵で復号するのね」と2つの情報を組み合わせ、それで納得してしまうわけですが、実は今日これは大体において誤り1です。 この誤りはいまやどうしようもなく広く流布していています。これは、適切な入門書がないことや、そもそも情報の検証を行う人が少ない ( そこまでする動機がない ) という理由によるわけですが、公開鍵暗号という言葉が2通りの意味で流通しているという面も大きいように思われます。 ということで、この2つの意味の違いに着目しつつ、基礎の整理を行いたいと思います
次世代Webカンファレンス 2019：HTTPSセッションが面白かった - ろば電子が詰まつてゐる
以前から気になっていた「次世代 Web カンファレンス 2019」を、ようやく聴きに行くことができました。 たくさんのトークがありましたが、ここではHTTPS (hashtag: #nwc_https)をメモしておきます。なお、このセッションが間違いなく一番アツく、一番面白かったです! 当日の動画 https://www.youtube.com/watch?v=_8dCa8wj8QY togetter https://togetter.com/li/1268794 以下、当日参加した、もしくは動画を見たという前提でのメモなので、見てない人はぜひ見ましょう。 PKI 「低レイヤから行きましょう」ということで、はじめはPKI絡み。Symantecのdistrustと、日本のGPKIの話でした。 トーク中に何度か出てきましたが、認証局(厳密にはCAとRAを分けて書くべきですが、どうせみんな一緒な
J-STAGEがFirefoxでのアクセスを遮断、日本の電子ジャーナルが世界から不可視となった日｜Guest｜note
科学技術振興機構（以下JST）の運営する「J-STAGE」は、国立情報学研究所が運営する「CiNii」と双璧を成す、日本の電子ジャーナルプラットフォームである。それが2018年12月12日、Firefoxからのアクセスが不可能となった。 試しにFirefox 64でアクセスしてみたところ、確かにページ読み込みエラーとなり、コンテンツを表示することができなかった。サーバ証明書のエラーではないため例外を許可して続行することもできない。完全にFirefoxでのアクセスが遮断された格好だ。 翌日13日になってTwitterで原因の考察が始まり、J-STAGEの対応する暗号スイートに問題があることが判明する。 原因はJ-STAGEのTLS仕様違反J-STAGEはセキュリティ強化のため、2018年12月12日にTLS 1.2への切替とTLS 1.0/1.1の無効化を行うことを予告していた。これが影響し
「TLS 1.3」正式リリース、Firefoxなど主要ブラウザが対応
FirefoxやGoogle ChromeなどのWebブラウザは、既にTLS 1.3のドラフト版に対応しており、Mozillaは10月にリリースされる「Firefox 63」で、今回公開された正式版に対応予定。 米Mozilla Foundationは8月13日、インターネット通信暗号化規格の最新バージョンとなる「TLS 1.3」が正式リリースされたことを受け、Webブラウザ「Firefox」での対応状況を説明した。 TLS（Transport Layer Security）は、インターネットを介したクライアントとサーバ間の通信の傍受や改ざんを防ぐためのHTTPS接続に使われているプロトコルで、標準化団体のIETF（Internet Engineering Task Force）が8月10日、バージョン1.3の正式版リリースを発表していた。 Mozillaによると、TLS 1.3では1.2
Hiromitsu Takagi on Twitter: "はあ？ 別に問題ない。森永乳業が https://t.co/Lmc6vOP3n5 ドメインを推していくのならEV証明書買わずともDV証明書で何ら問題ない。（OVは無意味。） https://t.co/kI9FvnqzeZ"
はあ？ 別に問題ない。森永乳業が https://t.co/Lmc6vOP3n5 ドメインを推していくのならEV証明書買わずともDV証明書で何ら問題ない。（OVは無意味。） https://t.co/kI9FvnqzeZ
上原 哲太郎/Tetsu. Uehara on Twitter: "うわー！証明書がLet‘s Encrypt！東証一部上場企業のサイトとしては衝撃的やな…この会社の情シスのレベルとか、この会社がサイバーでの信用というものをどう考えているかとか、色々考えさせられるわ… https://t.co/9UMVfA6BUl"
うわー！証明書がLet‘s Encrypt！東証一部上場企業のサイトとしては衝撃的やな…この会社の情シスのレベルとか、この会社がサイバーでの信用というものをどう考えているかとか、色々考えさせられるわ… https://t.co/9UMVfA6BUl
〔三菱ＵＦＪダイレクト〕海外利用についてのサービス改定 | 三菱ＵＦＪ銀行
【2018年7月17日（火）以降】 「グローバルダイレクト」をお申込いただけるお客さま 以下のとおり、グローバルダイレクトをお申込いただけるお客さまの対象を拡大します。 ご本人確認方法 「確認番号表（乱数表）」による本人確認を廃止し、ワンタイムパスワードカードによる本人確認へ移行します。 ※すでに「グローバルダイレクト」をご契約済かつ、確認番号表（乱数表）にて振込等をご利用いただいている方は、2018年7月17日（火）以降も確認番号表（乱数表）をご利用いただきます。 グローバルダイレクトとは ワンタイムパスワードとは ご留意点 2018年7月17日（火）以降も、ワンタイムパスワードは米国輸出関連法令等により、従前通り以下の国・地域ではご利用いただけません。 【対象国・地域】 イラン、スーダン共和国、キューバ、北朝鮮、シリア、クリミア地域 （2018年2月末時点） 確認番号表（乱数表）終了に
Let's encryptとSSL/TLSに関する誤謬 - Chienomi
全く以て意味不明な誤謬がはびこっていた上に、やたら上から目線だったので、消火しておこうと思う。 そもそもSSL, TLSとは何か SSL/TLSは暗号化技術である。 SSL/TLSのデータ通信自体は対称暗号である。ただし、暗号化に利用する暗号鍵は使い捨てる。 Cipherはかなり色々使えるのだけど、だいたいはTriple DES (3DES)かAESが使われる。 その手順は <- HelloRequest -> ClientHello <- ServerHello <- ServerCertificate <- ServerKeyExchange <- ServerHelloDone -> ClientKeyExchange -> Finished -> ChangeCipherSpec <- Finished <- ChangeChiperSpec <-> Application Dat
自堕落な技術者の日記 : 最近の証明書の話題(1) 韓国政府PKIのマズいワイルドカード証明書発行 - livedoor Blog（ブログ）
どうも、証明書ハンターです。最近、個人的におもしろい証明書の話題がポンポン出てきたので、何回かに分けてご紹介したいと思います。 山賀さんのFacebookのフィードを見ていたら、 韓国政府PKIでまずい証明書を発行したというニュース(Google翻訳で読んでくださいw)を教えていただきまして、ハンターとしてはゲットしてコレクションに加えておきたいところ。 その問題というのは、韓国政府PKIが慶尚南道教育庁に不適切なワイルドカードSSLサーバー証明書を発行してしまったというもの。 慶尚南道は韓国の南東、釜山のすぐ北にあるのだそうです。 韓国のサイトは日本と同じでセカンドレベルを組織種別とする属性型ドメイン名を採用していて、政府系ドメインは「go.kr」のようになっていますが、以下のドメインに対してワイルドカードSSLサーバー証明書を発行してしまいました。 *.hs.kr - 高校 *.ms.
「HTTPSで暗号化されているから安全！」とまだ信じているあなたへ
「HTTPSで暗号化されているから安全！」とまだ信じているあなたへ：ここがヘンだよ、セキュリティの常識 かつてこの世は、闇によって支配されていました。人々は常に、IDやパスワードを掠め取る悪の化身「フィッシング」の恐怖におびえながら暮らしていたのです。そんな世界にさっそうと現れたのが、額に鍵マークを宿した正義の戦士「エッチ・テーテーピー・エス（HTTPS）」でした。敢然と悪と戦うエッチ・テーテーピー・エスは、徐々に闇を駆逐して世界に光を取り戻し、やがてこの世は再び平和を取り戻したとさ。めでたしめでたし。 しかしエッチテーテーピーエスって、名前が長ったらしいね。何とか短く略せないのかね、「ハットゥプゥスッ！」みたいな感じに……逆に読みにくいか。 ともあれ、かつてはこんな“夢物語”が現実に信じられていた時代もありました。この世のサイトが全て常時SSL化されれば、フィッシングをはじめ、さまざまな
小悪魔女子大生のサーバエンジニア日記 » Blog Archive » Baseline Requirementとは？
09.05.12 / 未分類 / Author: aico 2011年に偽造証明書が発行されるという事件がありました。 発行されてしまったのはComodo社とDigiNotar社の偽造証明書。 Comodo社のケースではGmailやskypeなどの偽造証明書が、 DigiNotar社のケースではなんと531件の偽造証明書が発行されてしまい、 DigiNotar社は事業継続が困難になり倒産に追い込まれてしまいました。 どうしてそのような事件が起きてしまったのでしょう？ まずComodo社のケースから見てみましょう。 認証局(CA)は、 申請者の情報を確認し発行する前の審査を行う登録局(RA)と 審査の結果を受けて証明書発行のみ行う発行局(IA)に分かれます。 1つの認証局が両方を行う場合もありますが、 Comodo社では事件の起きた2011年時点では登録局の業務を外部に委託しており、 Com
Firefoxが政府認証基盤のルート証明書を認めず、「ユーザーのセキュリティを害する」
Webブラウザー「Firefox」を開発する米モジラ（Mozilla）は2018年2月末までに、日本の政府認証基盤（GPKI）が提出していたルート証明書のプレインストールの申請を認めない決定を下した。
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
「Google Chrome」は独自のルートストアへ ～「Chrome Root Program」の開始が発表／Windows/Macの「Chrome 105」よりロールアウト
サイバートラスト DigiCert 証明書サイト
Microsoft Trusted Root Certificate Program: Audit Requirements for Certificate Authorities | Microsoft Docs