【Paloalto】SSL復号化（SSL Forward Proxy）の設定と動作確認 PANOS 10.0.8
設定前の準備 まず、SSL復号化ができているかどうかを確認するため、トラフィックログのフォーマットを変更します。 Monitor > ログ > トラフィックへ移動し、左上にカーソルを当てると、下矢印が表示されるので、クリックします。すると、カラムという文字が表示されますので、復号化にチェックを入れます。 以下のように、復号化のカラムが追加されます。先頭に配置されますので、ドラッグにより好きなところに配置してください。今回は復号化のテストに使用するので、先頭に配置します。 端末からGoogle、Twitter、Youtubeへアクセスしてみます。復号化されていない（no）であることが確認できます。 自己署名ルートCA証明書（Self-Signed Root CA Certificate）作成 今回は、エンタープライズCAによって署名された証明書ではなく、Paloaltoが自己署名した証明書を
Palo Alto SSL Decryption - ネットワークエンジニアの備忘録
最近ではSSL Decryption(復号)機能は殆どのUTM/Proxy製品が対応していると思います。Palo Altoの場合、SSL Decryptionに3種類の方式があるため、要件に応じて使い分ける必要があります。 (1) SSL Forward Proxy 一般的なSSL Decryption機能であり、ClientからServer向けのSSL通信上にProxyとして存在します。サーバ証明書をPalo Altoが再署名(発行元、RootCAとして署名）するため、クライアントのWebブラウザにPalo Altoの証明書をインポートしなければなりません。また、TAPモードでは使用出来ません。 ＃公的証明書をインストールすればクライアントのWebブラウザにインストールしなくてもよいとマニュアルには書いてあるんですが出来ないらしい、、Palo自体に証明書自体入りませんでした。 (2)SS
図解 X.509 証明書 - Qiita
はじめに X.509 証明書について解説します。(English version is here → "Illustrated X.509 Certificate") ※ この記事は 2020 年 7 月 1 日にオンラインで開催された Authlete 社主催の『OAuth/OIDC 勉強会【クライアント認証編】』の一部を文書化したものです。勉強会の動画は公開しており、X.509 証明書については『#4 X.509 証明書（１）』と『#5 X.509 証明書（２）』で解説しているので、動画解説のほうがお好みであればそちらをご参照ください。 1. デジタル署名（前提知識） この記事を読んでいただくにあたり、デジタル署名に関する知識が必要となります。つまり、「秘密鍵を用いて生成された署名を公開鍵で検証することにより」、「対象データが改竄されていないこと」や「秘密鍵の保持者が確かに署名したこと
Google Chrome で自組織のCAで署名したSSL証明書のサイトにアクセスすると NET::ERR_CERT_COMMON_NAME_INVALID エラーメッセージが表示される - Windows Tips
Google Chrome で自組織のCAで署名したSSL証明書のサイトにアクセスすると NET::ERR_CERT_COMMON_NAME_INVALID エラーメッセージが表示される (Windows Tips) Google Chrome で自組織のCAで署名したSSL証明書のサイトにアクセスすると NET::ERR_CERT_COMMON_NAME_INVALID エラーメッセージが表示される現象について紹介します。 現象の確認 自組織のCAで署名したSSL証明書を利用したWebサイトを作成します。作成したWebサイトにMicrosoft Edgeでアクセスします。Webページが表示されます。 Internet Explorer でアクセスします。こちらも問題なくページが表示されます。 しかし、Google Chromeでアクセスするとエラーになり、下図の画面が表示されます。"NE
SSL Certificate Checker - Diagnostic Tool | DigiCert.com
If you are having a problem with your SSL certificate installation, please enter the name of your server. Our installation diagnostics tool will help you locate the problem and verify your SSL Certificate installation.
SSL/TLSアプライアンス製品の暗号設定方法等の調査報告書 | アーカイブ | IPA 独立行政法人 情報処理推進機構
本ページの情報は2019年4月時点のものです。 2015年5月、独立行政法人情報処理推進機構（以下、「IPA」という。）では、暗号技術評価プロジェクトCRYPTREC の活動を通じ、オンラインショッピング、インターネットバンキング、ネットトレードなどのサービスで使用するSSL (Secure Socket Layer) /TLS (Transport Layer Security) プロトコルの適正な利用促進を目的として、SSL/TLSサーバの構築者や運営者が適切なセキュリティを考慮した暗号設定ができるようにするため、SSL/TLS暗号設定ガイドライン （以下「設定ガイドライン」という。）を公開しました。 その後、一般に販売されているSSL/TLSを利用するアプライアンス製品（以下、SSL/TLSアプライアンス製品という）の設定方法等への要望が多数寄せられたため、SSL/TLSに関してどの
マンションのLAN内のゲートウェイが中間者攻撃してくるお話 - Qiita
来歴 私は去年、とある賃貸マンションへ入居した。 インターネットは無料で利用可能、壁の端子にLANケーブルを挿すだけ。 ただ、この物件のインターネット回線がおかしい。1日に1回くらい、Webサイトを閲覧しようとしたときに、マンションの管理会社のホームページへリダイレクトされる現象が起きる。 イメージとしてはこんな感じ。 東京の天気が表示されるべきなのに、入居者用Webページのログイン画面へリダイレクトされる。 腹が立ったので今年の5月くらいに現象を調べ、原因がわかったことで満足していたが、重い腰を上げて結果を以下の記事にして公開する。改めてGoogle先生に聞いたら、同じことで悩んでいる人がいた。 自動リダイレクトの回避方法について。 http://detail.chiebukuro.yahoo.co.jp/qa/question_detail/q10165027165 なお、後述の図には
sslh でport443 を有効活用して、sshもhttpsも同時に待ち受けする。 - それマグで！
443ポート以外が絶滅しそうです あちこちでポートは閉じられています。ssh や sftp もプロキシ利用も、各種ポートでは、全く外部に出れず、接続できないネットワークが多いです。 TCP/IPなのにIPとポートを使った通信ができない、壊れたネットワークが当然になりました。 これらの接続制限にとても不便を感じることが多いです。 サーバー管理者の気分一つでポートが空いたり閉じたり、私が触ってたネットワークではポリシーが統一されず、クソネットワーク管理者に振り回されて、動くはずのものが動かず、不便なことが多かったのです。そこで仕方なく４４３を使っています。 私達が利用する端末では80/443 のポートの外部接続が閉じられることは少なく、443であれば通信できます。 そのため、443ポートに様々なアプリケーションを起動していると思います。 443 ポートとIPアドレスが枯渇する・・・ よほどのG
HTTPSにまつわる怪しい伝説を検証する - Google I/O 2016のセッションから - Qiita
今年はGoogle I/Oに初めて社員ではない立場で参加しました。全体の感想は Google I/O 2016まとめ（Web的視点） で公開していますが、今回はその中で、気に入ったセッションの1つである"Mythbusting HTTPS: Squashing security’s urban legends"について書いてみたいと思います。 セッションは大変良くまとまっていますので、YouTubeにあがっている動画を見れる人は動画を見て貰えれば良いのですが、時間が無いという人のために、その内容をまとめました。基本的には文字起こしに近いものです。 重要だとわかっているけど、なかなか導入に踏み切れない人も多いHTTPS。これについて、最新の状況が理解できるコンテンツとしてお役に立てるならば嬉しいです。 TL;DR HTTPSはPWAppなどWebにとって必須。 しかし、パフォーマンス悪化する
Consulを利用したTLSセッションチケットの自動更新 | メルカリエンジニアリング
Site Reliability Engineering Team（通称SRE）の@cubicdaiyaです。最近チーム名が変わりました。 今回はConsulを利用して複数台のnginxサーバのTLSセッションチケットを自動更新する仕組みについて紹介します。 TLSセッションチケットは簡単に言うとTLSのセッション情報を暗号化してクライアント側に保存することで HTTPS通信時に行われるTLSハンドシェイクの手順を省略してネットワークレイテンシを削減するための仕組みです。(詳細については一番下の参考情報を御覧ください) 似たような仕組みとしてTLSセッションキャッシュがありますが、こちらはセッション情報をサーバ側に保存します。 HTTPS通信ではTCPのハンドシェイクに加えてTLSのハンドシェイクが必要になるのでHTTP通信よりもネットワークのレイテンシが大きくなりますが、 これらの仕組み
ベリサイン グローバルサーバID・セキュアサーバIDの見分け方 - foo bar
サーバに適用されている証明書が、グローバルサーバIDなのかセキュアサーバIDなのか見分ける必要があり、調べてみました。 マイクロソフトさんに見分け方が出ていました。 [HOWTO] VeriSign SGC が Web サイトで使用されているかどうかを識別する方法 HTTPS を使用してサイトに接続するときに SGC 証明書を識別するには、40 ビットのブラウザで接続し、南京錠アイコンをポイントして "128 ビット" と表示されるのを確認するか、または次の手順を実行します。 とあるのですが、もはやこのようなブラウザを用意することは困難です。(笑) 逆に、いまどきのブラウザ(Windows 2000 SP1以降のはず)はグローバルサーバIDで使われているステップアップ技術を用いずに最初から鍵長128bitで通信します。もはやグローバルサーバIDのステップアップ技術なし版であるセキュアサーバ
TLSの普及へサーバ証明書を無料発行、MozillaやCiscoが認証局を創設
「Let's Encrypt」のサービスでは誰でもワンクリックで簡単に自分のドメイン用のベーシックなサーバ証明書を入手して実装できるようにする。 インターネット上の通信を暗号化するTLSの普及を目指し、手軽に実装できるサーバ証明書を無料で発行する認証局（CA）の「Let's Encrypt」が、MozillaやCisco Systemsといった大手のバックアップで創設された。 TLSを利用するためには、通信相手のサーバが本物であることを認証するための証明書をサーバ運用者が取得する必要がある。しかしこうした証明書は一般的には有料で、正しくインストールするのが難しく、アップデートにも手間がかかるとLet's Encryptは指摘する。 こうした問題を解決するため、Let's Encryptのサービスでは誰でもワンクリックで簡単に自分のドメイン用のベーシックなサーバ証明書を入手して実装できるよう
証明書 「ほかの人」に保存された証明書を削除できない場合の対処法
証明書のインポート先を誤ったためか、「ほかの人」に保存された証明書が削除できない場合の対処法をメモ。 インターネット オプションからは削除できない模様 [インターネット オプション]→[コンテンツ]→[証明書]をクリック、「ほかの人」タブに保存された証明書を選択するも[削除]ボタンがグレーアウトしているため、クリック出来ません。 マイクロソフト 管理コンソール（mmc）から削除 [Win]+[R]→mmcを入力、実行 [ファイル]→[スナップインの追加と削除]をクリック [証明書]をダブルクリック→[ユーザー アカウント]を選択し[OK]ボタンをクリック [ほかの人]→[証明書]を選択し、証明書を削除 確認メッセージに同意し、[はい]ボタンをクリック
ITインフラ備忘録 Windows Server 2008
Active Directory 証明書サービス エンタープライズCA トラブルシューティング 証明書サービスというよりはどちらかというとクライアント側の問題追求例 ■失効関連 以下のエラーはWindows 7(非ドメイン環境)からリモートデスクトップ接続で ドメイン内のWindows Server 2008 R2サーバに接続しようとした時のエラー 失効状態の確認に問題があるとエラーが表示され接続を続行できない状態になった。 証明書の状態を確認するにはcertutilコマンドを使うと便利。 コマンドを実行する前に問題があったサーバ証明書をローカルに保存しておく。 まずは正常な例を確認しておく ドメインに参加しているWindows 7での実行例 # certutil -verify -urlfetch \\dc01\home\dc01.cer 発行者: CN=domain-DC01-CA D
細かすぎて伝わらないSSL/TLS
ヤフー株式会社は、2023年10月1日にLINEヤフー株式会社になりました。LINEヤフー株式会社の新しいブログはこちらです。LINEヤフー Tech Blog 「細かいと言うより長いよね」 はじめに こんにちは。ATS の脆弱性を発見した小柴さんや ATS に HTTP/2 の実装を行っている大久保さんと同じチームの一年目、匿名社員M さんからいじられている新人です。今回ありがたい事に、こういったすごい方々を含めモヒカン諸先輩方より「何か書かないの？」「いつ書くの？」という数々のプレッシャーお言葉をいただきました。 というわけで、SSL/TLS の Session 再開機能に関して書いていこうかと思います。 SSL/TLS は機密性、完全性そして真正性に対して安全な通信を行うための仕組みです。しかし、この仕組みは暗号技術を多用し特に接続において複雑なプロトコルを用い、Client, Se
SSLについて
SSLの概要 SSLとは、Secure Sockets Layerの略で、Webサーバとブラウザ間を安全に通信するため、Netscape社が提唱した通信手段（プロトコル）です。 SSLは、セッション層で、暗号化による機密性、認証による正当性、完全性を提供しています。 機能としては、データの暗号化通信、通信相手を特定するための認証、通信データの書き換えが行われていないか調べるメッセージ認証の3つがあります。 現在、Netscape NavigatorやInternet Exploreなどには、標準で実装されています。 ただ、HTTPプロトコルのみ対象しているのではないので、TELNET、FTP、NNTP、LDAPなど、他のプロトコルにも実装することも可能です。 SSLでWebデータを暗号化して転送する場合のURLは、https://www.server.name/ のようになります。 デフォ
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
【図解】httpプロキシサーバの仕組み(http GET/https CONNECTメソッド)や必要性・役割・メリットデメリット・DNSの名前解決の順序
SSL ハンドシェイクの裏側 証明書失効確認メカニズム SSL サーバ証明書が情報漏えいに強い理由 - Symantec
https://support.microsoft.com/ja-jp/help/290388
さよならSSL ～「安全な通信」標準が使用禁止になったわけ
