言いたいことはタイトルに書いたのですが、「『プロフェッショナルSSL/TLS』、良い本です」というのが結論の書評です。 『プロフェッショナルSSL/TLS』 – 技術書出版と販売のラムダノート 『プロフェッショナルSSL/TLS』に関しては前回のブログ記事で以下のように軽く触れていました。 業務でSSL証明書周りの作業をしていて、今まで穴だらけだったSSL/TLSの知識がむっちゃ足を引っ張っている現状だったので、以下の書籍を買いました。最近こんなことを勉強してます - プログラマ行進曲第二章 まだ1/4も読めていないですが、それでも十分仕事に活かせているので原著の作者と翻訳者とラムダノートさんありがとう、という気持ちです。 前職でSSL証明書を取得する必要があったときにネットのリソースだけでSSL/TLS周りを勉強しましたが、知りたいことを探していても古かったりして本当に正しいのか逐一調べ
こちらは改訂前の旧版のページです。改題第2版の商品ページをご覧ください Webセキュリティ解説の決定版 "Bulletproof SSL and TLS" の全訳（原書2017年版へのアップグレード済み） Ivan Ristić 著、齋藤孝道 監訳 520ページ B5判 ISBN：978-4-908686-00-9 電子書籍の形式：PDF 2020年7月4日 第1版第5刷 発行（原書2017年版アップグレード対応済み） 本サイトにてユーザ登録のうえ購入いただくと、原著改訂第2版に収録されるTLS 1.3の解説章を付録として含んだ特別版PDFがお読みいただけます 現代生活を支えるネットワークにとって、通信の暗号化は不可欠の機能です。しかし、実際のインターネットで暗号化通信を利用できるようにするには、暗号化アルゴリズムの知識だけでなく、セキュリティプロトコルとその実装技術、さらに、基盤となる信
I recently had to work on an Android application that consumed an API which removed support for TLS 1.0 connections for security reasons. The Android documentation for SSLSocket says that TLS 1.1 and TLS 1.2 is supported within android starting API level 16+ (Android 4.1, Jelly Bean). But it is by default disabled but starting with API level 20+ (Android 4.4 for watch, Kitkat Watch and Android 5.0
Google Chrome でシマンテック （旧ベリサイン） 発行 SSL 証明書の有効期限が強制的に短縮されたり、EV （拡張認証） が無効になるかもという話 最大手の認証局 （CA：Certification Authority） であるシマンテック（旧ベリサイン）が、適切な認証手続きを行わずに SSL 証明書を発行していたとされる問題で、Chrome チームが提案した証明書有効期限の段階的な短縮や EV 証明書の無効化についてまとめます。 週末に某 2ch まとめサイトで取り上げられて話題になっていましたが、Google Chrome において、シマンテック - Symantec （旧ベリサイン - Verisign） 発行の SSL 証明書がブロックされるかもという話。 まとめサイトで書かれていたような 「問答無用でブロック」 というのは煽りタイトルなのであまり真に受けるのはやめた
（初めに言い訳しておくと、証明書界隈については詳しくないです。某誤訳量産サイトが適当な記事を書いていたので、なにか書かねばと思って書いているという程度のまとめ記事です。間違いなどあればご指摘ください） 何が起こるのか Ryan Sleeviさん（Googleの人）がBlink-devのメーリングリストに投稿したこれにまとまっています：https://groups.google.com/a/chromium.org/d/msg/blink-dev/eUAKwjihhBs/rpxMXjZHCQAJ 経緯についてはいったん飛ばして、どのようなアクションが提案されているのか見ます。 To restore confidence and security of our users, we propose the following steps: A reduction in the accepted
一昨年、「インターネットのカタチ」や「マスタリングTCP/IP」を手がけた編集者の鹿野さんが、オーム社を退職して技術書を扱う、ラムダノート株式会社という出版社を起業しました。 鹿野さんの会社が発売する最初の書籍である「プロフェッショナルSSL/TLS」と「RubyでつくるRuby」(参考：書籍『Ruby でつくる Ruby』が発売されます)が今朝発売開始されています。 「プロフェッショナルSSL/TLS」は、TLS(Transport Layer Security)の背景となる理論やプロトコルだけではなく、過去に発生したプロトコル上の脆弱性、運用上の脆弱性、実装上の脆弱性なども解説してあります。Webブラウザの問題も紹介されています。後半は、Apache、Tomcat、IIS、Nginx、などの設定方法の紹介です。 編集者であり技術者な鹿野さん 「プロフェッショナルSSL/TLS」を出版し
はじめに 近々の状況 去年の Android 6.0対応あたりで Okhttp化に関して躊躇されてたあたりの理由 でもココで問題 HttpURLConnection ＝＞ OkHttp化してみる Okhttpで同期通信がしたい 参考 OkhttpClientの取得 通常の書き方 SSL(4.3以下でSSLの通信モードをサポートする方法) SSL(テストサーバーに繋ぐ時のオレオレ証明書対応) 上記の対応でちと問題が。。。 その他の周辺的な知識のメモ Intercepter 参考 MockWebServer はじめに この記事は Android その３ Advent Calendar 2016 - Qiita の六日目の記事です。 昨日は matsuokah - Qiita さんのAndroidのコードを書く前にコーディングに集中できる状態を作る - will and wayのお話です 明日は
Deleted articles cannot be recovered. Draft of this article would be also deleted. Are you sure you want to delete this article? 今年はGoogle I/Oに初めて社員ではない立場で参加しました。全体の感想は Google I/O 2016まとめ（Web的視点） で公開していますが、今回はその中で、気に入ったセッションの1つである"Mythbusting HTTPS: Squashing security’s urban legends"について書いてみたいと思います。 セッションは大変良くまとまっていますので、YouTubeにあがっている動画を見れる人は動画を見て貰えれば良いのですが、時間が無いという人のために、その内容をまとめました。基本的には文字起こしに近い
(2024/02/11 追記) 退避先のドメイン名「sslnow.cf」も利用できなくなったため、独自ドメイン配下の「https://sslnow.16mhz.net/」に移しました。。 (2023/07/23 追記) これまで利用していたドメイン名「sslnow.ml」が利用できなくなったため、いったん「https://sslnow.cf/」に退避しています。 (2016/07/09 追記) dns-01 と ECDSA に対応しました！ 「Let's Encrypt の証明書をブラウザ上で簡単取得 (dns-01 / ECDSA もあるよ)」 はじめに 無料で SSL 証明書を取得できる Let's Encrypt が 2015/12/03 に Public Beta となり、誰でも試せるようになりました。 公式の Python スクリプトが用意されていてコマンド一発で証明書が取得可能
「概念として、『安全なアプリ』がいいことは百も承知だが、具体的にどうコードに落とし込んでいけばいいのだろうか」――こんな悩みを抱えているAndroidアプリの開発者は、少なくないのではないでしょうか。この記事では、現実のアプリを例に取って、そのその解決の助けになるツールを紹介していきます。 登場するのは、ソニーデジタルネットワークアプリケーションズ（SDNA）製の脆弱性検査ツール「Secure Coding Checker」と、ITmediaが開発したAndroidアプリ「ONETOPI ヘッドライン」です。 前編の「『ONETOPIヘッドライン』アプリの脆弱性を検査してみた」では、Secure Coding Checkerを用いてONETOPI ヘッドラインを実際に検査し、そこで検出された脆弱性の傾向を把握しました。 そして、 アクセス制御の不備による問題 Log出力による情報漏えいの問
「TLS暗号設定ガイドライン」は、TLSサーバの構築者や運営者が適切なセキュリティを考慮した暗号設定ができるようにするためのガイドラインです。「様々な利用上の判断材料も加味した合理的な根拠」を重視して、TLS通信での実現すべき安全性と必要となる相互接続性とのトレードオフを考慮した3つの設定基準（「高セキュリティ型」「推奨セキュリティ型」「セキュリティ例外型」）を設けており、各々の設定基準に対応して、TLSサーバで設定すべき具体的な要求設定（「遵守項目」と「推奨項目」）を決めております。 本ガイドラインは安全なウェブサイトの作り方とともに適切な暗号設定をする資料の一つとしてお使いいただけます。 なお、本ガイドラインは、暗号技術評価プロジェクトCRYPTRECで作成されました。 「TLS暗号設定ガイドライン」の内容 1章と2章は、本ガイドラインの目的やSSL/TLSについての技術的な基礎知識を
Android の Web ブラウザが SSL クライアント認証に対応していないのは不便だという話を以前このブログに書きました。記事では、Android 上の stone に SSL まわりの処理を代行させる方法について触れました。 それから半年、本家の Android 標準ブラウザは現在も未対応のままですが、「SandroB」のようにクライアント認証に独自対応したブラウザも登場し始めています。こうした動きは Android ユーザとしてとても喜ばしいことで、対応環境の拡大や機能面の向上など今後の進化が大いに期待されます。 一方で、たとえば KLab の「VPN-Warp」のような SSL-VPN システム経由での利用が想定されるアプリケーションは Web ブラウザばかりではありません。私の場合、出先から自宅 PC へのアクセスには VNC を VPN-Warp＋stone 経由で使ってい
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
