apache や nginx の設定をしたことがあれば以下の様な行を見たことがある人も多いのではないでしょうか。(※ 下記は nginx の設定。apache の場合は SSLCipherSuite です。) ssl_ciphers AES128-SHA:AES256-SHA:RC4-SHA:DES-CBC3-SHA:RC4-MD5; これが暗号スイートを指定している箇所です。そしてこの部分、わけのわからない文字列の羅列なのですごく取っつきにくくて何を指定したらいいかわからないので、コピペしてしまう人も多いんじゃないでしょうか。かくいう私も数年前に趣味で TLS 対応の Web サービスを作った時はコピペで済ませていました。この暗号スイートは、以下のような OpenSSL のコマンドを使って対応している一覧を見ることができます。 $ openssl ciphers -v AES128-SH
Mixed contentとは？ Mixed contentとは、SSL化されたhttpsページ内にhttp（非暗号化通信）で読み込んでいるファイルが存在（混在）している状態を指します。何故この状態が問題なのか？というと、ブラウザ側で「安全ではない」と判断されて読み込みがブロックされてしまうファイルもあれば、「安全ではない」と判断されつつも読み込まれるファイルもあるため、最終的にサイトのデザインが崩れた状態で表示されたり、”クリックしても反応しない”など機能上の不具合がある状態で表示されたりする可能性があるからです。 具体的には、iframeやスクリプトファイル（CSS・JavaScript・XMLなど）は読み込みがブロックされ、画像や動画ファイルはブロックされません。こちらについては、当コラムの『SSL設定時に表示されるエラーや警告の原因を徹底解明！～コンテンツエラー編～』にて解説してい
You can use a custom domain rather than the default address that App Engine provides for your app. To use a custom domain, map the domain to your app, then update your DNS records. You can map a naked domain, such as example.com or a subdomain, such as subdomain.example.com. You can also use wildcards to map subdomains. By default, when you map a domain to your app, App Engine issues a managed cer
カスタマーセンターからのお知らせ 2019-04-26 08:45:57 UTC2019年ゴールデンウィーク お問い合わせ窓口の営業・各種お手続きについて 2019-04-26 08:46:25 UTC5月1日よりJPドメインでのアクセスができなくなったお客様へ 2019-04-26 08:45:57 UTCさくらインターネットを騙る「なりすまし・フィッシングメール」にご注意ください 2019-04-26 08:45:57 UTC3月18日 破産者の住所・氏名を公開するサイトに関する問い合わせについて 2019-04-26 08:45:57 UTC2019年1月以降、急にメールの送受信ができなくなったお客様へ 2019-04-26 08:45:57 UTCFreeBSDのアップデートに伴う変更点 (2019/4/18 更新) カスタマーセンターからのお知らせ一覧へ メンテナンス・障害情報
Symantec(シマンテック)傘下の認証局(CA)が発行する証明書に信頼性の低いものが含まれているとして、GoogleはブラウザChromeでシマンテックの認証局が発行する証明書を段階的に失効させる計画を明らかにしています。そのシマンテックがCA事業を売却することになったのに伴って、Googleがあらためてシマンテック証明書の取り扱いをSecurity Blogでまとめています。 Google Online Security Blog: Chrome’s Plan to Distrust Symantec Certificates https://security.googleblog.com/2017/09/chromes-plan-to-distrust-symantec.html GoogleやMozillaなどのブラウザ開発企業は、「シマンテックのPKI事業では業界標準であるCA
サイトの安全性を担保するために電子署名を用いたSSLを現在では、数多くのWebサイトが利用していると言われています。しかし、その暗号アルゴリズムが破られると通信の安全は保障できなくなり、なりすましやフィッシングに悪用されることが予測されます。 かねてからSHA-1証明書からSHA256証明書への移行は2016年12月31日までが期限と言われていましたが、ここに来てその期限を2016年中頃に前倒しする動きも出てきています。SHA256への移行の背景を改めて説明するとともに、各ブラウザベンダーの動きをご紹介します。 SHA-1証明書の問題と当初の移行期間とは SHA-1証明書は電子的な情報の信頼性を担保するために用いられます。本来、電子情報の信頼性を確保するために電子署名、秘密鍵、公開鍵を使った暗号基盤が利用されています。電子情報に対して電子署名をするためには、RSA暗号と言われる秘密鍵を使っ
Googleは、2014年9月にGoogle ChromeのSHA-1取扱いに関する指針を公開しました。 さらに2015年に入り、バージョン45および46からアドレスバーの表示を変更したり、メッセージを出して閲覧できなくする等、サイトのセキュリティに関する仕様を変更しました。 SSLサーバ証明書で利用されているハッシュアルゴリズムSHA-1について、CAブラウザフォーラムは、有効期限が2017年1月1日以降のSHA-1を使用したSSLサーバ証明書は利用しないという方針を発表しました。最新のGoogle Chromeを使用している場合、2017年1月1日以降の有効期限を持つ、SHA-1ハッシュアルゴリズムを利用したSSLサーバ証明書を設定してるウェブサイトを表示させた場合に、警告マークを表示させるという、より踏み込んだ対応を行いました。 このChromeの措置もあり、弊社では正しくSSLサー
Sign in - Google Accounts
Not your computer? Use a private browsing window to sign in. Learn more about using Guest mode
Mozilla SSL Configuration Generator Redirecting to the updated TLSRef TLS Configuration Generator…
今や多くのWebサーバ管理者が使用しているSSL/TLS。ネット犯罪などの改ざんを防止する方法として便利な反面、脆弱性の問題は次々と発覚し、その都度移行対応は必須の状態です。今、なぜTLS1.2への移行が必要なのか、SHA-2への移行の問題や既にTLS1.2を有効化した大手企業の現状などをご紹介します。 SSL3.0、TLS1.0、TLS1.1の脆弱性とそれに伴う情報漏えいリスク POODLE、Heartbleed、FREAKなど既に発見されている脆弱性の問題を振り返る ネット通販で何かを購入する時はクレジットカードを使う。10年前はそれを「危険」と感じていた人が多かったにも関わらず、今やネット通販の市場は拡大するばかりで購入者は増えるばかり。その人気を支えているのがSSL/TLSの暗号化通信。送信元のIDやパスワード、住所やクレジットカード番号を暗号化し、第三者がそのデータを閲覧出来ない
平素はValueSSLをご利用頂き誠にありがとうございます。 この度、シマンテックグループ(ジオトラスト、シマンテック、Thawte)では安全な通信環境を維持するためサイトシールにおいてTLS1.0プロトコルの無効化を予定しておりますので、ご案内申し上げます。 ■適用対象 ジオトラスト社、シマンテック社、Thawte社が提供するすべての動的サイトシール ■適用予定日 2016年8月下旬頃 ※日程の詳細が決まり次第、別途ご案内させていただきます。 ■適用内容 適用予定日以降、動的サイトシールを配信するサービス(以下、シールサーバ)におけるTLS1.0でのサポートを無効化し、TLS1.1および1.2のみをサポートいたします。TLS1.1以降をサポート(または有効化)していないブラウザや端末では、対象シールサーバとのSSL/TLS通信ができなくなり、シールが表示されなくなります。 動的サイトシー
こんにちは！インフラエンジニアの射場です。 趣味やお仕事でWebサイトを運用されている方はいらっしゃいますか？ そのWebサイトはSSL証明書を使っていますか？ SSL証明書を使っていると答えたアナタ！ 下記のリンクにあなたの管理するWebサイトのURLを ぺっちょりと貼り付け、スキャンを実行してみてください。 https://sslcheck.globalsign.com/ja/ いかがでしたか？ ランクはAでしたか？Bでしたか？それともEやF？ ちなみに、私もほそぼそとWebサイトを運用しており、つい先日SSL証明書を入れました。 忙しさを言い訳に、初期設定のまま放置していました。 そんなだらしない私のWebサイトの評価はご覧のとおり。 ※恥ずかしいのでURLは伏せています/// これはあかん ということで、いっちょ本気を出してみましたので、その設定内容を晒したいと思います！ Webサ
Web サイトを常時 SSL 化する場合に、最低限知っておかなければならない知識や、注意点、実際の設定方法まで、ひと通りまとめてみました。メリットやデメリット、証明書の種別からリダイレクト設定などについても解説しています。 HTTPS をランキングシグナルに使用しますと Google が公式に発表したあたりから、Web サイトの SSL 対応、特に Google が推奨している Web サイトをすべて HTTPS で配信する、所謂 「常時 SSL 化」 についての話を聞いたり、実際にお客様から相談されたりするケースが増えてきました。 そこで、いい機会だしその辺に関する情報をまとめておこうかな～ と思って書いてみた、恒例の （？） 5分でわかるシリーズ。書き終わって見たところ絶対に 5分じゃ無理っていう文章量になっててどうしようかなぁとも思ったんですが、気にせず公開してみます。 常時 SSL
Check your CSR Remove cross certificates View browser warnings Check certificate installation Search certificate logs Check your SSL/TLS certificate installation Enter the URL of the server that you want to check.
寺田さんのブログエントリ「他人のCookieを操作する」には、通信路上の攻撃者がいる場合は、SSLを使っても、Cookieの盗聴を防ぐことはできるが、Cookieの改変を防ぐことはできないと指摘されています。いかにも寺田さんらしい簡にして要を得たエントリで、これに付け加えることはあまりないのですが、残念ながらまだ読んでいない人が多そうだと言うことと、より広い読者に向けて具体的に説明した方がよいだろうと考えました。 そこで、通信路上に攻撃者がいる典型例として、公衆無線LANの偽AP（アクセスポイント）があるケースを題材として、「HTTPSを使ってもCookieの改変は防げない」ことを説明します（Secure属性使うと盗聴は防げますが、改変は防げません）。長いエントリなので結論を先に書いておきます。 Secure属性がないCookieはHTTPSでも盗聴できる Cookieの改変についてはSe
脆弱性検査をしていてしばしば出くわすのは、他人のCookieの値を操作できるとXSSやセッション固定等の攻撃が成功するようなWebアプリケーションです。 このようなアプリがあると、業界的には「Cookie Monsterという問題がありまして、、、でも、、、基本的に現状のブラウザではリスクは低いです」みたいな話がされることが多いのではないかと思います。 本日の日記では、それ（Cookie Monster）以外にも状況によっては考慮すべきことがある、という話をしたいと思います（過去の日記でも少し書いた話ですが、もう少しちゃんと書いておこうと思います）。 通信経路上に攻撃者がいる 被害者のブラウザとサーバの通信経路上に、アクティブな攻撃者がいると想定しましょう。 そのような状況では、攻撃者は正規のサーバになりかわってブラウザと通信をしたり、ブラウザと正規のサーバで交わされる通信に介入することが
ドメイン設定関連 1. SSL機能の併用（ 複数ドメインでの利用 ） マルチドメイン証明書は利用できません。 ワイルドカード証明書のご利用についてはこちらをご確認ください。 初期ドメインと独自ドメインいずれもSSLを利用したい場合は、共有SSLと独自SSLをご利用ください。 example.jp と www.example.jp のドメイン設定を利用している状態で、SSLを設定する際の注意事項 example.jp と www.example.jp のドメイン設定を利用している状態で SSL証明書をインストールする際は、両方のドメインともに 「独自SSL」にて設定してください。 有料の証明書を利用する場合は、www有り無し両方のドメインで利用できることを 確認した上で、両方のドメイン設定に証明書をインストールしてください。 無料SSL機能を利用したい場合は、両方のSSL設定からそれぞれ無料
wordpress HTTPSと併用し、 共有SSLの下で使わせていただいております。 通常URLの場合 http://example.com/form 、 共有SSLでは http://###共有SSLドメイン###/html/form とディレクトリの位置が違うため、 共有SSLの下ではフォームのサブミット先が https://###共有SSLドメイン###/html/html/form となってしまいます。 ※SSL時と通常時では同じファイルを読みにいっています。 ご提供いただいているプラグインのファイルを直に改造したくなかったので add_filterを使ってなんとかならないか試してみたのですが、 うまくいきませんでした。 現在、自動生成されたタグのソースをとりだして URLを直したものを直接投稿欄に貼り付けるという強行手段で動いてはいるのですが、 バージョンアップによって動かなく
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
