はじめに Web開発やインフラに関わっていると、必ず目にするのがHTTPSです。 今や「HTTPではなくHTTPSが当たり前」という世界になっています。 一方で、こんな経験はありませんか？ 証明書エラーが出たけど、よく分からず無視した 「オレオレ証明書」と言われてもピンとこない HTTPSなのに「安全ではありません」と表示されて混乱した SSL/TLSは使うことは簡単ですが、何が起きているかを理解するのは意外と難しい技術です。 特に新人エンジニアのうちは、 「HTTPS ＝ 暗号化されていて安全」 というイメージだけで通り過ぎてしまいがちです。 しかし実際の SSL/TLS は、暗号化だけでなく「相手が本物かどうか」を確認する仕組みでもあります。 この記事で扱うこと・扱わないこと この記事では、SSL/TLS を 次の視点 から説明します。 TLSは何を守っているのか サーバーはどうやって

目的 プロキシサーバを利用して、HTTPS 通信時のリクエストヘッダーに特定の項目を追加する方法を調査しました。​その結果、Squid の「SSL Bump」機能を使用することで実現可能であることがわかりました。​この機能を実践してみたいと思います。​ ただし、SSL Bump の仕組み上、プロキシサーバはクライアントと Web サーバ間の通信内容を復号化して確認するため、プロキシサーバに対する通信の秘匿性は失われる点に注意が必要です。 当初は、プロキシサーバでリクエストヘッダーを追加する方法について実践する予定でしたが、記載内容が多くなったため、別の記事としてまとめることにしました。 SSL Bump有無によるHTTPS通信接続の違いについて SSL Bump を使用する場合と使用しない場合で、HTTPS 通信の構成に以下のような違いがあります。

はじめに 先日、 Let's Encrypt (certbot) を使ってワイルドカード証明書する！(あとちょっと) という記事を書きまして、Qiitaでの初投稿であったにも関わらず5000以上のアクセス、100いいねを頂きました。 投稿時点ではちゃんとワイルドカード証明書が発行できたと思っていたのですが、実際はまだステージングの段階で無効な証明書しか発行されないというツッコミを頂きまして、ドキュメントの読み込み不足・検証不足を痛感し記事に追記したところであります。 ところがやっと、 ACME v2 Production Environment & Wildcards 「ACME v2エンドポイントがProductionEnvironmentとして利用可能になった」というアナウンスがあり、 ACME v2 Compatible Clients 対応クライアント一覧にcertbotが入ってい

ども、@kimihom です。 先日、自社のサービスを EV SSL へ適用したので、それに至った経緯と SSL について思っていることを記す。 SSL 化の流れ もはや、今時のサービスで SSL(HTTPS) 化していないWebサービスはほとんどなくなった。ましてや企業毎に重要な情報を保存するケースの多い SaaS などでは HTTPS 化は必ずしなくてはならない対応の一つとなっている。個人のページや 会社HP など、 HTTP でも特に指摘されることがなかったようなサイトでも、SSL を利用することが重要になってきている。SSL を適用していないページの検索順位が下がってしまたり、ページ閲覧時に Chrome から警告表示されてしまうためである。 その流れの中で、もはや私たちが HTTPS を使わない理由が存在しない。今では、 Let's Encrypt のような無料の SSL も登場

https-portal があまり知られてないようなので紹介記事だけ書いとく。 https://github.com/SteveLTN/https-portal あなたがすでにhttpで動作するサービスのdockerコンテナを持ってるなら、こいつを docker-compose に加えるだけで https 対応は完了。 え？ 加えるだけで完了。 まじです。 https-portal は何をするものか 基本的には https のリクエストを受け取り、他のコンテナの http へ転送するリバースプロキシとして動作する nginx である。 ところで https を提供するには証明書の取得、設定などが必要だが、こいつはそれを全自動でやってくれる。 え？ 証明書の取得、設定を全自動でやってくれる。 まじです。 期間延長も自動でやってくれるらしい。 まあとにかく便利なので、 Let's encryp

let’s encrypt で複数ホスト名対応な証明書を作る タイトル通りですが、割と簡単に複数のホスト名に対応した証明書が取得できるので、やってみました。 今回は ansible playbook のおまけ付きです。 let’s encrypt の困った問題 let’s encrypt ではワイルドカード証明書が無いので、複数のホスト名を1台のサーバでホスティングできないため、ちょっと困っていました。 ググって調べてみたら、let’s encrypt は SAN 対応の証明書だったら発行できる、と言うことだったので実際にやってみました。 その前に、SAN って何よ？ ワイルドカード証明書だと良く聞くと思うのですが、 SAN って何よ？と思う人も多いと思います。 SAN とは Subject Alternative Name の略称で、サブジェクトの別名です。 ん？サブジェクトってなに？　

2016 - 07 - 10 Heroku で SSL（https）を導入する方法（2016年7月 最新版！） heroku ウェブサービス list Tweet 2016年5月下旬に、「Heroku SSL 」機能がベータ版で公開されました。 https://blog.heroku.com/archives/2016/5/18/announcing_heroku_free_ssl_beta_and_flexible_dyno_hours 今までは $20 の SSL アドオンを用いて SSL を導入する方法を 提供していたのですが、Hobby、Professional Dyno を用いている 環境において、これからはそれが無料で実現できるようになるとのこと。 SSL を導入することで、セキュリティ向上につながることに加え、 Google が HTTPS をランキング シグナルに使

※：CloudFrontは米国東部 (バージニア北部)で設定を行うため、CloudFrontの全エッジロケーションでACMを使用できます。 早速試します ACMを設定する 設定の手順の詳細は、[ACM] SSL証明書発行時のドメイン認証メールをSESで受け取ってみたを参照して下さい。このエントリの「ACM設定」までを実施します。 東京リージョンでAmazon Linux 2016.03のEC2を起動して、以下のコマンドを実行します。（Webサーバのインストール、index.htmlの作成、Webサーバの開始） $ sudo yum install -y httpd $ sudo echo "AWS Certificate Manager" | sudo tee /var/www/html/index.html $ sudo service httpd start 次に、東京リージョンのEL

By Sean MacEntee SSLを用いたHTTP通信の暗号化を誰でも手軽に行えるようにするために立ち上がったのがEFF、Mozilla、Cisco Systems、Akamai Technologies、IdenTrust、ミシガン大学の研究者などで、これらのメンバーがHTTPS普及のためにスタートした取り組みが「Let's Encrypt」です。これまで手間がかかり金銭的な負担も大きいと言われてきたサーバー証明書の発行を無料で行えるようになるのですが、同取り組みはついにベータ版から正式版にサービスを移行しています。 Leaving Beta, New Sponsors - Let's Encrypt - Free SSL/TLS Certificates https://letsencrypt.org//2016/04/12/leaving-beta-new-sponsors.h

2018/5/10 追記: GitHub が公式にカスタムドメインの HTTPS での配信をサポートしたため、下記の手順を利用する必要がなくなりました 詳しくは Custom domains on GitHub Pages gain support for HTTPS | The GitHub Blog を参照してください。 GitHub Pages では *.github.io のドメインが割り当てられて HTTPS も有効になっていますが、カスタムドメインを使うと HTTPS を使うことができません。ここでは CloudFlare を使ってカスタムドメインの GitHub Pages で HTTPS を使う方法を紹介します。 GitHub Pages にサイトを構築する まず GitHub Pages でサイトを構築しないことには始まりません。今回はカスタムドメインで HTTPS を使

Let's Encrypt 去年から気になっていた Let's Encrypt がクローズドベータになり、申請すれば実際に証明書の発行がテストできると聞いたので、早速申請して証明書の発行を行ってみました。ただし IIS で使う前提です。 Let’s EncryptでValidなSSL/TLS証明書を取得する | DevelopersIO DockerでLet’s Encryptしよっか - Qiita 既に証明書の発行を試した方も居たので参考にしていたのですが、既に微妙に挙動が変わっているので注意したいです。一応ドキュメントも公開されてますが、メールに書いてあった分で十分な感じです。 User Guide The Let’s Encrypt project — letsencrypt latest documentation Let's Encrypt では Web サーバーへの証明書設定

Intro 先日 #http2study で mozilla の Richard Barnes が Let's Encrypt について話してくれました。 資料: Let's Encrypt Overview この資料の翻訳 はしたのですが、いらなくなってしまったので供養もかねてこのプロジェクトのモチベーションと、 Web でおこっている HTTPS 推進のたどる道について、資料を補足しつつ紹介します。 結論から言うと Let's Encrypt はもちろん ACME プロトコル についても是非知っておくと良いと思います。 HTTPS の問題 すでにこのブログでも紹介しているように、 Web における HTTPS の重要性は増し、それの普及を後押しする活動が各所で進められています。 HTTPS 化する Web をどう考えるか よく言われる盗聴防止を始め、暗号化を行うことで防げる問題は多くあ

ども、大瀧です。 無償で利用できるSSL証明書発行サービスであるLet's Encryptがクローズドベータになりました。早速ベータ申請が通ったので、証明書を発行してみた様子をレポートします。 動作確認環境 端末 : OS X El Capitan Webサーバー : Debian Wheezy 手順 現在はクローズドベータなので、事前にベータにエントリーしていたメールアドレスに招待メールが届くことで利用可能になります。手順自体は以下のページでアナウンスされているものです。 Beta Program Announcements - Let's Encrypt Community Support まずはローカルにユーティリティをインストール&実行します。OSXの場合は自動でHomebrewを検出し依存ソフトウェアがインストールされます。環境を汚したくないという方はDockerを利用するのも良

九州某県でSNSを開発／運営するスタートアップ企業、タビジ社。CTOのイズミくんは、お金をかけられない勉強会用サイトに「ドメイン認証SSL証明書（ラピッドSSL）」を使うことにした。発行がスピーディだというが、さて、どのくらい早いのだろう？ （※この物語はフィクションです。さくらインターネット以外の実在する団体・人物とは一切関係ありません） ……翌　日…… ふわぁ～。日曜日だというのに早起きして、午前中から出社してしまったよ。今日は「ドメイン認証SSL証明書（ラピッドSSL）」の申請と、サーバーへのインストール作業をやってしまおう。 僕は先月、本業であるタビジSNS用のSSL証明書を申請し、インストールしたばかりだ。あっちは「企業認証SSL証明書」なので申請手順は少し違うのだけど、基本的な作業の流れは同じだ。 また、勉強会用サイトのサーバーOSもタビジSNSと同じUbuntu なので、CS

九州某県でSNSを開発／運営するスタートアップ企業、タビジ社。CTOのイズミくんは、新しいサイトの構築に励みながら、お金をかけられないこのサイトをどうやってSSL対応にすればいいのか悩んでいた。そんなとき、イズミ君が発見したものとは……？ （※この物語はフィクションです。さくらインターネット以外の実在する団体・人物とは一切関係ありません） 「ふわぁ～、旅に出たいなぁ～っ！」 土曜日の夜、PCに向かって何時間もキーを叩き続けていた僕は、大きく伸びをしながら叫んだ。ここは九州の某県某市にあるマンションの一室。僕ら「タビジ社」のオフィスである。 タビジ社は、その名のとおり「旅」をテーマにしたSNSを開発、運営するスタートアップ企業だ。元々プログラマーやWebデザイナーだった旅好きの3人が意気投合し、酒の席で「会社やろうぜっ！」と盛り上がった結果、1年ほど前に起業した。 現在は、社交的な性格のオオ

TechCrunch Daily News Every weekday and Sunday, you can get the best of TechCrunch’s coverage. Startups Weekly Startups are the core of TechCrunch, so get our best coverage delivered weekly.

$ openssl req -new -key server.key -out server.csr You are about to be asked to enter information that will be incorporated into your certificate request. What you are about to enter is what is called a Distinguished Name or a DN. There are quite a few fields but you can leave some blank For some fields there will be a default value, If you enter '.', the field will be left blank. ----- Country Na