Let's Encryptが6日間のShort-Lived証明書のサポートを発表しました。それに合わせて、IPアドレス証明書の発行もサポートされました。 「6-day and IP Address Certificates are Generally Available」 http://1.1.1.1 が実際にIPアドレス証明書を使ってたり、一部の用途でIPアドレス証明書のユースケースもあるので試してみる。 cerbotで発行 certbotも --ip-adress オプションをサポートした (コミットはあるが未リリース) ので実際に発行してみた。 ▶ https://160.16.124.39/ 良さそう。 方法 まだ未リリースなので、開発者ガイドラインの通り githubリポジトリから最新コードを実行する。 下記のコマンドで発行する (ドメインは必須では有りません。IPアドレスのみで

Let's Encryptが今後発行する証明書について、「証明書チェーンの刷新」「TLSクライアント認証EKU(拡張キー使用法)の削除」「証明書の有効期間短縮を順次進める」という全体方針の詳細を発表しました。なお、多くの利用者は基本的に追加対応は不要とのことです。 Upcoming Changes to Let’s Encrypt Certificates - API Announcements - Let's Encrypt Community Support https://community.letsencrypt.org/t/upcoming-changes-to-let-s-encrypt-certificates/243873 まず、CA/Bフォーラムの要件変更に伴って証明書の有効期間が短縮されます。具体的には、2026年にはtlsserverプロファイルで45日証明書がオプト

【デジカルチーム ブログリレー6日目】デジカルチームの末永です。5月31日から開催される技術書典18で頒布するエムスリーテックブック8の、フルスクラッチして理解するSSL/TLSという章を担当しました。この章では、標準ライブラリ縛りでTLS 1.3のサーバーサイドを実装していきます。 techbookfest.org ここでは執筆の流れや小話などの裏側を書いていきます。 社内有志のメンバーによる新刊も頒布するようです 絶賛執筆中！以下のページからサークルをフォローして続報をお待ちください…！ #技術書典https://t.co/2W8FuGOJfM— エムスリー エンジニア公式 (@m3_engineering) 2025年5月13日 フルスクラッチして理解するSSL/TLS 執筆スケジュール いちばん大変だったポイント 実装・執筆小話 「長すぎる」問題 実際どれくらいAI使った？ フルス

こんにちは、CSIG 所属の市川です。普段は FutureVuls という脆弱性管理サービスの開発・カスタマーサポートをしています。 「ん？そういえば、HTTPS 通信 (HTTP over SSL/TLS) では実際どのようにセキュアな通信が確立されているんだろう？」 と、ふと気になってしまうこと、ありませんか？私はありました。 というわけで、SSL/TLS について書籍などで学んでみたのですが… アルゴリズムが沢山出てきて頭がこんがらがる…。結局どのフェーズでどのアルゴリズムが使われているんだろう？ TLS ハンドシェイクの中では、実際どういった通信が行われているのだろうか。ハンドシェイク確立後はちゃんと暗号化されているのだろうか。 …というモヤモヤが残りました。 本記事 (理論編) と、続編の実践編で、この2点の疑問を解決していきます。 本記事でやりたいこと本記事 (理論編) では、

TLSに必要な証明書を無料で発行してくれる世界最大の認証局「Let's Encrypt」が、2025年内に有効期限が6日間しかない「短期証明書」の発行を開始すると発表しました。短期証明書では、ドメインの代わりにIPアドレスの検証を可能にするオプションも用意されるとのことです。 Announcing Six Day and IP Address Certificate Options in 2025 - Let's Encrypt https://letsencrypt.org/2025/01/16/6-day-and-ip-certs/ Let's Encryptを運営するInternet Security Research Group(ISRG)は2024年の年次報告書において、「2025年に有効期限が6日間の証明書を発行できるようにする」と発表していました。今回のブログ発表ではより具体

概要 SSL/TLSは、通信の秘密を守るために利用されている通信プロトコルです。HTTPSやHTTP/3にも利用されており、今日のWebでは利用が一般的になっています。本書では、その最新バージョンであるTLS 1.3のしくみと、その使い方を解説します。SSL/TLSは公開されている実装例などを真似すれば基本的な動作はさせられますが、それを応用していくには技術に関する理論の理解が必須になります。しかしSSL/TLSに関連する技術は大変多く、かつそれらのドキュメントは不足している状態です。本書ではこの理論部分を丁寧に解説し、それを活かした形で実装例まで解説することで、Web開発者たちが望んでいる解説と実践を相互に接続します。 目次 第1章　SSL/TLSの世界へようこそ 暗号化の役割と重要性 インターネットに暗号化が必要な理由 情報の秘匿 認証 SSL/TLSの歴史 暗号技術の成り立ち SSL

いわさです。 TLS1.2 と TLS 1.3 の違いやメリットについて語られる時、よく「より高速で安全だ」と説明されていることが多いです。 「なるほど、高速なのか。であれば TLS 1.3 のほうがいいのか」なんて思うわけですが、ちょっとだけ速いのか、とんでもなく速いのか実は私はよくわかっていません。 そこで本日は、非常に簡易的な方法で TLS 1.2 と TLS 1.3 でのパフォーマンスを測定をしてみましたので行ったことや結果などを紹介したいと思います。 Amazon CloudFront に Apache Bench で大量リクエストを送信することにした E2E の速度を比較したいなと思いつつ、評価のたびにオリジンの処理速度が影響するのも違うよなぁと思い、今回は CloudFront で TLS 1.2 と TLS 1.3 が使用可能なセキュリティポリシーを構成し、エッジキャッシュ

ウィスキー、シガー、パイプをこよなく愛する大栗です。 最近ブラウザから簡単に証明書を発行できる ZeroSSL というサービスで証明書を発行したことがあったのでまとめてみます。 ZeroSSL （8月21日追記） ACME 経由であれば無制限に無料で証明書を発行できる旨を追記しました ZeroSSL 無料で SSL/TLS 証明書を発行できるサービスと言うと Let's Encrypt を利用されている方が多いと思います。2023年8月時点で Let's Encrypt が発行している有効な証明書は2億8000万を超えています1。Let’s Encrypt は素晴らしいサービスですが、単一障害点になっていることに警鐘を鳴らしているセキュリティ研究者もいます2。別の選択肢として ZeroSSL を紹介しています。 Let's Encrypt では certbot の様なコマンドを使用して S

※タイトルの元ネタは以下の作品です。 はじめに この記事は、公開鍵暗号の全体感を正しく理解するためのものです。数学的な部分や具体的なアルゴリズムは説明しません。気になる方は最後に紹介するオススメ書籍をご覧ください。 少し長いですが、図が多いだけで文字数はそこまで多くありません。また、専門的な言葉はなるべく使わないようにしています。 ただしSSHやTLSといった通信プロトコルの名称が登場します。知らない方は、通信内容の暗号化や通信相手の認証（本人確認）をするためのプロトコルだと理解して読み進めてください。 公開鍵暗号の前に：暗号技術とは 公開鍵暗号は暗号技術の一部です。暗号と聞くと、以下のようなものを想像するかもしれません。 これは情報の機密性を守るための「暗号化」という技術ですが、実は「暗号技術」と言った場合にはもっと広い意味を持ちます。まずはこれを受けて入れてください。 念のため補足して

We have made two changes to the way that our TLS-ALPN-01 challenge validation works. These changes will only affect clients that specifically use TLS-ALPN-01; for example, it is not a default choice in Certbot. First, we now guarantee that our client which reaches out to conduct the “acme-tls/1” handshake will negotiate TLS version 1.2 or higher. If your ACME client or integration only supports a

wolfSSLをもとに、SSL/TLSの正しい利用法と仕組みを理解する 暗号化された安全な通信は、ネットワークを使う全てのアプリケーションにとって、 考慮すべき重要な課題です。 セキュアな通信を実現するために用いられる技術SSL/TLSの最新版がTLS 1.3であり 各種SSLライブラリも対応してきています。 ただ、ライブラリだけが最新のものになっても、仕組みを知り、 正しく使わなければ、安全は担保されません。 そこで本書は、そんなTLS 1.3の基礎的なプロトコルの流れから、 暗号化・認証の仕組み、アプリケーション実装のベストプラクティスを 組み込みシステム向けの軽量＆高機能なライブラリwolfSSLを例に 解説していきます。 さらに、ライブラリコードの解説を含め、内部実装にまで踏み込んだ解説も行い、 SSLライブラリを徹底的に理解できる一冊です。 Part 1：TLSの技術 ・Chap

You signed in with another tab or window. Reload to refresh your session. You signed out in another tab or window. Reload to refresh your session. You switched accounts on another tab or window. Reload to refresh your session. Dismiss alert

F5 NGINX provides a suite of products that together form the core of what organizations need to create apps and APIs with performance, reliability, security, and scale.

* Kernel version must be 5.10, not 4.14; see OSs That Do Not Support kTLS and the Amazon Linux 2 FAQ ** Inherits its kTLS support status from RHEL 8 as its upstream source *** See the FreeBSD commit log OSs That Do Not Support kTLSThe following OSs do not support kTLS, for the indicated reason: Alpine Linux 3.11–3.14 – Kernel is built with the CONFIG_TLS=n option, which disables building kTLS as a

図1: QUICコネクションを振り分けるロードバランサはじめに本記事では、バックエンドのWebサーバへリクエストを振り分ける装置の意味でのロードバランサ(図1)について、QUIC対応の議論状況を紹介します。方式編と実装編にわけて二編を予定しており、本稿は方式についての解説です。 IETFでは、F5 Networksとマイクロソフトから提案されたロードバランシング方式が議論されています。本稿では下記のインターネットドラフトをQUIC-LBと表記します。 QUIC-LB: Generating Routable QUIC Connection IDs https://datatracker.ietf.org/doc/html/draft-ietf-quic-load-balancers 執筆時点の -07 をベースとしますが、ドラフトですので今後の議論次第で改版が続きます。あらかじめご承知おき

SRE 兼よろず屋の id:sora_h です。最近は本社移転プロジェクトをやっています。趣味は Web *1 です。 さて、クックパッドでは 2020 年 12 月に TLS 1.0 および TLS 1.1 (以後 "Legacy TLS") を廃止しました。 Legacy TLS は RFC 7457 でまとめられているような既知の脆弱性の存在などから、Chrome, Firefox といった主要ブラウザを含め各所でのサポートが打ち切られつつあります。また、現在では IETF においても Legacy TLS は deprecated と RFC 8996 にて宣言されました。 クックパッドでもセキュリティ対策およびレガシーな技術と向き合う一環で廃止を進めました。我々は歴史の長いサービスも提供しているため、古い Android や Internet Explorer などからのアクセス

はじめに GitHub Enterprise Server の証明書を Management Console API で更新する方法のメモです。 （ドキュメントのリンクは GitHub Enterpise Server 3.0 のものとしています）。 Let's Encryptのサポートについて に書かれているように GitHub Enterprise Server 3.0 は Let's Encrypt の HTTP-01 チャレンジはサポートしていますが、 DNS-01 チャレンジはサポートしていません。 GitHub Enterprise Server をインターネットからアクセスできない場所で稼働している場合は HTTP-01 チャレンジは使えず DNS-01 チャレンジを使うことになります。 go-acme/lego: Let's Encrypt client and ACME