こんにちは id:cohalz です。はてなブログでは2021年4月の公式ブログで、すべてのブログをHTTPSに一本化していくことを案内しました。 ▶ 「HTTPS配信」への切り替えと、ブログの表示の確認をお願いいたします この時点でまだ数百万件のHTTPのブログが残っている状態でしたが、2021年8月には上記の案内に追記したように、全ブログでHTTPS化を完了できました。 完了までに行ってきたことをこの記事で振り返ってみようと思います。 はてなブログのHTTPS化のこれまで はてなブログのHTTPS化は、2017年9月に最初のお知らせを行ってスタートしました。 当初の予定より時間がかかりましたが、2018年2月にHTTPS配信の提供を開始し、これ以降に作成されたブログは最初からHTTPSのみで配信されています。また、それ以前に作成されたブログでも、ユーザ側で設定を変更することで自分のブロ

SSL証明書を無料で発行してくれる認証機関「Let’s Encrypt」は、2014年の設立から安全なインターネットの利用に大きく貢献しています。しかし、ハッカーであり研究者でもあるScott Helme氏は、無料の証明書発行をLet’s Encryptのみに頼っている現状を問題として取り上げ、Let’s Encryptの代替となるサービスを紹介しています。 Introducing another free CA as an alternative to Let's Encrypt https://scotthelme.co.uk/introducing-another-free-ca-as-an-alternative-to-lets-encrypt/ Free SSL Certificates and SSL Tools - ZeroSSL https://zerossl.com/ L

The best of CES 2025Presenting our 12 finalists, plus the winner of our best in show award.

SSLサーバー証明書は2年物を買うべきではない 今日の今日、今の今知ったことですが、たくさんの人に知られるべきだと思ってまとめます。サーバー証明書を購入する時、たいてい「１年」「２年」が選べると思います。更新作業は面倒なので、２年を選びたくなる方がいらっしゃると思いますが、この「２年」に大きな落とし穴があります。端的に言えば「１年」を購入するべきです。 その理由は、AppleのSafariにあります。 その理由 下記の記事を見てください。 ssl.sakura.ad.jp AppleがSafariブラウザにおいて、2020年9月よりSSL証明書の最大有効期間を398日に短縮すると発表しました。突然発表された本対応の経緯やその影響、私たちがこれから取るべき対策についてご紹介します。 Appleの発表は2020/3/3です。もう一か月も経過するのに結構誰も知らないのではないかと思います。最近の

背景 仕事でAWSとクライアントが使用しているエントリーVPNとを接続する必要がありました。その際に社内でエントリーVPNなのに専用線と言う人もいて、インターネットVPN以外を総じて専用線と言ってしまっているのではないかと思いました。加えて、プライベートネットワークとして用いられる方法にどういうものがあるのか、ネットワークスペシャリスト試験の勉強をしている中で整理しておきたかったのでまとめてみました。 VPNの種類 一口にVPNと言っても様々な種類があります。プライベートネットワークとして使われる専用線、広域イーサネットも含めた比較を表にしました。

またお会いしましたね また登場しました、オッスンです。 アドベントカレンダーも、もう直ぐ折り返し地点ですね。 後半も色んなクリエイターさんが投稿されるので期待しかなーい！ 私、基本的にサーバサイドをメインにお仕事しているのですが 最近フロントにも興味が出てきて、且つ仕事で触る機会も増えてきました。 フロント面白いですね。 まだまだ知るべき知識がたくさんありますが、 これから勉強して行こうと思います！ 今回はペーペーフロント技術の私が 開発する時に役に立ってるデベロッパーツールの機能をご紹介できればと思います。 #network 後にも先にもnetworkタブ。 感謝しかない機能がモリモリです。 ###通信速度の調整 ・モバイル環境や通信速度が遅い環境で確認したい時、なんと通信速度の調整が可能に！ ヘッダ情報、リクエストデータの確認 ヘッダ情報やGETやPOSTのリクエストデータを確認する時

JPCERT-AT-2019-0033 JPCERT/CC 2019-09-02(新規) 2019-09-06(更新) I. 概要JPCERT/CC では、複数の SSL VPN 製品の脆弱性について、脆弱性に対する実証コードなどの詳細な情報が公表されていることを確認しています。 - Palo Alto Networks (CVE-2019-1579) - Fortinet (CVE-2018-13379) - Pulse Secure (CVE-2019-11510) これらの脆弱性を悪用された場合に、攻撃者がリモートから任意のコードを実行できる可能性 (CVE-2019-1579) や、任意のファイルを読み取り、認証情報などの機微な情報を取得する可能性 (CVE-2018-13379, CVE-2019-11510) があります。なお、脆弱性の報告者からは、それぞれの製品について、上記

「えっ！　Windows 7ってまだSHA-2に対応していなかったの？」「そんなばかな！」：その知識、ホントに正しい？ Windowsにまつわる都市伝説（132） 2019年2月中旬に「3月12日にSHA-2署名をサポートするための重要な更新プログラムがWindows 7およびWindows Server 2008 R2向けにリリース」というニュースを見た人は多いと思います。安全性に問題があるSHA-1は使用せず、SHA-2に移行すべきです。しかし、Windows 7やWindows Server 2008 R2がSHA-2をこれまでサポートしていなかったのかというと、それは全くの誤解です。 Windowsにまつわる都市伝説 Windows 7におけるSHA-2署名のサポートは2014年10月からスタート SHA-1やSHA-2は、SSL/TLS、PGP、SSH、S/MIME、IPsec、

先日ネットサーフィンをしていたら、「接続はプライベートではありません」というエラーが出てしまいました。皆さんももしかしたら、これに似たエラーを見たことがあるかもしれません。 さて、皆さんはこのエラーをどのように受け入れていますか？　よく読むとこのエラー、少々恐ろしめのことが書かれています。いわく「このWebサイトは、あなたの個人情報または金融情報を盗むために、（ドメイン名）になりすましている可能性があります」と。これは何らかの理由で、「SSL/TLS サーバ証明書」（以下、SSLサーバ証明書と表記します）がうまく読み取れない場合や、そもそも文字通り「なりすましている可能性」がある場合に出てくるエラーです。実はこれ、スルーすべきではないエラーです。 本当は怖い「証明書エラー」 そもそもこのSSLサーバ証明書は何に使われるものなのでしょうか。最近では多くのWebサーバが「HTTPS」での通信に

talked at builderscon tokyo 2018

タイトルの通りなんですが、App Service 向けに自動で Let's Encrypt の証明書を更新してくれる Azure Functions を作りました。Durable Functions と ACMESharp Core を使っています。 とりあえずベータリリース的な感じで出してみることにしました。 これまでも Site Extensions と WebJob を使って Let's Encrypt の証明書を更新してくれるものはありましたが、1 サイトに 1 つ仕込む必要があり、結構な確率で失敗することが多かったので不便だと思ってました。サービスプリンシパルを作って設定する必要があったのも面倒でした。 なので、今回の azure-appservice-letsencrypt は以下のような問題を解決するために作りました。 1 つの Azure Function で複数の証明書を

すみだセキュリティ勉強会2018その2での発表資料です。

ようやくやりました。ブログのSSL化。なんと重い腰だったことか。 さて、その重い腰をあげてやってみましたらば、やっぱり面倒なことが起こりまして。 はてなブログのSSL化の設定自体は、めっちゃ簡単です。ブログのダッシュボードから設定ページを開き、「詳細設定タグ」を選択すると、「HTTPS配信」という欄がありますから、そこの「HTTPS配信の状況を確認する」をクリックして進んでいけばOK。ただそれだけ。時間もあっという間です。 でもしかし、それだけじゃ終わらない。 ページがSSL化されるには、「ページ内にHTTPで配信されたコンテンツが含まれてない」という条件を満たす必要があって、これを満たしていないとせっかくSSL化したつもりでも全くできていないということになります。「混在コンテンツ」ってやつです。こうなっては意味なし。 で、これを潰していくのが地味にめんどくさい作業でして。 「ここを直して

こんにちは、菊池です。 先日、以下のエントリでS3を静的ウェブサイトとして公開する手順を紹介しました。 S3 静的ウェブサイトホスティングのドメインを別のAWSアカウントで管理する 今回は、このウェブサイトをSSL/TLSに対応させ、HTTPSでアクセス可能な環境にする手順を紹介します。前提として、上記の記事の手順でS3が公開されていることを前提とします。 S3 + CloudFrontで静的コンテンツをHTTPSで公開するのは、以下でも紹介の通り鉄板の構成です。 AWSにおける静的コンテンツ配信パターンカタログ（アンチパターン含む） 現時点で最新の手順と共に紹介します。 SSL/TLS対応手順 大まかな手順は以下の通りです。 AWS Certificate Manager（ACM）で証明書の取得 CloudFrontディストリビューションの作成 Route 53レコードを変更しアクセス先

Blogger様！Google様！ あぁ、あなた達はなんという素晴らしい仕事をするのでしょうか Googleが牽引してきたWEBサイトのHTTPS化 Googleの無料ブログサービスであるBloggerもいち早くSSL化を提供しましたが、それは「blogspot」ドメイン下のものに限定されていて大勢の独自ドメイン利用者を泣かせました それが2016年あたり それまでのBlogger最大の魅力は無料で強制広告なし、かつ独自ドメイン運用ができる事でしたから今の時に独自ドメインはSSL出来ないというのは厳しかったですね 確かに無料でSSL化されたブログが運用できると大きく評価されました しかし、その後もカスタムドメイン下でのSSL化は情報がなかなか出てこず そもそも「無料でサーバーの用意する必要のない独自ドメインのSSLは無理があるのでは？」「これは実装されないのではないか」と諦めモードに入って

政府機関のウェブサイトが改ざんや盗み見のリスクにさらされている。日本経済新聞と日経BP社の専門誌「日経コンピュータ」が調べたところ、中央省庁の8割弱が閲覧中の不正介入を防ぐ暗号をサイト全体に施していない。米国は政府情報の信頼性を高めるため暗号化を義務付け、中央省庁はほぼ完了した。日本は人手や予算の手当てが遅れており、公開情報を活用するネットサービスに支障が出る懸念もある。グーグルも警告「保護

geffner@ubuntu:~$ # Make a local pipe for input to our openssl client geffner@ubuntu:~$ mkfifo pipe geffner@ubuntu:~$ # Create our openssl client, which will receive input from our pipe geffner@ubuntu:~$ openssl s_client -ign_eof -connect example.org:443 > /dev/null 2> /dev/null < pipe & [1] 98954 geffner@ubuntu:~$ # Begin writing the request to our pipe geffner@ubuntu:~$ printf "GET / HTTP/1.0\nH

Google ChromeでSymantecが発行したSSL証明書の有効期限短縮やEVステータス無効化を提案する [security.srad.jp] など、大手認証局の問題点を指摘していること自体は、Google 自身もルート認証局 [mynavi.jp] なことから中立性に疑問はあるものの、指摘の内容は今のところは評価できます。 しかし、その一方で、ここ最近（数か月～1年前ぐらい?）のアップデートで、Google Chrome (Windows 版) から、ユーザーが認証局名（証明書）を確認するための UI が削除されてしまいました。 どの認証局を信頼するかの決定権は、ブラウザベンダーではなく、ユーザーにあるべきです。にも関わらず、わざわざアップデートでユーザーが認証局名を簡単に確認できなくした Google の対応には大きな問題があると思います。ブラウザベンダーであり、自身もルート認

最近になって、アメーバブログ、楽天ブログ、Yahoo!ブログが立て続けにSSL対応を発表しましたが、いよいよレンタルブログサービスにもSSL（HTTPS）の流れが来てますね！ 僕が利用している「はてなブログ」ではまだアナウンスはありませんが、他のブログサービスが対応し始めているので、はてなブログのSSL対応もそう遠くないと思っています。 SSL(HTTPS)とはSSLとは、インターネット上でデータを暗号化して送受信する仕組み（プロトコル）です。個人情報やクレジットカード情報などの重要なデータを暗号化して、サーバ～PC間での通信を安全に行なうことができます。 SSL/TLS総合解説サイトより引用 簡単に説明するとデータを暗号化してセキュリティ（安全性）を強化するための通信方法です。 SSLに対応する事で、よく問題になっているWEB上でのデータの盗聴、改ざん、なりすまし等を防止することが出来ま

「常時SSL」がSEO対策へ及ぼすことがGoogleより発表されています。常時SSLとはWebサイトの全ページをHTTPS化（SSL/TLS暗号化）するセキュリティ手法です。 以前から「https」で始まるWebサイトは存在していましたが、もっぱら個人情報を入力するフォームであるとか、ECサイトにおける商品の入力フォームだけがSSL化されていました。 現在注目されている「常時SSL」は入力フォームだけではなく、全てのページをSSL化することでインターネット上におけるセキュリティ性を高め、ユーザーに安心して閲覧してもらえるサイトを提供しようといるわけです。 Chromeでの「SSL」表示例 当メディアのトップページ：保護された通信｜https://～と表示されています。 Googleが全面支持。SEO対策でも重要な常時SSL化 なぜ、「常時SSL」が重要視されるようになったのでしょうか。 簡