有効期間短縮の歴史 SSLサーバー証明書（以下、SSL証明書）の有効期間は、当初は最長5年でしたが2015年に3年になり、2018年に2年、2020年には1年 + 1ヶ月となり、段階的に長期間のSSL証明書が廃止されてきました。 サーバーを管理している方はよくご存知だと思いますが、SSL証明書の更新作業には結構手間が掛かります。さくらのレンタルサーバなら管理画面からSSL証明書の登録が簡単にできますが、大規模サイトなどでは「他社に外注しているため作業費用が都度発生してしまう」といったケースもあると思います。そのような想像が容易にできるにも関わらず、ハイペースで有効期間が短縮されていく背景とは一体何なのでしょうか？ 有効期間を決めるのは誰なのか？ SSL証明書の仕様に関しては、GoogleやMozillaなどのブラウザ開発ベンダーと、DigiCertやSectigoなどの認証局（CA：Cer

追記: その後の動きについて書きました → Let's Encryptの証明書切替周りその後 このサイトはLet's Encryptで証明書発行しているのでタイトルの件が気になったのだが、どうもあまり話題になっていない。恥ずかしながらSSL周り詳しいわけじゃないので、誤っているかも知れない。識者の意見を求む。 Let's Encryptが使われているサイトがAndroid7.1以前のバージョンで今年の9月29日以降見られなくなる可能性がある 延命策は用意されそうだが、それも来年の9月29日まで Let's Encryptのルート証明書切り替え計画に起因している Let's Encryptのルート証明書の変更 Let's Encryptはルート証明書を自身(ISRG)の認証局のルート証明書(ISRG Root X1)に切り替えようとしている。現在は、IdenTrustのルート証明書(DST

Webサイトの運営者が気づかないうちに、アクセスが急減したりユーザーの離反が広がったりするサイトが2018年10月に続出するかもしれない。 米グーグル（Google）は2018年10月16日にWebブラウザーの最新版「Chrome 70」をリリースした。「常時SSL/TLS」という暗号化技術を全面導入していないWebサイトにアクセスして文字を入力しようとすると「保護されていません」という警告が赤色の文字で表示する。7月にリリースされた「Chrome 68」から同様の警告が出ているが「70」でさらに強調されるようになった。 Chromeのシェアは4～6割といわれ、数あるWebブラウザーの中で最大だ。常時SSL/TLSはユーザーがWebブラウザーでWebサーバーにアクセスする際に、データを暗号化して安全性を高める技術である。WebブラウザーとWebサーバーとの間でHTTP（Hypertext

文部科学省ホームページの常時暗号化のお知らせ 文部科学省ホームページは、 2019年12月11日（水曜日）（予定）より、「https」からはじまるURLにてアクセスいただけるように変更になります。 常時暗号化について 文部科学省ホームページは、 2019年12月11日（水曜日）（予定）より常時暗号化通信（TLS1.2）を採用するため、URLが以下のとおりに変更になります。 現行URL 　　　　　http://www.mext.go.jp 変更後のURL 　　　https ://www.mext.go.jp 通信回線の常時暗号化対応を行うことにより、セキュリティが強化されることで、より安心 してホームページを御利用いただくことが可能になります 。 TLSとは 「TLS（Transport Layer Security ）」とは、ウェブサイトとそれを閲覧するユーザーの間の通信を暗号化することで

以前から気になっていた「次世代 Web カンファレンス 2019」を、ようやく聴きに行くことができました。 たくさんのトークがありましたが、ここではHTTPS (hashtag: #nwc_https)をメモしておきます。なお、このセッションが間違いなく一番アツく、一番面白かったです! 当日の動画 https://www.youtube.com/watch?v=_8dCa8wj8QY togetter https://togetter.com/li/1268794 以下、当日参加した、もしくは動画を見たという前提でのメモなので、見てない人はぜひ見ましょう。 PKI 「低レイヤから行きましょう」ということで、はじめはPKI絡み。Symantecのdistrustと、日本のGPKIの話でした。 トーク中に何度か出てきましたが、認証局(厳密にはCAとRAを分けて書くべきですが、どうせみんな一緒な

ウェブサイト全体の通信を暗号化する「常時SSL化」と呼ばれる対策について、地方自治体の対応が遅れている。サイトの安全性、信頼性を高めるもので、政府や大企業は対応を進めているが、自治体レベルでは必要性の認識が高まっていない。専門家は「信頼を求められる自治体サイトでは率先して導入すべきだ」と呼びかけている。◆「保護されていません」「保護されていない通信」――。8月上旬、東京都品川区に住む60代の

米グーグルの閲覧ソフト（ブラウザー）「クローム」の最新版の配布が米国時間24日に始まったが、経済産業省や総務省のホームページを閲覧すると、「（通信が）保護されていません」と警告文が表示される事態となっている。安全対策が不十分とクロームが認識したためとみられる。

全国の地方自治体の6割が、ホームページのセキュリティー対策の一つである「常時暗号化」への対応が遅れており、サイト利用者の通信内容が、悪意を持つハッカーから盗み見される恐れがあることが14日までに、民間調査で分かった。 政府は6月に公表したセキュリティー対策基準の改定案に、中央省庁サイトの常時暗号化を「義務化」すると盛り込んだ。自治体サイトに関しても今後、対応を促す見通しだ。 調査した日本情報経済社会推進協会によると、多くの自治体は問い合わせフォームなど一部ページの暗号化はしているが、全ページを安全にする常時暗号化は6月上旬時点で37.4％にとどまった。

最大シェアを持つWebブラウザー「Chrome」で7月中にも、SSL/TLS証明書を全面導入していないサイトに警告が表示される。銀行やEC事業者などは「常時SSL化」の対応を迫られる。

印刷する メールで送る テキスト HTML 電子書籍 PDF ダウンロード テキスト 電子書籍 PDF クリップした記事をMyページから読むことができます 日本情報経済社会推進協会（JIPDEC）とフィードテイラーは6月25日、全国1788の自治体のウェブサイトにおける「常時SSL」（全体のウェブページがSSL/TLSの暗号化通信に対応していること）の対応状況調査の結果を発表した。常時SSLに対応しているのは37.4％にとどまることが分かった。 調査では、自治体サイトのトップページにSSLが設定されている場合を「常時SSL対応済みウェブサイト」と認定。トップページでの設定がなく、調査で「未対応サイト」としていても、中には問い合わせページなど一部で対応しているケースもあると説明する。 調査結果によると、常時SSLに未対応の自治体サイトは62.6％。常時SSLの設定率は都道府県では48.9％、

世界的なデジタル革命の進展の中、インターネット上の情報の真正性を担保する電子署名等のトラストサービスの重要性が増大しています。また、サイバーセキュリティの観点から、電子メール・Webサイトの改ざんやなりすましへの対策にも注目が集まっています。欧州では、2016年7月にeIDAS規則が全面施行され、トラストサービスの適合性評価の仕組みが制度化されました。 一方、我が国においても、クラウドを活用した電子契約サービス等が急速に普及する中、電子文書の真正性を担保する電子署名等の重要性が再認識されているところです。 JIPDECは、JCAN証明書の発行等を通じて、電子契約サービス等に用いられる電子署名の信頼性確保に取り組んできました。その結果として、多種多様な電子契約サービスが出現してきましたが、利用者（個人，企業等）にとっては、それらの信頼性に対する情報の不足が顕著となっています。すなわち、電子署

【変更履歴 2018年2月15日】当初の記事タイトルは「いまなぜHTTPS化なのか？ 技術者が知っておきたいSEOよりずっと大切なこと ― TLSの歴史と技術背景」でしたが、現行のものに変更しました。現在GoogleではWebサイトのHTTPS対応と検索結果の関係を強調しておらず、本記事の趣旨の一つにも本来は独立した問題であるSEOとHTTPS化を関連付けるという根強い誤解を解くことがありますが、当初のタイトルではかえってSEOとHTTPSを関連付けて読まれるおそれがあり、また同様の指摘もいただいたことから変更いたしました。 HTTPとHTTPSは、共にTCP通信上で動作します。したがって、いずれもTCPハンドシェイクで通信を開始します。 HTTP通信の場合には、このTCPハンドシェイク直後に、HTTPリクエストとレスポンスのやり取りが始まります。このHTTPのやり取りは平文通信であり、途

第４９４号コラム：上原 哲太郎　副会長 （立命館大学　情報理工学部　セキュリティ・ネットワークコース　教授） 題：「常時ＳＳＬ／ＴＬＳ通信のもたらすもの」 インターネットはかつて、通信に関しては原則として暗号化はオプションであって必須としないという方向で標準化されてきました。電子メールもWebも、基本となるプロトコルは全て暗号化も利用者認証もない状態で標準化されており、パスワード送信など限られた重要な場面でのみ通信路を暗号化するという方向で運用されてきました。ところが、インターネットにおける標準を事実上決めているIETFでは、このところ通信の全てを暗号化しようとする議論が盛んです。その流れを作ったのは２０１３年のPRISM騒動でした。Edward Snowden氏が米国NSAの広範な諜報活動を告発したことにより、国家権力による通信監視が現実の脅威であるという危機感がIETFを覆ったのです。

政府機関のウェブサイトが改ざんや盗み見のリスクにさらされている。日本経済新聞と日経BP社の専門誌「日経コンピュータ」が調べたところ、中央省庁の8割弱が閲覧中の不正介入を防ぐ暗号をサイト全体に施していない。米国は政府情報の信頼性を高めるため暗号化を義務付け、中央省庁はほぼ完了した。日本は人手や予算の手当てが遅れており、公開情報を活用するネットサービスに支障が出る懸念もある。グーグルも警告「保護

Modern Ciphersuite: ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-AES256-GCM-SHA384:DHE-RSA-AES128-GCM-SHA256:DHE-DSS-AES128-GCM-SHA256:kEDH+AESGCM:ECDHE-RSA-AES128-SHA256:ECDHE-ECDSA-AES128-SHA256:ECDHE-RSA-AES128-SHA:ECDHE-ECDSA-AES128-SHA:ECDHE-RSA-AES256-SHA384:ECDHE-ECDSA-AES256-SHA384:ECDHE-RSA-AES256-SHA:ECDHE-ECDSA-AES256-SHA:DHE-RSA-AES1

By Sean MacEntee 通信の内容を暗号化することでセキュアなインターネット通信を実現するHTTPSへの対応が全世界的に進められています。セキュリティ関連の専門家であるトロイ・ハント氏はこの状況について、変化の動きが急激に大きくなるティッピングポイントに達したと指摘しています。 Troy Hunt: HTTPS adoption has reached the tipping point https://www.troyhunt.com/https-adoption-has-reached-the-tipping-point/ ハント氏はまず、2016年10月にネットのトラフィックをモニタリングしているMozilla Telemetryにおいて、HTTPS経由で送信されたページリクエストが全体の50%を超えたことを挙げて潮目の変化を示しています。 Yesterday, for t