こんにちは、CSIG 所属の市川です。普段は FutureVuls という脆弱性管理サービスの開発・カスタマーサポートをしています。 「ん？そういえば、HTTPS 通信 (HTTP over SSL/TLS) では実際どのようにセキュアな通信が確立されているんだろう？」 と、ふと気になってしまうこと、ありませんか？私はありました。 というわけで、SSL/TLS について書籍などで学んでみたのですが… アルゴリズムが沢山出てきて頭がこんがらがる…。結局どのフェーズでどのアルゴリズムが使われているんだろう？TLS ハンドシェイクの中では、実際どういった通信が行われているのだろうか。ハンドシェイク確立後はちゃんと暗号化されているのだろうか。…というモヤモヤが残りました。 本記事 (理論編) と、続編の実践編で、この2点の疑問を解決していきます。 本記事でやりたいこと本記事 (理論編) では、以下

3月13日、HTTPのデバッグツールを開発するHTTP Toolkitが「HTTP/3はどこにでもあるが、どこにもない(HTTP/3 is everywhere but nowhere)」と題した記事を公開し、大きな話題を呼んでいる。この記事では、HTTP/3とQUICの標準化・普及状況の現状と課題について詳しく紹介されている。 3月13日、HTTPのデバッグツールを開発するHTTP Toolkitが「HTTP/3はどこにでもあるが、どこにもない(HTTP/3 is everywhere but nowhere)」と題した記事を公開し、大きな話題を呼んでいる。この記事では、HTTP/3とQUICの標準化・普及状況の現状と課題について詳しく紹介されている。 HTTP/3は「どこにでもある」が「どこにもない」 HTTP/3はQUICを基盤とし、TCPベースのHTTP/2よりも接続やデータ転送の

Systemd Adding The Ability to Boot Directly Into A Disk Image Downloaded Via HTTP Written by Michael Larabel in systemd on 10 February 2025 at 08:43 PM EST. 64 Comments Systemd lead developer Lennart Poettering has been working on adding the ability to let systemd boot directly into a disk image downloaded via HTTP within the initial RAM disk (initrd) during the Linux boot process. Poettering is b

はじめに みなさまこんには。日々 Booster で楽しくコードを書いている杉浦(sugi) です。 Booster プロジェクトではタグを入れるだけでサイトを高速化できる「Repro Booster」という製品を作っていますが、そのためにも日々さまざまな最適化手法を調査・模索しています。 その中で個人的に期待しているのが、 103 Early Hints というHTTPステータスコードです。 この記事では Repro Tech Meetup #9 で行った発表(資料)を元に、103 Early Hintsはどのような仕組みなのか、なぜ高速化につながるのか、さらに現状の実装に関して解説します。 ちょっとマイナーな内容ですが、知っておくとウェブパフォーマンス最適化の大きな武器になるかもしれません。 103 Early Hintsの背景 従来のHTTP通信の課題 通常のHTTP通信においては、

これは何 HTTPとWebSocketサーバーのコア部分を実装しながら仕組みを理解していきます。学習目的で実用ではありません。 HTTP、WebSocketはどちらもWEBエンジニアなら当たり前に使うプロトコルですが、仕組みはふわっとしか分かっていませんでした。そんな折サーバー周りを触る必要が出てきたので改めて理解しておきたくなり、せっかくなので自分でいちから実装してみることにしました。コード全体は以下から見れます。 実装する機能 ざっくりと以下のような機能を作っています。 HTTPサーバー GETメソッドのみ、HTTP/1.1のみに対応 リクエストラインをパースして、リクエストに応じた処理を行う（GETのみ対応なのでレスポンスヘッダーを付けてファイルを返すだけ） ヘッダーフィールドもパースするが、Websocket関連以外のフィールドは無視する WebSocketサーバー Websock

社名にHTMLスクリプトタグを採用したソフトウェア開発企業が、企業登記所から「データベースの脆弱(ぜいじゃく)性につながる」として社名変更を強制されたという事例が、ソーシャルニュースサイトのHacker Newsで話題となっています。 Company forced to change name that could be used to hack websites | UK news | The Guardian https://www.theguardian.com/uk-news/2020/nov/06/companies-house-forces-business-name-change-to-prevent-security-risk UK govt aims to kill off Bobby Tables in Companies House name rules https:

10月5日、mitmproxyは「mitmproxy 11」をリリースした。この新バージョンは、HTTP/3の完全サポートを導入し、透明およびリバースプロキシモードでの利用が可能となった。また、DNSの機能改善が数多く行われている。 mitmproxyとは mitmproxyは、オープンソースで開発されているHTTPSの対話型プロキシである。HTTPS通信を解析・監視・変更することができ、主にHTTP/HTTPSトラフィックのプロキシとして利用される。セキュリティ研究者や開発者にとっては、通信内容を可視化し、アプリケーションの動作を調査するための有用なツールである。また、リバースプロキシや透過プロキシとして動作し、特定の通信経路を経由する全てのデータを傍受し、改変することも可能だ。 HTTP/3サポート mitmproxy 11では、HTTP/3がリバースプロキシモードで動作する。mitm

By Sedrubal HTTP/3は2022年に標準化されたHTTPの仕様で、開発当初は「HTTP over QUIC(QUICを使用したHTTP)」と呼ばれていました。HTTP/3を使用することで通信パフォーマンスが向上するとされていますが、特定の条件においては旧バージョンのHTTP/2の方がパフォーマンスが高まるという論文が発表されました。 QUIC is not Quick Enough over Fast Internet | Proceedings of the ACM Web Conference 2024 https://dl.acm.org/doi/10.1145/3589334.3645323 QUIC is not Quick Enough over Fast Internet - YouTube 2024年時点ではHTTPには大きく3つのバージョンが存在しています。

米Amazon.comが7月17日から18日（現地時間）に開催した会員限定セール「プライムデー」。例年と同様、大量の注文をさばくに当たっては米Amazon Web Servicesのクラウドサービスを活用したが、その規模は前年を上回るものだったという。8月19日には、AWSの各種サービスをどれだけ使ったかのデータも公開した。 例えばCDNサービス「Amazon CloudFront」は、プライムデーの期間中、1分当たり最大5億件を超えるHTTPリクエストを処理。リクエストの総数は1兆3000億件（2023年に開催したプライムデーの1.3倍程度）を超えたという。 ログ取得サービス「AWS CloudTrail」ではイベント全体で約9760億件（前回の1.2倍程度）のイベントを処理。セキュリティサービス「Amazon GuardDuty」は、1時間当たり約6兆件（前回の1.3倍程度）のログイベ

Wake up call This post is about HTTP/3 and QUIC. If you don’t know what that is, there are many, many, many, many, many, many, many good resources that will get you up to speed. I’m writing this post to enlighten people on what has been happening in the last few years. All major browsers support HTTP/3 now. Most major cloud providers support HTTP/3 now. Most major load balancers support HTTP/3 now

Firefox 129 Now Available With HTTPS Replacing HTTP As Default Protocol Written by Michael Larabel in Mozilla on 5 August 2024 at 10:43 AM EDT. 47 Comments Mozilla Firefox 129.0 is now available for download ahead of its formal release announcement on Tuesday. Making Firefox 129 notable is that for non-local sites it's now replacing HTTP with HTTPS by default. Firefox will now aim for HTTPS as the

本記事は、TechFeed Experts Night#29 〜 HTTP3/QUIC…Webプロトコル最前線のセッション書き起こし記事になります。 イベントページのタイムテーブルから、その他のセッションに関する記事もお読み頂けますので、一度アクセスしてみてください。 本セッションの登壇者 セッション動画 ＠flano_yukiと言います。普段はXのこのアカウントでHTTP関連の情報発信をしています。この領域に10年ぐらい前に興味を持って取り組んできて、ウェブやHTTPが進化し続けていくおもしろさを感じて追い続けています。今回、HTTPがまだまだ進化しているということを、HTTPそのものの話として皆様にご紹介できればと思います。 HTTPのセマンティクスと、ヘッダやCookieなどの仕様動向をご紹介します。今回は議論中の内容を含んでいることと、HTTPの仕様上の話で、ブラウザやクラウドの側

本記事は、TechFeed Experts Night#29 〜 HTTP3/QUIC…Webプロトコル最前線のセッション書き起こし記事になります。 イベントページのタイムテーブルから、その他のセッションに関する記事もお読み頂けますので、一度アクセスしてみてください。 本セッションの登壇者 セッション動画 僕の方からは「Media Over QUIC 最新事情」という話をしたいと思います。Media Over QUICは映像通信向けQUICの規格で、IETFから出て1年ちょっとぐらいです。自己紹介は割愛します。 今日の概要ですが、Media Over QUIC（MoQ）について、従来の映像通信であるHLSやWebRTCと何が違うのかという話と、標準化の最新動向の話をします。 既存方式の短所を埋めるMedia Over QUIC まず、Media Over QUICとは何かという話ですが、W

本記事は、TechFeed Experts Night#29 〜 HTTP3/QUIC…Webプロトコル最前線のセッション書き起こし記事になります。 イベントページのタイムテーブルから、その他のセッションに関する記事もお読み頂けますので、一度アクセスしてみてください。 本セッションの登壇者 セッション動画 奥一穂と申します。今日は「これからのHTTP～拡大するセマンティクスと高速化」と題して話をさせていただきます。 私はFastlyというCDNの会社で、シニアプリンシパルOSSエンジニアという仕事をやっています。具体的には、Fastlyで使われているHTTPのターミネーターサーバー実装であるH2Oの開発と、その中で使われているTLSやQUICのスタックのメンテナーもやっています。その他、標準化関連ではいくつかのRFCやドラフトで著者や共著者を務めています。

4月3日、OpenSSLはOpenSSL 3.3のベータ版を公開した。このリリースは、半年ごとのリリーススケジュールに従って行われた。OpenSSL 3.3のコードは現在機能的には完全に揃った状態であり、最終リリースも予定通りに行われることが期待されている。 4月3日、OpenSSLはOpenSSL 3.3のベータ版を公開した。このリリースは、半年ごとのリリーススケジュールに従って行われた。OpenSSL 3.3のコードは現在機能的には完全に揃った状態であり、最終リリースも予定通りに行われることが期待されている。 特にQUICプロトコルのサポート強化は、リアルタイム通信の需要が高まる中での重要な進歩と言える。QUICは、高速で信頼性の高い接続を提供することを目的としたプロトコルで、今回のアップデートにはQUIC qlog診断ロギングサポート、複数のQUIC接続やストリームオブジェクトの非ブ