2016.09.23 Let's EncryptがVerisignと棲み分けできる理由: SSL証明書の「DV、OV、EV」とは何か こんにちは、hachi8833です。 無料でSSL証明書を発行してくれるLet's Encryptが大人気を博していますが、Verisignを始めとする有料の認証局（CA）はやきもきしていたり刺客を差し向けていたりしないのでしょうか？ そのあたりを弊社インフラエンジニアのyamasitaさん、そしておなじみmorimorihogeさんとbabaさんが解説してくれました。 証明書のランク分け: DV、OV、EV SSLなどで使われる証明書の種類として、DV（Domain Validation）、OV（Organization Validation）、EV（Extended Validation）の3つがあります。 ざっくり言うと、後者になるほど値段も張り、取得

はじめに yumetodo.hateblo.jp の記事を書いたyumetodoです。やっぱりGPKIよくわかってません(ぇ。 結論 自前認証局によるGPKIは安らかな眠りにつきそうです。 セコムトラストシステムズさん、あとは任せた。 2月のGPKI騒動は結局何だったか 上の記事を書いたのが2月のことです。 2018年3月1日木曜日 1時15分06秒 UTC+9 Elic Mill So, to be clear, you would only revoke misissued certificates if required to do so by Mozilla -- not because they represent control failures, or in order to demonstrate to other root programs your CA's respo

追記: その後の動きについて書きました → Let's Encryptの証明書切替周りその後 このサイトはLet's Encryptで証明書発行しているのでタイトルの件が気になったのだが、どうもあまり話題になっていない。恥ずかしながらSSL周り詳しいわけじゃないので、誤っているかも知れない。識者の意見を求む。 Let's Encryptが使われているサイトがAndroid7.1以前のバージョンで今年の9月29日以降見られなくなる可能性がある 延命策は用意されそうだが、それも来年の9月29日まで Let's Encryptのルート証明書切り替え計画に起因している Let's Encryptのルート証明書の変更 Let's Encryptはルート証明書を自身(ISRG)の認証局のルート証明書(ISRG Root X1)に切り替えようとしている。現在は、IdenTrustのルート証明書(DST

はじめに モバイルアプリを開発しているときに、アプリとサーバー間の通信を確認したいときがあります。たとえば、期待通りの HTTP リクエストが送られているか調べたり、サーバーからのレスポンスが間違っていないか確認したりする必要が生じます。 そんなときに、いちいちデバッガで止めても良いのですが、プロキシをはさめば簡単に通信を覗くことができます。しかも、レスポンスを改竄して、わざと不正なレスポンスにしてアプリがクラッシュしないかテストしたり、特定のリクエストだけブロックしてサーバー障害を擬似的に再現することができます。 mitmproxy とは mitmproxy は man-in-the-middle 型のプロキシサーバーのツールです。OS X や Windows、Linux 上で動作し、対話式の CUI を持ちます。SSL サポートをしている点が特長になります。 公式サイト: http:/

今回は Android エミュレータでアプリを動かして、アプリが行う HTTP / HTTPS 通信の中身を覗いてみます。 環境&ツール Windows 10 Android Studio のエミュレータ (v3.2.1) mitmproxy (v4.0) 準備 ツールのインストール Android Studio と mitmproxy をインストールしてください。 仮想デバイスの作成 私は以下の構成で仮想デバイスを作成しました。 ハードウェア Pixel 2 システムイメージ API Level : 28 ABI : x86 Target : Android9.0 (Google APIs) ※ Android9.0 (Google Play) と書かれたイメージだと adb root が使えないで、 Android9.0 (Google APIs) と書かれたイメージを選択してください

はじめに 煽っておいてすみません。ぶっちゃけGPKIよくわかってないです。 一応 GPKIとはなにか？ - IT digitalforensic.jp の内容が理解できる程度にはわかっているつもりですが。 前提知識 誰がどんな立場にいるかわからんと全くわからんと思うので CA/Policy Participants - MozillaWiki 問題 アプリケーション認証局２(Sub) | 政府認証基盤(GPKI)のホームページ にもあるように、 https://www.gpki.go.jp/selfcert/finger_print.html にアクセスしようとすると のようにルート証明書が信用できんといわれるんですね。 それで、ルート証明書を信用してくれるように mozilla.dev.security.policy › Japan GPKI Root Renewal Request （

ソフトバンクは12月6日、同日発生した携帯電話ネットワークの通信障害について、原因を公表した。 通信障害は12月6日午後1時39分から午後6時4分にかけて、ソフトバンクとワイモバイルの4G（LTE）、固定電話サービスの「おうちのでんわ」、LTEを利用した自宅・家庭用Wi-Fi「SoftBank Air」で発生した。影響を受けた台数は現在調査中だ。 午後1時39分に東京センターと大阪センターのエリクソン製パケット交換機全台数で、ソフトウエアに異常が発生。これまで9カ月の運用では異常は見られなかったという。エリクソンからの連絡によれば、同社製の通信設備を使用する海外11カ国の通信事業者でもほぼ同時刻に同様の問題が発生したとソフトバンクは説明。エリクソン製通信設備を導入している英国O2の通信障害も同様の原因と想定される。 ソフトバンクでは、今後はエリクソンと共同で徹底した再発防止に取り組んでいく

ソフトウェア開発会社の144Labは11月26日、同社が販売しているIoTデバイス「うんこボタン」の不具合について発表した。赤ちゃんの排泄をボタンを押すだけでクラウドに記録する「うんこボタン」は、これまで販売した全品が通信の不具合により動作しなくなったため、同社が回収し交換する。 不具合の原因は「2018年11月24日のうんこボタンサーバの通信環境アップデートにおけるミス」と同社は説明。後進復帰も不可能であるためボタンデバイス側のファームウェアを直接更新する必要があるという。 うんこボタンは、2つの押しボタンで赤ちゃんがうんこ、おしっこをしたタイミングをクラウドに記録。スマートフォンで使えるWebアプリとの連動により、固いか柔らかいかといった細かい情報を後で追加することもでき、それらの情報をLINEグループにより家族などと共有できる。2017年にMakuakeでクラウドファンディングし人気

社会人生活の半分をフリーランス、半分をIIJで過ごすエンジニア。元々はアプリケーション屋だったはずが、クラウドと出会ったばかりに半身をインフラ屋に売り渡す羽目に。現在はコンテナ技術に傾倒中だが語りだすと長いので割愛。タグをつけるならコンテナ、クラウド、ロードバイク、うどん。 2018年7月はWeb業界にとって記憶に残る日になるでしょう。httpsが標準となった日として。 これまでWebサイトへのアクセスにはhttpを利用するのが通常で、安全性が求められる場合にはhttpsを利用すると考えられてきましたが、これからはhttpsを使うのが当たり前になっていくでしょう。この流れを強力にけん引しているのは、保守的な我が国においてもトップシェアブラウザとなったChromeを擁するGoogleであることはご存知の通りです。これまではhttpでのアクセスには特に表記はなく、httpsでアクセスすると「保

Google ChromeでSymantecが発行したSSL証明書の有効期限短縮やEVステータス無効化を提案する [security.srad.jp] など、大手認証局の問題点を指摘していること自体は、Google 自身もルート認証局 [mynavi.jp] なことから中立性に疑問はあるものの、指摘の内容は今のところは評価できます。 しかし、その一方で、ここ最近（数か月～1年前ぐらい?）のアップデートで、Google Chrome (Windows 版) から、ユーザーが認証局名（証明書）を確認するための UI が削除されてしまいました。 どの認証局を信頼するかの決定権は、ブラウザベンダーではなく、ユーザーにあるべきです。にも関わらず、わざわざアップデートでユーザーが認証局名を簡単に確認できなくした Google の対応には大きな問題があると思います。ブラウザベンダーであり、自身もルート認

（初めに言い訳しておくと、証明書界隈については詳しくないです。某誤訳量産サイトが適当な記事を書いていたので、なにか書かねばと思って書いているという程度のまとめ記事です。間違いなどあればご指摘ください） 何が起こるのか Ryan Sleeviさん（Googleの人）がBlink-devのメーリングリストに投稿したこれにまとまっています：https://groups.google.com/a/chromium.org/d/msg/blink-dev/eUAKwjihhBs/rpxMXjZHCQAJ 経緯についてはいったん飛ばして、どのようなアクションが提案されているのか見ます。 To restore confidence and security of our users, we propose the following steps: A reduction in the accepted

米Symantecの認証局が手違いにより、「google.com」などのドメイン向けのテスト証明書をドメイン所有者が知らないうちに発行していたことが分かり、米Googleは10月28日、同社に対して対応を要求した。Symantecの対応次第では、Google製品でSymantecの証明書が安全とみなされなくなる可能性もあると警告している。 Symantecが10月2日に発表したインシデント報告書で、GoogleやOperaなど5組織向けのテスト証明書23件がドメイン所有者の知らないうちに発行されていたと報告した。これに対してGoogleは、不審な証明書はそれ以外にも存在すると指摘。その後、Symantecは10月12日に出した更新版の報告書で、さらに76ドメイン向けの証明書164件と、未登録ドメイン向けの証明書2458件が見つかったと発表した。 GoogleはこうしたSymantecの対応

Googleは、シマンテック発行のSSL証明証に対し、厳しい処罰を検討しているという。 シマンテックまたはその証明書の再販業者がSSL証明書を不適切に発行したという重大な事件について、Googleは厳しい処罰を検討しています。 提案された計画は、会社にすべての顧客の証明書を置き換え、それを持っているユーザーの拡張された検証（EV）ステータスの認識を停止することです。 シマンテックは、2015年のNetcraft調査によると、ウェブ上で使用される3つのSSL証明書のそれぞれについて約1つを担当し、世界最大の商用証明書の発行者となっています。数年にわたり買収した結果、VeriSign、GeoTrust、Thawte、RapidSSLなどの以前のスタンドアロン認証局のルート証明書を管理しています。 SSL / TLS証明書は、ブラウザとHTTPS対応のWebサイトとの間の接続を暗号化し、ユーザー

by Barney Moss 無料でSSL証明書を発行してくれることで、多くの自宅サーバーユーザーに重宝されている中国最大級の認証局「沃通(WoSign)」が、「偽物の証明書」を大量に発行していたことが明らかになりました。 The story of how WoSign gave me an SSL certificate for GitHub.com | Schrauger.com https://www.schrauger.com/the-story-of-how-wosign-gave-me-an-ssl-certificate-for-github-com Thoughts and Observations: Chinese CA WoSign faces revocation after possibly issuing fake certificates of Github,

Dell製PCで確認された勝手ルート証明書問題（Superfish2.0とも呼称されている）の関連情報をまとめます。 Dellの公式見解・サポート情報 更新：弊社PC証明書脆弱性について（eDellRoot証明書ならびにDSDTestProvider証明書） 弊社PC証明書脆弱性について（eDellRoot証明書） Dell System Detect Security Update Response to Concerns Regarding eDellroot Certificate Information on the eDellRoot certificate and how to remove it from your Dell PC Information on the eDellRoot and DSDTestProvider certificates and how to