MozillaやCisco、Akamai、電子フロンティア財団（EFF）などが作った研究グループ「Internet Security Research Group」が、無料で利用できるSSL証明書発行機関を創設するという（TechCrunch、CNET Japan）。 この取り組みは「Let's Encrypt」と呼ばれており、SSL証明書を無償で容易に得られるような仕組みを作り上げるという。具体的には、シェル上でコマンドを実行するだけでHTTPSを利用できるようになるそうで、関連コードはGitHub上で公開されている。

Ribbon Network とは 2001 年 03 月に立ち上げました無料ホームページスペースを提供するサイトです。リボンというかわいいイメージより、他の無料スペースよりも女性の方に多く御利用していただいております。また、同人や CG 、ゲーム関連のホスティングに力を入れており、それらのサイト様が当サービスにより多く運営されております。 Yahoo! JAPAN ディレクトリ にも登録されており、安心して御利用いただけます。 ホームページ容量 使用可能なスクリプト php5( safemode ) cgi( perl,ruby,python,c,speedy ) 使用可能なデータベース PostgreSQL, SQLite コンテンツのアップロード FTP による転送( FTPS 対応 ) ログの取得 apache( access_log, error_log, referer_log

中小企業診断士の遠田幹雄です。どもども、ドモドモ(^^)v 中小企業診断士でＩＴコーディネータの遠田幹雄（とおだみきお）が中小企業の経営者に役に立つマーケティングやバランススコアカードや経営戦略などのビジネス情報を紹介する中小企業診断士ブログです。 猛威を振るっているガンブラー（Gumblar）対策としてWEBサイト管理者はFTPのパスワードを変更しようは中小企業診断士ブログ 昨年秋から新型ウイルスのガンブラー（Gumblar）が猛威をふるっている。ガンブラーは人が感染するウイルスではなくパソコンやサーバなどが感染するコンピュータウイルスである。ガンブラーは「ＷＥＢからの脅威」といわれているとおり、ホームページを見ると感染するタイプのウイルスである。大企業や有名企業のＷＥＢサイトが次々と改ざんされニュースになっている。自分のパソコンが感染していないからと安心するのではなく、自分が管理してい

FTP(File Transfer Protocol)はホスト間でファイル転送を行うときに使われるプロトコルである。HTTPより古くから使われているが、パスワードやデータなど通信内容が平文で流れるため(要するに暗号化されずに垂れ流し状態)、悪意のある者がパケットキャプチャをすると転送内容を盗み見されてしまうという深刻な問題がある。 ここでは暗号化してセキュアなファイル転送を行う方法を解説する。 FTP 暗号化されない一般的な FTPは以下のような構成である。 ┏━━━━━┓ ┏━━━━━━┓ ┃FTPサーバ ┣───インターネット────┫FTP ┃ ┃ ┃ ┃クライアント┃ ┗━━━━━┛ ┗━━━━━━┛ ・Tiny FTP Daemon ・FFFTP ・War FTP Daemon プロバイダのサーバやレンタルサーバ上に自分のホームページを持っていると、フ

9 月 21 〜 23 日に開催されていたセキュリティ会議 ekoparty において、SSL 3.0 および TLS 1.0 の CBC モードに対する、いくぶん実用的な盗聴方法 (BEAST) が発表された (ITmedia エンタープライズの記事より)。 この攻撃は blockwise-adaptive chosen-plaintext 攻撃 (Gregory V. Bard 氏による論文) を用いることで暗号化されたデータを復号化できるというもの (yebo blog の記事) 。今回の発表の論文は http://insecure.cl で公開されていたのだが、現在は著者からの要求により削除されている。続報は insecure.cl のサイトか Twitter アカウント @insecurechile にて、とのことなのだがスペイン語なので読解には苦労されることだろう。 この問題は

本家 /. にて、「Why Doesn't Every Website Use HTTPS?」という興味深いストーリーが立てられている。 「HTTPS はよりセキュアなのに、なんでみんなが使わないんだ ?」という至極簡単な疑問が寄せられているだけなのだが、多数の回答が寄せられている。挙げられている理由としては「SSL 証明書を取るのにコストがかかる」「クライアントのパフォーマンスが悪化」などが寄せられている。 ただ、SNS サイトや個人情報を要求されるサイトは増えており、「すべての Web サイトを HTTPS 対応に」という話は悪くないような気がする。実際 Twitter や Google など、HTTPS 対応サイトも増えている。あなたのサイトも HTTPS 対応を検討してみては ? # なんか SSL 証明書の営業みたいなタレコミになってしまった

25日に書いたActiveX漬けの韓国，Vistaに参ったはスラッシュドットジャパンの韓国ではVistaの登場で多くのサイトが使えなくなる?でも取り上げていただいた。ブログでは省略してしまったが，元ニュースを私はSlashdotのKoreans Advised to "Avoid Vista" for Now経由で知った。今回のソースもSlashdotのWhy South Korea Is Shackled To Windows経由でたどりついたことをお断りしておく。 さて，韓国がなぜActiveX漬けになったかはGen Kanai weblog: the cost of monocultureによれば韓国政府が1998年に128ビット暗号化のためにActiveXを使い始めたのに端を発する（1999年1月には128ビットSSLがIETFで標準化される）。韓国はこの独自仕様を民間にも強要した

米 Google は SSL 通信を採用した検索サイト「https://www.google.com」のベータ版をリリースした (INTERNET Watch の記事、本家 /. 記事より) 。 Gmail や Google Docs では SSL 通信をデフォルトにしているが、検索サイトでの対応は今回が初めて。画像検索や Google Map にはまだ対応しておらず、通常のウェブ検索でのみ使用可能となっている。 Google の SSL Search : Web Search Help のページによると、SSL 通信によって検索クエリの第三者による傍受からユーザを保護するのが目的であるとのことだが、本家 /. などでは「検索されている情報を元に (それを売るなどして) 金儲けをしようとする人々から自分たちのビジネスを守ろうとしているだけ」といった見方も示されている。

ITmediaの記事によると、正規のSSL証明書を使った詐欺サイトがここ一ヶ月で急増しているそうだ。 手口としては、SSL証明書を持っているWebサイトを攻撃者が乗っ取り、そこで詐欺サイトを運用する、という手口らしい。SSL証明書は正規のものなので、ユーザーは「詐欺サイトではない」と思い込んでしまうという。 ITmediaの記事によると、EV-SSLを使用することで詐欺サイトかどうか見分けられる、ということだが、EV-SSL証明書を取得したサイトが乗っ取られてしまったら結局変わらないと思うのだが……。

TechCrunch Japaneseで日本語の記事が出ているが、HTTPSで通信を行う際に使われる公開鍵証明書を偽造することに成功したそうだ。 HTTPSでは、接続しようとしているWebサイトが正当なものかどうかを判断するために公開鍵証明書を使用している。この公開鍵証明書は認証局の署名により「正当なものである」ことが担保されるが、今回は証明書のデジタル署名にMD5が使われていることに注目、PS3を200台使ったシステムでこの署名をクラックしてニセ証明書を作成することに成功したとのこと。 現在ではMD5は安全ではない、ということは広く知られているとは思うが、まだMD5を使用して認証を行っている認証局は少なくないようだ。対策としては認証局がMD5ではなくより強固なSHA-1などの暗号化方法を採用することくらいしか無い模様で、ユーザーサイドでは「不審なサイトには重要な情報は送信しない」というこ

本家のストーリにもなっているが、認証局として知られる「Comodo」のアウトソース先の証明書販売業者が、mozilla.com用のサーバ証明書を関係のない第三者に発行してしまう事件が発生したようだ（eWeekの記事「SSL Certificate Vendor Sells Mozilla.com Cert to Some Guy」、mozilla.dev.tech.cryptoグループに掲載されている事件の経緯）。 これをやらかしたのは「Certstar」というComodoの再販業者のようだ。StartComのEddy Nigg氏がこの再販業者に対してmozilla.com用のサーバ証明書の取得を試みたところ、何の本人確認手続きもなしに証明書が発行され手に入ってしまったのだそうだ。mozilla.dev.tech.cryptoでは、Comodoの人が出てきて、この再販業者からの発行を停止し

JVNの記事によれば、暗号通信プロトコル「SSH」で使用される通信方式の一部に対する攻撃方法が報告されたらしい。低確率ながら、この攻撃が成立した場合、ひとつの暗号化ブロックから 32ビットの平文を取り出すことが可能とのこと。対策として、CBC（Cipher Block Chaining）モードではなく CTR（CounTR）モードを使用することが挙げられている。 また、セキュリティホール memoの記事およびCPNIのアドバイザリによれば、 少なくとも OpenSSH 4.7p1 に欠陥 2-18 という極めて低い確率ではあるが、任意の暗号化ブロックから 32bit の平文を取り出すことができる この手法の変形版を使用すると、2-14 の確率で 14bit の平文を取り出すことができる 他の SSH 実装での状況は不明 (だが同様か?!) OpenSSH の場合、OpenSSH 3.7 以

ドメイン名の異なる証明書や自己署名証明書がはびこる昨今のインターネットですが、こうした証明書の安全性を担保するPerspectivesというFirefox機能拡張がSF.JP Magazineの記事で紹介されています。Perspectivesはカーネギーメロン大学で開発されており、以下のような仕組みになっています。 証明書エラーが発生したら、Perspectivesはその証明書について公証サイトに問い合わせる 公証サイトは問題のある証明書のフィンガープリントを収集、追跡しており、問い合わせを受けた証明書がどれくらい前から使われているのかを応答する 証明書が使われていた期間が十分長ければ、Perspectivesはなりすましではないと判断し証明書を受け入れる（期間はユーザーが調節できる） もちろん、認証局が保証する安全性とは比べようもありませんが、ユーザーが証明書エラーに馴れてしまって危険な

ソフトイーサ社の2007年1月16日のニュースリリースによると、同社はデスクトップ環境へのリモートアクセスを安全に実現するソフトウェアであるDesktop VPNの開発を行っているとのこと。 同ソフトウェアは、「SSL-VPN + リモートデスクトップ」といった感じの機能を実現するが、面白いのは 管理者権限を必要としない NATの内側にあるコンピュータ間の接続 というあたりだ。 ニュースリリースとともに、ベータ1がダウンロード可能になっており、今後の開発計画も公開されているので、興味がある人は試してみて、所感その他をフィードバックしてみてはどうだろうか。