サーバ証明書

証明書は、サイトを証明するための認証方法の違いによって種類が異なり、３種類ある。 暗号強度に関しては違いはない。 名称 認証方法 費用 DV ドメイン所有のみ証明 0〜数万円 OV ドメイン所有、会社実在性を証明 数万円〜 EV ドメイン所有、会社実在性、電話認証（在籍確認、会社運用状況等）を証明 十数万円〜 それぞれのサイトの違いは下記で確認できる。 DV：Domain Validation ドメイン所有のみなので、証明書の情報は薄い。 OV：Organization Validation ドメイン所有に加えて、会社実在性が必要なため会社情報がある。 EV：Extended Validati…

snapdのインストール Let’s Encryptを使うにはACME プロトコルというルールを使用するソフトウェアを使う。Certbot という ACME クライアントを使うことを公式では推奨している。このCertbotを使うためにsnapdをインストールする。 Installing snap on Debian sudo apt update sudo apt install snapd exit # 一旦ログアウトしてPATHを更新する ssh -p xxx username@xxx.yyy.zzz.*** #再ログイン sudo snap install core snapがインストー…

サーバ証明書はどんな時に使うのか？ HTTP通信とHTTPS通信の違い なぜサーバ証明書が必要？ サーバ証明書発行の流れ 参考 サーバ証明書はどんな時に使うのか？ サーバ証明書は、HTTPS通信に対応したサイトにする際に必要になる。HTTPS通信は下記のようなサーバクライアント間の暗号化通信を行うもの。 HTTP通信とHTTPS通信の違い HTTPS通信では暗号化通信を行うので、サーバクライアント間で暗号化に使う鍵を事前に交換しておく必要がある。交換した鍵を用いて暗号化通信をすることで安全な通信が実現できる。 TLS通信によるメリットをまとめる。 真正性 サーバ証明書を利用して、サーバが本物で…

前回はcurlの-kオプションを使った時の挙動をcurlの出力から追ってみました。 今回はパケットから見てみようかなと思います。 毎回yahooさんだとアレなので、今回は世界のSonyさんに(勝手に)ご協力をいただきました。 サイトのFQDNとSNIのFQDNが違った場合 パケットキャプチャ1これはSonyさんのWebサイトに接続した際のパケットをwiresharkで取得したものです。 3way handshakeの後にTLSのネゴシエーションが始まっており、 ・ClientHello(自PC→Webサイト) ・ServerHello(Webサイト→自PC) ・ServerKeyChange(…

はじめに smtps や ldaps などの SSL/TLS 通信をするときに、サーバ証明書の検証がよくわからず、検証しない設定にしてしまう方もいらっしゃるのではないかなと思います。 同じような設定に戸惑いたくなかったので、サーバ証明書の検証の流れについて整理してみました。 最後にパターンごとの具体例も載せているので、よければみてください！ 記事目安...15分 はじめに サーバ証明書の検証とは? サーバ証明書に記載された公開鍵の検証 ルート証明書以外の場合(=サーバ証明書, 中間証明書の場合) ルート証明書の場合 サーバ証明書の検証 検証の具体例 パターン1: 第三者 ルート CA に認証さ…

はじめに サーバ証明書を、第3者 CA に認証してもらう流れについて、ざっくりまとめました。備忘録です。 記事目安...10分 はじめに 解説 まとめ 解説 図で表してみます。 〇各作業の詳細 ① hogehoge サーバ管理者が、秘密鍵ファイル ( hogehoge.key )から、 署名要求ファイル( hogehoge.csr ) を作成します。 ② hogehoge サーバ管理者が、署名要求ファイル( hogehoge.csr ) の正当性を保証するために、第3者の CA に電子署名を要求します。 ③第3者 CA が、署名要求ファイル( hogehoge.csr ) をハッシュ関数でハッ…

オレオレ証明書は使っていいのか？ 暗号化されてるの？ 暗号化はされている。しかし、通信相手が、秘密を守ってくれる相手（攻撃者ではない）であることが前提。 使っていいの？ 相手の断定は難しい（実在証明が難しい）が使いますか？の答えが答え。 Docker操作とnginx設定 事前確認 docker container run -d -p 8080:80 --name nginx nginx docker exec -it xxxxxxxxxxxxxx /bin/bash exit docker stop xxxxxxxxxxxxxx docker exec -it nginx /bin/bash …

タイトルの通りなんですが、その昔これを見つけた時はヘンな汗が噴き出ましたよ。 eapol_testを使ったEAP-TLS認証 SUCCESS... (；ﾟ∀ﾟ) 自分はEAP-TLSを使わないからといっても、デフォルトで穴が開くので要注意です。 不具合の内容 以下の条件がすべて満たされているとき、同一CAが発行・署名したクライアント証明書を用いて、第三者によるEAP-TLS認証が成功します。無線LANに不正に接続できたりします。 FreeRADIUSでPEAP, EAP-TTLSなどを使っている。 Public CAから発行されたサーバ証明書を使っている (Let's EncryptでもUPK…

「ポイントサイトでポイ活を始めてみたいけどなんとなく怪しそうで不安…」 「ポイントサイトって何か危険やリスクはあるの？」 そんな疑問やお悩みにタマヤスがスッキリ簡潔にお答えいたします！ さらにこのページのラストでは、ポイントサイトを利用するようになって軽く人生変わった、重度のポイントオタクであるタマヤスが、長年の経験から導き出した、最も優秀なポイントサイトをたった一つ、心を鬼にした絞り込みで挙げています。 せっかくなら最高の選択でスタートしたいあなたに、必見の情報ですので、どうぞ最後までお楽しみくださいませ(๑•̀ᴗ- ) ੭” この記事で分かること… ポイントサイトの危険性とリスクについて …

WEP、WPA 無線LANセキュリティ規格。暗号化アルゴリズムはRC4、TKIP。 WPA2 暗号化アルゴリズムはAES。 チャレンジレスポンス認証 チャレンジコードとパスワードからなるハッシュ値を利用。 PPP データリンク層のプロトコル。HDLC手順。 RADIUSサーバ サーバをアクセスサーバと認証サーバに分けることで安全性を高める。 PKI 公開鍵の正当性を示す。 サーバ証明書 DV証明書：ドメイン認証型。オンライン申請可 OV証明書：企業認証型。組織の存在も証明 EV証明書：EV SSL証明書。最も厳格 パケットフィルタリング ダイナミック：TCPヘッダのシーケンス番号など WAF …

色々分かってなかったが同僚に詳しく教えてもらって理解が進んだ。 通常のプロキシ or MITM プロキシ 透過型プロキシ or 明示型プロキシ http proxy or https proxy という三つの直交した分類がある。 1. 普通のプロキシ or MITM プロキシ 普通のプロキシ = クライアント <-> 接続先サーバーのリクエスト/レスポンスの中身を覗かず弄らず、そのまま渡す。プロキシサーバーは土管。便宜上「パススルー型」とでも呼びたいが、どうも一般的な呼称ではなさそう。 【図解】httpプロキシサーバの仕組み(http GET/https CONNECTメソッド)や必要性・役割…

プライバシー保護の点では…… 無線LANなどの認証プロトコルとしておなじみのEAP-TLS。ID・パスワードを使うEAP-TTLSやPEAPと比べて、より優れたセキュリティを実現できるものとして、二重丸が付けられた比較表などをよく見かけます。ところがこれ、うたい文句通りに受け取ってはいけないものだったりします。 "パスワードレスなんだ～！証明書を使うなら安全だね！" 😇 ま、まて、まて……🫠 以下、このようなお話です。 基本形のEAP-TLSには、認証のセキュリティは高くても、証明書の中身が基地局やハブの事業者にも見えるという、プライバシー保護上の問題がある。 プライバシー保護の観点で、基本形…

VPNサーバーが割り当てるIPアドレスとモバイルWiFiが割当てるIPアドレスは重複しては行けない理由について 重点対策 p124 H28 A PI 問2 IPアドレスはNICごとに割り当てられるため、重複しても良いのではないか？と考えていたが違った。 そもそもIPアドレスの重複以前に、NICごとにサブネットが違っている必要がある。 なぜならそもそもPCはルーティングテーブルに従って通信先を決める。 複数NICがあってIPアドレスが割り当ててられてても、ルーティングテーブルは端末に1つということが重要。 ルーティングテーブルが1つ = サブネットを分けないとNICを使い分けることが出来ない。 …

2024年2月5日～2024年2月11日に読んだ中で気になったニュースとメモ書きです。社内勉強会TLSらじお第143回分。 [CTログのモニタリング] [耐量子暗号ハンドシェイク遅延] [その他のニュース] ▼Google Trust Servicesのインシデント（2024/01/31） ▼Microsoft Cloud PKI ▼Go 1.22リリース ▼OV/EV証明書のACME ▼ルートDNSのDoT ▼3ツイートでChaCha20-Poly1305 ▼ErlangのmTLSバグ修正 [暗認本：42 VPN] [まとめ]

ADCSのSHA2移行後にサーバ証明書、クライアント証明書がSHA2で発行されているかの確認方法について説明したいと思います。 ADCSのSHA2移行方法は、以下の公式情報が参考になります。 ■暗号化サービスプロバイダー（CSP）からキーストレージプロバイダー（KSP）への証明機関キーの移行 https://docs.microsoft.com/en-us/previous-versions/windows/it-pro/windows-server-2012-R2-and-2012/dn771627(v=ws.11)?redirectedfrom=MSDN これから作る認証局はSHA2になっ…

こんにちは。テクニカルサポート課の森本です。 昨年8月に RDS と Aurora で SSL/TLS 証明書の更新がアナウンスされました。 当該アナウンスに関しては弊社市野が過去にブログにまとめておりますが、今回は詳しいことは極力抜きにして、どのような時にクライアント側で対応が必要になるか少しまとめてみました。 blog.serverworks.co.jp なお、今回の検証では MySQL クライアントを用いた接続の検証を行なっており、アプリケーションの信頼ストアを使用した証明書の検証については実施しておりません。 大前提 事前準備 証明書の準備 DBインスタンスの準備 検証用MySQLユー…

Paloalto PA-SeriesのPA-410/PA-220にて、GlobalProtect構成を作成する機会がありましたので、基本的な設定やポイントについてまとめてみました。 設計背景と解説範囲について GlobalProtect設定の構成 GlobalProtectに必要なProfile設定など Portals設定 Gateway設定 基本的な設定項目以外の設定について 設計背景と解説範囲について GlobalProtectの概要を説明すると、「ユーザデバイスとPaloalto機器の間でVPNを構築してセキュアなアクセス方法を提供する」もので、ユーザデバイスの認証など様々なセキュア要件…

px.a8.net 運命の出会いを求めるなら、ワクワクメールがおすすめ！ 近年、出会いの場が多様化し、忙しい生活の中でも気軽に新しい人と繋がることができるマッチングサービスが注目を集めています。その中でも、ワクワクメールは日本最大級の会員数を誇り、安心・安全な取り組みで多くのカップルを生み出しています。 特徴1: 会員数1100万人突破！ ワクワクメールは、男女合わせて1100万人以上の会員が利用している日本最大級のマッチングサービスです。多様なプロフィール検索や募集機能を使い、自分の好みに合ったお相手を見つけることができます。 特徴2: 安心・安全の取り組み ワクワクメールでは、お客様に安心…