はじめに 前置き タイトルから感じ取れるとおり、この記事はゆるいメモです。ご了承ください。 ゆるいメモですので、端折るところはごっそり端折っています。ご了承ください。 メモと言いつつ、誰かに話しかけるような文体になっています。未来の自分に話しかけています。ご了承ください。 ゆるいメモと言いましたが、一つ一つメモを記載していったところ、まったくゆるくなくなっていました。必要な個所だけ参照されるのが良いかと思います。 Let's Encryptについて さて、まずはLet's Encryptについて本記事に関連することを少し。 Let's Encryptでワイルドカード証明書を取得（新規発行および更新）するにはDNS認証を行う必要があります。 DNS認証を行うにあたっては、証明書発行のタイミングで、対象のドメインのDNSにTXTレコードを登録する必要があります。 つまり、Let's Encry
Deleted articles cannot be recovered. Draft of this article would be also deleted. Are you sure you want to delete this article?
Windows Server に関連して、IIS や ADFS (Active Directory Federation Service) を立てて検証する時に、Posh-ACME を利用して Let's Encrypt の証明書を取得しているので、自分が作業しやすいようにメモの吐き出しです。 Posh-ACME とは？ rmbolger/Posh-ACME: ACME protocol client for obtaining certificates using Let's Encrypt https://github.com/rmbolger/Posh-ACME 端的に言うと PowerShell で実行できる ACME クライアント Windows系でSSL証明書が必要になった際に、これでサクッと取得/インポート出来るので良く使ってます。 使い方 正確なところは上記 GitHub
Internet Engineering Task Force (IETF) K. Moriarty Request for Comments: 8996 CIS BCP: 195 S. Farrell Obsoletes: 5469, 7507 Trinity College Dublin Updates: 3261, 3329, 3436, 3470, 3501, 3552, March 2021 3568, 3656, 3749, 3767, 3856, 3871, 3887, 3903, 3943, 3983, 4097, 4111, 4162, 4168, 4217, 4235, 4261, 4279, 4497, 4513, 4531, 4540, 4582, 4616, 4642, 4680, 4681, 4712, 4732, 4743, 4744, 4785, 479
certbotの証明書更新コマンドで、下記メッセージが出力しcertbot-autoが使えなくなる場合が発生しています。 Your system is not supported by certbot-auto anymore. Certbot cannot be installed. #certbot-auto certonly --webroot -w /var/www/public_html -d xxx.com --email [email protected] --debug --no-bootstrap Upgrading certbot-auto 1.9.0 to 1.12.0... Replacing certbot-auto... Your system is not supported by certbot-auto anymore. Certbot cannot be i
We bring you a safer digital world ID & authentication, certificate and signing services cross national borders, and secure online payments.
はじめに Let's Encrypt の証明書を入手・更新するためのcertbotコマンドには以下のモードがあります。 webroot standalone apache nginx manual Getting certificates (and chosing plugins) 証明書を入手・更新するときにはいずれかのモードを指定します。 webrootはそのドメインで稼働しているサイトのwebroot(サーバのパス)を指定します。例えば example.com が /var/www/html 以下のHTMLファイルを配信しているとしたらwebrootは /var/www/html になります。 standaloneはWebサーバを停止した状態で実行します。webrootを指定する必要はありませんが、サーバを一時的に停止させなければいけません。 apacheはWebサーバとしてApac
$ deno --version deno 1.25.1 (release, x86_64-unknown-linux-gnu) v8 10.6.194.5 typescript 4.7.4
Fortinetのセキュリティゲートウェイ「FortiGate」などでOSとして搭載されている「FortiOS」に深刻なゼロデイ脆弱性が明らかとなった。すでに悪用が確認されており、同社では機器が侵害されていないか早急にログを確認するよう呼びかけている。 同社では、現地時間12月12日にアドバイザリをリリースし、「FortiOS」の「SSL VPN」機能にヒープベースのバッファオーバーフローの脆弱性「CVE-2022-42475」が存在することを明らかにした。リモートより細工したリクエストによって認証なしにコードやコマンドの実行が可能となる。 同社では、同脆弱性について共通脆弱性評価システム「CVSSv3.1」のベーススコアを「9.8」、重要度をもっとも高い「クリティカル（Critical）」とレーティングしている。 同社では、脆弱性を修正した「FortiOS 7.2.3」「同7.0.9」「
You signed in with another tab or window. Reload to refresh your session. You signed out in another tab or window. Reload to refresh your session. You switched accounts on another tab or window. Reload to refresh your session. Dismiss alert
TLSサポート付きでPostfixをビルドする TLSサポートを付けてPostfixをビルドするには、まず必要な定義の書かれた make(1) ファイルを生成する必要があります。これはPostfixトップレベルディレクトリで "make makefiles" コマンドに次に示す短い引数を付けて呼び出すことで生成されます。 注意: Gnu TLSを使わないでください。Postfixは 1) maillogファイルにエラーを 報告して、2) 適切な平文サービスを提供できず、Postfixデーモンプロセスは終了ステータスコード2で終了させられてしまいます。 OpenSSL インクルードファイル (ssl.h のような) が /usr/include/openssl ディレクトリにあり、OpenSSL ライブラリ (libssl.so や libcrypto.so のような) が /usr/lib
セキュリティカンファレンス「Black Hat USA 2021」と「DEF CON 29」の主要プレゼンまとめ PortSwigger：インターネットの「100ns（ナノ秒）の違い」を検出する攻撃も PortSwiggerは、セキュリティカンファレンス「Black Hat USA 2021」と「DEF CON 29」の主要なプレゼンテーションをまとめたブログ記事を公開した。 サイバーセキュリティツールベンダーのPortSwiggerは2021年8月9日（米国時間）、米国ラスベガスとオンラインで開催されたセキュリティカンファレンス「Black Hat USA 2021」（2021年7月31日～8月5日）と「DEF CON 29」（2021年8月5～8日）の主要なプレゼンテーションをまとめたブログ記事を公開した。 「Let's Encrypt」攻撃 フラウンホーファーセキュリティ情報研究所（
背景 弊社が提供するWebシステムはのきなみLetsEncryptを活用しています。(寄付もしたことがある) LetsEncrptがリリースされた当時は情報が少なくEC2(Amazon Linux)と相性が悪かったりで結構大変だった記憶があります。 その後、困るたびに調べて解決して(その中のいくつかは他の人にも有用だと思って記事(末尾に一覧)化)きましたが、一言でいえば「場当たり的な対応」でした。 本日、更新エラーが通知されてきたので、これを機会に全体を俯瞰して学習しておこうと思いました。 そのまとめ(適宜更新)です。 環境 2020年10月11日現在 OSはAmazon Linux2 certbotバージョンは1.9.0 WebサーバはApache certbot helpの結果 まずはどれくらいの学習量が必要か覚悟するためにcertbot helpを実行した結果が以下。 思ったより少な
先日、Let's EncryptのルートCA期限切れで OpenSSL 1.0.2が思わぬ事故を起こす件という記事で期限切れしたルートCAにまつわる問題の解説をしたのだが、問題はこれでは終わらない。 某老舗格安共有レンタルサーバ「10/1に Let's Encryptの問題が発生しましたが直しました」 我社「これ、直ってねーじゃねーーーーーーか！」 顧客「は、早く直しーーーーーーーーーーーて！」 ホストのroot権限を持っていない以上、直したくても直せない。レンサバ屋おまえ週末を楽しんでる場合じゃねえぞコラ（大激怒）！古いバージョンのPHP収容してる環境もちゃんとチェックしたんか？1っていうか○○○社、うちの記事読んでたの知ってるぞ。 非WordPressの場合(ググればわかる情報) 単純で素朴なPHPスクリプトが問題で、file_get_contents() を使ってるだけなら下記のよう
吉川@広島です。 https://localhostでline-liff-v2-starterを動かしてみた | DevelopersIO 自分はLINE事業部所属なのですが、LIFFアプリ開発において、手元で動作確認するためにローカルサーバをLINE Developersに登録しようとすると http://localhost:{PORT} はinvalidなURLとして弾かれてしまいます。 そのため、httpsなローカル開発サーバが欲しくなります。 これをviteで実現する方法を紹介します。 [Vite] Enabling https on localhost - DEV Community 主にこちらの記事を参考にさせて頂きました。 環境 node 15.11.0 yarn 1.22.10 npm 7.18.1 vite 2.4.4 サンプルプロジェクトを作成 まず検証のためのサンプル
Pythonでは、https通信やメッセージダイジェストの作成などの暗号関連機能に、OpenSSLを利用しています。 これまで、Pythonでは OpenSSL のVersion 1.0.2以降が利用可能でしたが、Python 3.10からは、OpenSSL 1.1.1以降が必須となりました(PEP 644 Require OpenSSL 1.1.1 or newer)。 WindowsやMacなどで、Python.orgのインストーラを利用する場合には、OpensSSLの最新版が含まれているので気にする必要はありません。また、Macのbrewなどでインストールする場合も、OpenSSL 1.1.1が使用されます。 Linux環境などで独自にPythonをビルドする場合には、OpenSSL 1.1.1以降を用意する必要があります。現在では主要なLinuxディストリビューションはOpenSS
nginx で https と ssh をリッスンする nginx には $ssl_preread_protocol というStream設定が用意されている。これを使うとTLSプロトコルごとに、プロキシ先を変えることができる ただし443 はストリームが使うので、リッスン先をいい感じに帰る必要がある。 全体の接続 全体の接続は、次のようになる。 nginx stream は sshd / https に直接接続しない。 sshd のリッスンポートに直接接続すると、プロトコル不一致が起きて接続できないので、server{ .. } を経由してる。 https に直接接続できるといえばできるが、プロキシプロトコルを設定しやすくするため、server{ .. } を経由してある nginx の設定は次の通り stream 設定を作る。 ssl_preread_protocol で TLSはweb
はじめに ※本記事は2023/9/4時点の情報です。ご覧になっているタイミングによってはアップデートやドキュメントの変更があるかもしれません。 RDSがSSL/TLS接続に使用している認証局証明書である「rds-ca-2019」の有効期限（2024年8月23日）が1年を切り、RDSコンソール上に赤字や赤い丸が登場するようになりました。 既にいくつも更新に関する記事が上がっていますが、この記事では特に更新すべき証明書や、エンジン/バージョンによる再起動の要否に着目して記述したいと思います。 実際にデータベースを立ち上げて確認をしてみたので、そちらもご参考に！ 影響のある/ない接続の方式 早速ですが影響範囲の簡単な確認です。 証明書を使用しない接続 RDS Proxyを用いた接続 は今回の更新対象外です。特に対応しなくても、方式が変わらない限り接続ができなくなることは基本的にありません。 ただ
平素より、グローバルサインのサービスをご愛顧くださり誠にありがとうございます。 SSLサーバ証明書のドメイン認証（ページ認証）のご利用に関してお知らせがございます。詳細は下記をご参照ください。 ※こちらは第一報です。詳細につきましては続報をお待ちください。 対象となるお客様 SSLサーバ証明書のドメイン認証に「ページ認証」をご利用のお客様 ※ドメインの認証に「メール認証」、「DNS認証」をご利用の場合は対象外となります。ただし、ドメイン認証で「メール認証」、「DNS認証」を利用した場合でも、仕様変更以前に発行された証明書の再発行やSAN変更には影響がある場合がございます。 ※既に発行済みの証明書のご利用には影響はございません。 変更実施日 2021年11月28日（日） ※別途お知らせする臨時メンテナンス時間内の対応となります。 変更内容 2021年11月28日（日）の仕様変更以降、ドメイン
あなたのWEBサイトは、SSL化（暗号化）されていますか？ 今や多くのサイトでSSL化は当たり前となっており、SSL化されていないサイトは、それでだけで評価が下がることがあります。Chromeで非SSL化のサイトへ接続すると、下記のように警告の文言が表示されます。 上記のような文言が表示されると、検索エンジンの評価云々以前にユーザーからの印象もよくありません。というわけで今回は、誰でも簡単にWordPresサイトをSSL（HTTPS）化できるプラグインをご紹介いたします。 「Really Simple SSL」とは 「Really Simple SSL」を使えば、簡単&スピーディにサイトをSSL化できます。前提としてサーバー側でSSL証明書（無料）を取得しておくことが必要なので、ご契約のサーバーで詳細を確認してみてください。 SSL証明書の取得方法は下記記事が参考になります。 SSL化が当
Seven years ago, Cloudflare made HTTPS availability for any Internet property easy and free with Universal SSL. At the time, few websites — other than those that processed sensitive data like passwords and credit card information — were using HTTPS because of how difficult it was to set up. However, as we all started using the Internet for more and more private purposes (communication with loved o
Quick Chain Checker Powered by Certify The Web Your web server certificate chain affects how trusted your website certificate is by browsers and devices. To perform a quick check of your servers certificate chain, enter your domain: Check Chain Note: This tool will only show your current chain as our client code sees it and applies some ACME CA (Let's Encrypt etc) related checks. It will not valid
こんばんは。 ブログをやっていたり、ウェブサイトの開発をしていると、SSL化が重要ですよね。 そして期限付きのSSL証明書を取得している場合、あとどれくらいSSL証明書の期間が残っているか、そして期限が切れていないか、気になるところですよね。 しかし、ウィルス対策ソフトを入れていると、ブラウザで簡単に証明書の情報を見ることができません。ウィルス対策ソフトの方で、通信の監視をしてくれているからです。 ウィルス対策ソフトの方でいったんサーバーからの情報を検閲しているため、ブラウザまでの通信に関しては、改めてウィルス対策ソフトのSSL証明書を利用しているのです。 この記事では、ESETという私が使っているウィルス対策ソフトで、ブラウザでウェブサーバーが使っている生の証明書情報を確認できるように、ウィルスソフトのSSL監視設定を変更する手順を説明します。 ブラウザの証明書情報がウィルス対策ソフトに
SSL証明書の失効・無効化とは？ SSL証明書の失効と聞いて、まず思い浮かべるのはSSL証明書の「有効期限切れ」という方が多いのではないでしょうか？しかしながら、有効期間内でもSSL証明書が突然使えなくなることがあります。今回はSSL証明書の失効・無効化についてご紹介します。 失効した場合どうなるのか？ SSLサーバー証明書（以下、SSL証明書）は一定の有効期間が設けられています。有効期間が過ぎたSSL証明書を利用し続けた場合、安全ではないSSL証明書と見なされてサイトにアクセスしてもエラーが表示されます。一般的には有効期間終了による失効・無効化と言われており、英語ではexpired（有効期限切れ）、invalid（無効な）などと表現されます。 Chromeブラウザで有効期限切れのサイトにアクセスした場合、上記の画面が表示されます。 Firefoxブラウザでアクセスした場合は上記の画面が表
こんにちは、リサリサです。 p12ファイルをACMに登録したので、記事にしておきます。 p12(PKCS#12)とは？ Personal Information Exchange Syntax Standard という規格で定義されたフォーマットのファイルです。Windowsに証明書をインポートする際に使ったりします。 秘密鍵、証明書、中間CA証明書(ある場合)を含んでいますが、テキストエディタなどで開く事が出来ず、このままでは ACM にインポートできません。 やりたいこと p12形式の証明書をACMに登録したい。 やってみた 秘密鍵、証明書、中間CA証明書を取り出す ACMの登録には p12形式ではなく、秘密鍵、証明書、中間CA証明書がそれぞれ pem形式で必要なので、まずはそれぞれを取り出します。 openssl を使用して取り出します。 #秘密鍵 openssl pkcs12 -i
Apr 8, 2025 The final release of OpenSSL 3.5 is now live. We would like to thank all those who contributed to the OpenSSL 3.5 release, without whom the OpenSSL Library would not be possible. This release adds the following new features: Support for PQC algorithms (ML-KEM, ML-DSA and SLH-DSA) Support for server side QUIC (RFC 9000) Support for 3rd party QUIC stacks including 0-RTT support Support a
OpenSSL 3.0.0から3.0.6 OpenSSL 1.1.1および1.0.2は、本脆弱性の影響を受けません。 また、影響を受けるシステムについては、NCSC-NLが公開している情報も参照してください。 OpenSSL Projectより、OpenSSL Security Advisory [01 November 2022]が公開されました。 OpenSSLには、次の脆弱性が存在します。 深刻度 - 高（Severity: High） 電子メールアドレスの処理における4バイトのバッファオーバーフロー - CVE-2022-3602 X.509証明書の検証を行う際、証明書の名前のチェック時にバッファオーバーフローが発生する可能性があります。ただし、この問題は証明書チェーンの署名検証の後で発生します。そのため、悪意ある細工が行われた証明書に対してCAが署名し、本来ならば途中で失敗するは
こんにちは、GMOインターネット ネットワークチームの梅崎です。 今回は弊社ネットワークチームの検証環境にあるWebサーバー群のために、プライベート認証局を立てた話です。 ※構築には easy-rsa を利用させていただきました。 作成されたファイルのパスなどはデフォルトのものを記載しております、適宜読み替えてください。 ※本文中の設定/コマンドはそのままコピペできなかったらごめんなさい。 (気をつけてはいますが、ワードプレスに慣れていないもので変な空白が……) 先に最終的になにをしたのかを 準備 easy-rsa をgit clone openssl-easyrsa.cnfを編集して [ easyrsa_ca ]セクションを変更 (中間認証局を作らない場合はpathlen は0でも大丈夫だと思います) - basicConstraints = CA:true + basicConstra
いわさです。 AWS Nitro Enclaves を使って Amazon EC2 インスタンスで実行されているウェブサーバーで、ACM 証明書を利用出来るようにする ACM for Nitro Enclaves という機能があります。 これまで Nginx のみサポートされていましたが、今回 Apache でも利用出来るようになりました。 AWS Nitro Enclaves を使ったことがなかったのですが、Apache で ACM を利用するくらいであればチャチャッと試せるかなと思いやってみました。 やってみる 前提となる EC2 での AWS Nitro Enclaves の有効化は以下を参考に構築しています。 ちなみに Nitro Enclaves 自体は Windows インスタンスでも利用出来ますが、ACM for Nitro Enclaves は Linux インスタンスでの
Deleted articles cannot be recovered. Draft of this article would be also deleted. Are you sure you want to delete this article? Charles は HTTP(S) 通信の内容を閲覧したり、改変したりすることができるツールです。 Android や iOS のアプリ開発などで通信のデバッグをする際に非常に役に立つツールですので、便利な機能や使い方についてご紹介したいと思います。 注意点 この記事では Charles の導入・設定方法についての解説は省略させていただきます。 私が Mac ユーザーですので、記事内で紹介しているショートカットキーや画面キャプチャは Mac のものとなります。 また、Charles のバージョンは v4.6.1 時点のものとなります。
TL;DR Fakenet-NG を改造して、証明書のエラーなく任意の通信先に対して HTTPS の通信を行わせるための備忘録です 実質 MitM をさせる Proxy を作るための話になります TL;DR はじめに 環境構築 0. 事前準備 1. 通信先情報の取得 ドメイン(ホスト名) IPアドレス 2. 自己署名証明書の作成 3. Proxy Listener への組み込み 4. テスト おわりに はじめに マルウェア解析の動的解析環境(Sandbox 環境)を構築する際、TLS/SSL を用いた HTTPS 通信をどのようにして取得して分析可能とするかというのは一つの至上命題です。マルウェアがC2サーバと通信する際に TLS/SSL を使う場合はもちろんそのやりとりの中身を記録したいですし、解析環境検知のためにメジャーなWebサービスに対して HTTPS でダミー通信を発する場合もあ
Tagline
より詳細なオプションについてはこちらを参照してください。 コマンドを実行すると、作成された秘密鍵を含んだ証明書がローカルコンピュータの証明書ストアに格納されます。 証明書が格納されたことを確認するにはスタートボタンを右クリックし、「ファイル名を指定して実行」で「certlm.msc」と入力し、個人の証明書ストアを表示します。 サブジェクト代替名に複数のAD1とAD2のDNS名が設定されていることが確認できます。 作成した自己証明書を信頼してあげないと、実際にSSL通信を行うことができないので、信頼されたルート証明機関に格納します。 先ほど格納した秘密鍵付き証明書から、証明書のみを以下コマンドでエクスポートします。 Export-Certificate -Cert $cert -FilePath example.com.cer エクスポートした証明書を以下コマンドを実行し、信頼されたルート証
2017年06月21日15:58 カテゴリホームページ制作関連 Let's Encryptの証明書を GetSSL で取得・更新する うちのサーバーでcertbotを使用したLet's Encryptの証明書作成がうまくいかず（python関係がダメだった）、別のやり方をということでGetSSLを使用したところ、問題なく作成できたのでメモ。 このやり方だと、サーバーを止めずとも証明書取得ができるのでオススメ。 ソフトのインストール# curl --silent https://raw.githubusercontent.com/srvrco/getssl/master/getssl > getssl # chmod 700 getssl 証明書取得の準備# ./getssl -c hogehoge.com /root/.getssl/getssl.cfg の変更#CA="https://a
Paper Q&A The Marvin Attack is a return of a 25 year old vulnerability that allows performing RSA decryption and signing operations as an attacker with the ability to observe only the time of the decryption operation performed with the private key. In 1998, Daniel Bleichenbacher discovered that the error messages given by SSL servers for errors in the PKCS #1 v1.5 padding allowed an adaptive-chose
参考 https://qiita.com/msi/items/9cb90271836386dafce3 流れ ブラウザのルートCA証明書をエクスポート 証明書を変換 Linuxへ証明書をインストール 証明書の形式 https://www.atmarkit.co.jp/ait/articles/1602/05/news039.html PEM形式 内容が「-----BEGIN CERTIFICATE-----」から始まるテキストであれば、大抵はPEM形式 -----BEGIN CERTIFICATE----- ……この行から始まる MIIDZzCCAtCgAwIBAgIDDhQNMA0GCSqGSIb3DQEBBQUAME4xCzAJBgNVBAYTAlVT ……英数字と記号からなる文字列が何十行と続く…… LfG+cHDAXCO797M= -----END CERTIFICATE-----
はじめに Knile（発音は “ナイル"）という、リクルートのデータ利活用基盤のチームでアプリケーション開発、SRE をやっている多田です。 Knile とは、以前 CET と呼ばれていたチームが開発するデータ利活用基盤です。 以下の過去記事が関連するシステムになります。 Jupyter だけで機械学習を実サービス展開できる基盤 Istio で実現する A/B テスト基盤 Knile はかつて「株式会社リクルートライフスタイル」所属のプロダクトでしたが、2021年4月の組織改編 により「全社横断」としての役割も期待されており、活用シーンの多様化と要求されるシステム性能のバランスにうれしい悲鳴をあげています。 この記事では、Knile のコンポーネントの１つである「Knile API」の SSL 証明書を変更した経緯やその際に検討・考慮したことを共有します。 目次 Knile API とは？
このページは、Let's Encrypt のチャレンジ方式 (HTTP-01, DNS-01) についてまとめる予定のページです。 HTTP-01 チャレンジ HTTP-01 チャレンジは、あるドメインの SSL 証明書をリクエストしたユーザー (Web サーバー) がそのドメインに対する権限を有しているかを HTTP (80 番ポート) 通信経由で確認・認証する方式です。 Web サーバー上に認証用のファイルを生成し、Let's Encrypt 側からそのファイルに HTTP アクセスすることで認証を行います。 おおまかな動作イメージ HTTP-01 のおおまかな動作イメージ 補足 例えば certbot-auto コマンドでドキュメントルートでないサブディレクトリなどのディレクトリを --webroot -w で指定した場合、チャレンジは失敗します。 DNS-01 チャレンジ DNS-
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
