暗号化されたSSL通信に必要なサーバの公開鍵（パブリックキー）とそのサーバ情報、そのサーバが本物であると 第三者認証機関が証明し、署名されたもの。 →サーバー証明書
※こちらの記事は2021年1月12日公開note版「ラック・セキュリティごった煮ブログ」と同じ内容です はじめに こんにちは、デジタルペンテストサービス部のlac01です。主に、スマートフォンアプリケーション診断を担当しています。今回は、スマートフォンアプリケーション診断を実施している中で、問い合わせが多い「サーバ証明書検証不備の検証方法」についてご説明いたします。 サーバ証明書の検証不備とは ここでは、サーバ証明書の検証不備について簡単にご説明いたします。非技術者の方に、大まかなイメージを掴んでいただくことを目的としているため、既にご存知の方は「サーバ証明書検証不備の検証方法」からお読みくだ…
WPA2/WPA3 Enterpriseの無線LANで、ID/パスワード認証を使うときは、サーバ認証を行うことが必須または強く推奨されています。 具体的には、EAP-TTLSを使う場合はサーバ認証が必須で、PEAPでもMSCHAPv2のセキュリティが弱いのでサーバ認証が強く推奨されています。詳しくは以前の記事をご覧ください。 hgot07.hatenablog.com ※ タイトルにある組み合わせ、それなりに長いこと運用していますが、もし動かなくなったらごめんなさい。 サーバ認証で使うべき証明書 EAP-TTLSやPEAPでは、基地局に端末を接続しようとする際に、まずサーバ認証を行って、これか…
証明書は、サイトを証明するための認証方法の違いによって種類が異なり、３種類ある。 暗号強度に関しては違いはない。 名称 認証方法 費用 DV ドメイン所有のみ証明 0〜数万円 OV ドメイン所有、会社実在性を証明 数万円〜 EV ドメイン所有、会社実在性、電話認証（在籍確認、会社運用状況等）を証明 十数万円〜 それぞれのサイトの違いは下記で確認できる。 DV：Domain Validation ドメイン所有のみなので、証明書の情報は薄い。 OV：Organization Validation ドメイン所有に加えて、会社実在性が必要なため会社情報がある。 EV：Extended Validati…
snapdのインストール Let’s Encryptを使うにはACME プロトコルというルールを使用するソフトウェアを使う。Certbot という ACME クライアントを使うことを公式では推奨している。このCertbotを使うためにsnapdをインストールする。 Installing snap on Debian sudo apt update sudo apt install snapd exit # 一旦ログアウトしてPATHを更新する ssh -p xxx username@xxx.yyy.zzz.*** #再ログイン sudo snap install core snapがインストー…
サーバ証明書はどんな時に使うのか？ HTTP通信とHTTPS通信の違い なぜサーバ証明書が必要？ サーバ証明書発行の流れ 参考 サーバ証明書はどんな時に使うのか？ サーバ証明書は、HTTPS通信に対応したサイトにする際に必要になる。HTTPS通信は下記のようなサーバクライアント間の暗号化通信を行うもの。 HTTP通信とHTTPS通信の違い HTTPS通信では暗号化通信を行うので、サーバクライアント間で暗号化に使う鍵を事前に交換しておく必要がある。交換した鍵を用いて暗号化通信をすることで安全な通信が実現できる。 TLS通信によるメリットをまとめる。 真正性 サーバ証明書を利用して、サーバが本物で…
前回はcurlの-kオプションを使った時の挙動をcurlの出力から追ってみました。 今回はパケットから見てみようかなと思います。 毎回yahooさんだとアレなので、今回は世界のSonyさんに(勝手に)ご協力をいただきました。 サイトのFQDNとSNIのFQDNが違った場合 パケットキャプチャ1これはSonyさんのWebサイトに接続した際のパケットをwiresharkで取得したものです。 3way handshakeの後にTLSのネゴシエーションが始まっており、 ・ClientHello(自PC→Webサイト) ・ServerHello(Webサイト→自PC) ・ServerKeyChange(…
あんれま困った（ﾟ＿ﾟ;）
はじめに smtps や ldaps などの SSL/TLS 通信をするときに、サーバ証明書の検証がよくわからず、検証しない設定にしてしまう方もいらっしゃるのではないかなと思います。 同じような設定に戸惑いたくなかったので、サーバ証明書の検証の流れについて整理してみました。 最後にパターンごとの具体例も載せているので、よければみてください！ 記事目安...15分 はじめに サーバ証明書の検証とは? サーバ証明書に記載された公開鍵の検証 ルート証明書以外の場合(=サーバ証明書, 中間証明書の場合) ルート証明書の場合 サーバ証明書の検証 検証の具体例 パターン1: 第三者 ルート CA に認証さ…
はじめに サーバ証明書を、第3者 CA に認証してもらう流れについて、ざっくりまとめました。備忘録です。 記事目安...10分 はじめに 解説 まとめ 解説 図で表してみます。 〇各作業の詳細 ① hogehoge サーバ管理者が、秘密鍵ファイル ( hogehoge.key )から、 署名要求ファイル( hogehoge.csr ) を作成します。 ② hogehoge サーバ管理者が、署名要求ファイル( hogehoge.csr ) の正当性を保証するために、第3者の CA に電子署名を要求します。 ③第3者 CA が、署名要求ファイル( hogehoge.csr ) をハッシュ関数でハッ…
2024年11月18日～2024年11月24日に読んだ中で気になったニュースとメモ書きです。 [証明書有効期間短縮計画への反応] [その他のニュース] ▼SETTLE: SEcure access with Tls To Local rEsources ▼DNS利用ドメイン検証 ▼無料SSLと有料SSLの違い ▼acmeARIToolJS ▼AWS ALBのmTLSアップデート [おわりに]
さすがに2年連続で同じミスをしたので記しておきます。 手順②を2年連続で忘れているのでさすがに注意してください（来年の自分へ） 手順① サーバホーム＞サーバ証明書 のサイドメニューからのインポートを実施 手順② サイト＞バインド＞HTTPSのサイトバインド＞SSL証明書を新しいものに変更 バインドを忘れずに！
さて、本日は休日でしたので、いろいろメンテ作業をしていました。 NodeRedでサービスを提供しているのですが、スマホからアクセスできなく なっていました。 おひとり様サービスなので誰からも怒られないのですが、原因が最初 わからなかったのですが、思い当たるふしがありLet's Encryptでサーバ 証明書を変えたのが原因でした。 ドメイン共通証明書を取ればよかったのですが、なぜかホストごとに なっていて、「ホスト名が違う証明書で運用してるんだけど？」 とブラウザが怒っていたのに気づいて調べたらそんなことになっていました。 あら〜ホスト名不一致なんだ。 ということでLet's Encryptを…
「ポイントサイトでポイ活を始めてみたいけどなんとなく怪しくて不安…」 「ポイントサイトって何か危険やリスクはあるの？」 このページでは、ポイントサイトの危険性やリスクにフォーカスを当てて解説し、そんな疑問やお悩みをタマヤスがスッキリさせてくよ！ さらにラストでは、ポイントサイトを利用するようになってから軽く人生が変わった、ポイントオタクタマヤスが、長年の経験からの結論で、最高に優秀なポイントサイトを絞りに絞り上げてご紹介してるよ！ 「せっかくなら最高の選択でスタートしたい」って人にとっては必見の情報だから、最後まで見ていってね～(๑•̀ᴗ- ) ੭” この記事はPRを含みます タマヤスブログか…
（1）情報セキュリティの目的と考え方情報の機密性（Confidentiality），完全性（Integrity），可用性（Availability）を確保，維持することによって，様々な脅威から情報システム及び情報を保護し，情報システムの信頼性を高めることを理解する。 用語 説明 機密性（Confidentiality） 情報へのアクセスを許可された者のみがその情報にアクセスできるようにする特性。 完全性（Integrity） 情報が正確で改ざんされていないことを保証する特性。 可用性（Availability） 必要なときに情報やシステムにアクセスできる状態を維持する特性。 真正性（Authe…
GoogleのDavid Benjamin氏より、『Unsigned X.509 Certificates』という提案がIETFに提出されています。これは自己署名のサーバ証明書などを使っていたユースケースにおいて、単純に署名しないですむようにする提案です。 目的 CAから署名を受ける必要がないユースケースにおいても、X.509のフォーマット上署名がついている必要があるため、自己署名のサーバ証明書が使用されています。その幾つかは、fingerprintが別経路により信頼されているため、自己署名が必要ではありません。不必要な自己署名がついていると、その分データ量も増えるほか(耐量子暗号であればなお…
前回構築したapache guacamoleですが、インターネット経由でアクセスしてこそ目的を果たします。 自宅のルータから公開してもいいのですが客先から自分のプロバイダのIPにアクセスを続けていると怪しまれるかもしれません。 1つリバースプロキシをかまします。 Digital OceanのDroplets構築 昔作ったDigital Oceanのアカウントがあるのでここに作ります。 1台お遊びブログのWordpressが動いていますが、これに共用させるのはよろしくないので最小構成でお安くたてます。 メモリ512MBのストレージ10GBで月4ドルです。まあいいでしょう。 ここも512MBで動く…
第二話 周辺知識、単語を理解する。 今回は勉強していく中で知った単語などを簡単にまとめて整理していきます。 ・FTP、FTPS、SFTP、SCP まずは、FTP、FTPS、SFTPS、SCPの4種類だ！！ そもそも、この4種類はファイル転送プロトコルと呼ばれるものです。 まず初めに・・・ ・ファイル転送プロトコルとは ファイル転送時に必要となる規約や手順のことを指します。 ファイルを転送を行う際にデータ容量が大きいとそのまま送ることはできず、データを分解する。その分解データをパケットと呼びます。プロトコルは、どのように分解、送受信、復元をするのかを定めたルールということでした。 ここでの規約や…
こんにちは。ES課で研修中の田原です。 以前にSorryページの構成検討を考えるブログを執筆しましたが、 今回はその中でも一般的な構成である「Route53 フェイルオーバールーティング」の実装方法をこちらでご紹介致します。 ※2024/10時点の構築手順となります。アップデート等で変更になっている個所は適宜読み替えを実施してください。 ※Sorryページの各構成の構成概要やメリット・デメリットの紹介については、「AWSにおけるSorryページ構成について考えてみた」の前回のブログをご参照ください。 blog.serverworks.co.jp 最終構成と前提について 構築の流れについて ステ…
1.サーバ証明書がブラウザで信頼する証明書から発行されていること 2.サーバ証明書が有効期間内であり、失効していないこと 3.サーバ証明書のコモンネームとアクセス先のFQDN(ホスト名)が一致すること
2024年9月23日～2024年9月29日に読んだ中で気になったニュースとメモ書きです。 [WHOISを用いた不正サーバ証明書発行] [Cryptography & Security Newsletter #117] [その他のニュース] ▼TLS WGインターネットドラフト更新（2024/09/30） ▼ECH提案仕様のIESGレビュー開始 ▼量子攻撃対策でAES-256移行は不要？ ▼OpenSSL considering TSL1.0/1.1 deprecation ▼Multi-Perspective Issuance Corroboration Serviceドラフト ▼X25519…
https://www.ipa.go.jp/shiken/mondai-kaiotu/gmcbt80000009sgk-att/2022r04h_sc_pm1_qs.pdf 以下のおすすめ問題の解説となります。 良書。 2024 情報処理安全確保支援士「専門知識＋午後問題」の重点対策 作者:三好康之 アイテック Amazon 問1 IoT製品の開発に関する次の記述を読んで、設問に答えよ。 J社は、家電の製造・販売を手掛ける従業員1,000名の会社である。J社では、自社の売れ筋製品であるロボット掃除機の新製品（以下、製品Rという）を開発し、販売することにした。製品Rの仕様を図1に示す。 Webア…
.mobi TLDにおいて、WHOISを利用して不正サーバ証明書発行を行う攻撃手法が明らかになり、話題となっている。この実験者は、実際に 所有してない *.mobi ドメインの証明書発行が出来そうな事を確認している（不正発行の直前で実験を停止）。簡単に流れを眺めたので、メモとして記録しておく。 詳細 詳細の記事はこちら labs.watchtowr.com箇条書きで流れを書くと 前提 .mobi TLD の whoisをホストしていたドメインが "whois.dotmobiregistry.net" から "whois.nic.mobi" に移設した "dotmobiregistry.net"…
https://www.sc-siken.com/pdf/02_aki/pm1_2.pdf 以下のおすすめ問題の解説となります。 良書。 問3 SSL/TLSを用いた サーバの設定と運用に関する次の記述を読んで、設問1〜3に答えよ。 （略） 〔社外からの通報〕 運用開始から3か月が経過した頃、C社の問合せ窓口に、ECサイトで利用されている一部のサーバ証明書に対応する秘密鍵が、サーバ証明書と一緒に、あるWebサイト（以下、Qサイトという）に掲示されているという通報があった。そこで、システム部のM部長は、ECサイトの管理を担当するBさんに、 セキュリティ専門会社であるE社の支援を得て本件を調査し必…
https://www.sc-siken.com/pdf/02_aki/pm1_2.pdf 以下のおすすめ問題の解説となります。 良書。 2024 情報処理安全確保支援士「専門知識＋午後問題」の重点対策 作者:三好康之 アイテック Amazon 問3 SSL/TLSを用いたサーバの設定と運用に関する次の記述を読んで、設問1〜3に答えよ。 C社は、衣服のデザイン、製造及び販売を行う中枢の衣料品製造会社である。近年は、C社の複数の販売チャネルのうち、ECモールに出店したオンラインショップでの販売量が増えており、C社の社名も比較的知られるようになった。C社では、事業を更に拡大するために、新たに独自の…
directorblog.jp
mag.osdn.jp
asnokaze.hatenablog.com
www.publickey1.jp
nmag.jp
snap.hyuki.com
websec-memo.blogspot.com
jp.globalsign.com
hatenanews.com
