次のタグが付いている話題の回答:

6
Accepted

HTTPS PROXY とはなんですか

まず、HTTPS を proxy する方法は2種類あります。 proxy が通信内容を傍受できない方法 proxy が CONNECT を受け取った時、HTTPS サーバへ接続し、クライアントへ 200 OK を返します。あとは、クライアント - HTTPS サーバ間の TLS ハンドシェイクも含めて、両者間を橋渡しするだけです。 通信内容は暗号化されているため、proxy ...
masm's user avatar
  • 3,202
6

SSL通信時、アドレスバーが緑にならない

Google Chrome で以下のような表示になっている、と仮定してお答えします。 質問に書かれたメッセージに、安全でないリソースが含まれていると書かれていますよね。これは ページ自体は HTTPS で読み込まれているのに、一部のリソースがHTTP で読み込まれている、という意味です。URL が http:// で始まる画像やスクリプトを読み込んでいないか、確認してみてください。 HTTP ...
unarist's user avatar
  • 1.5万
4
Accepted

htaccessでwww付きにリダイレクトする前に「安全ではない接続」と表示される

サーバーの設定に関係なく、ユーザーが https://example.com にアクセスした時点で https://example.com の正しい証明書が存在しないようなので、ユーザーから見ればそれは「安全ではない接続」になります。 SNI などを使い証明書が example.com に対して有効である状態にしない限り、安全にリダイレクトさせることは SSL の仕組み上できません。
Tatz Sekine's user avatar
4

HTTPS PROXY とはなんですか

この辺りの環境変数に明確な規定はなく、プログラム毎に独自の解釈がされています。大文字のHTTP_PROXYなのか小文字のhttp_proxyなのか両方ならどちらが優先されるのか、HTTPS_PROXYを参照するのかHTTP_PROXYだけなのかフォールバックはあるのか、NO_PROXYの書式はどうなっているか、点でバラバラなのがUNIXの特色とも言えます。 その上でおおよそ、...
sayuri's user avatar
  • 4.2万
3
Accepted

Mixed Content: This request has been blocked; the content must be served over HTTPS について

ページが https で読み込まれているのに対して、favicon などのその他のリソースの一部が http で読み込まれているため混合コンテンツとなり、http で読み込まれているリソースはブロックの対象になります。おそらく、Ajax によって読み込まれているリソースにも http のものがあるのだと予想します。 https://example.com/1/はページのHTMLで、https://...
tsushima's user avatar
3
Accepted

HTTPとHTTPSにする場合、クライアント、サーバーはどうしたらいいのか

これをhttpsにすると、指定したデータは暗号化される…ということなのでしょうか? HTTPS は HTTP over SSL/TLS の略で、SSLまたはTLSで暗号化した通信経路の上で、HTTPによる通信を行うプロトコルです。暗号化されるのはフォームの値だけではなく、HTTPプロトコルで送受信される 通信内容がすべて暗号化される感じになります。 ...
take88's user avatar
  • 7,676
3
Accepted

HTTPからHTTPSへの通信はセキュアですか?

通信のエンドポイントがJavaScriptかローカルHTTPサーバーか読み取れなかったので両方について書きます。 まずブラウザ上のJavaScriptからAPIサーバーと通信しているのであればページのオリジンに関わらずすべての通信がユーザーに筒抜けです。この場合は絶対に管理者パスワードなどを含めるべきではありません。 ...
pgrho's user avatar
  • 1.4万
3
Accepted

HTTP/2が速いというのでやってみたいんですが

結論から申し上げると「オレオレ証明書を用いたサイトを不特定多数に公開するくらいなら非暗号化のままのがマシ」といったところになるかと思います。 最近のSEOは疎いのですが、オレオレ証明書の場合、下記サイトにあるように警告画面が表示されるか、そもそもサイトが表示されません。 http://qiita.com/Sheile/items/dc91128e8918fc823562 ...
takumin's user avatar
  • 78
2

SSL通信時、アドレスバーが緑にならない

chrome のアドレスバーの左端のアイコンはサーバー証明書と chrome のポリシーによって変わります。 今日付けの chrome のバージョンは 47.0.2526.80m ですが、このバージョンについていえば - http つまり非暗号化のとき、紙アイコン - サーバ証明書が sha1 署名のとき、紙アイコン(もはや安全ではないよ、と主張しています) - サーバ証明書が sha2 ...
774RR's user avatar
  • 2.1万
2

SSL通信時、アドレスバーが緑にならない

残念ながら ロリポップ以外の証明機関からEV SSL 証明書を取得する必要があると思います。 アドレスバーが緑になるのは EV SSL 証明書の場合のみで その他の証明書の種類だと緑にはなりません。 ロリポップの独自SSL を見ると次のように書いてあり「GMOグローバルサインのクイック認証SSL」という証明書のようです。 「ロリポップ!で提供する独自SSLは、...
take88's user avatar
  • 7,676
2

量子コンピュータが通信系(とくに ssl, aka https) に与える影響は?

今までの暗号化方式ではセキュアではなくなると思います。 WiFiでいうWEPは危険なのでWPA2を使いましょう、と同じ問題ではないでしょうか(WPA2にも脆弱性があったようですが…)。 最近NICTが新しい暗号方式を発表していましたので、こういった量子コンピュータでも解読されないような暗号化方式が主流になっていくのだと思います。 https://www.nict.go.jp/press/2018/...
kotatsu's user avatar
  • 2,142
2

量子コンピュータが通信系(とくに ssl, aka https) に与える影響は?

そもそも量子コンピュータが実用化(個人が所有できる程度)される技術水準になれば、量子通信も完成しているはずです。このため、量子コンピュータによって暗号化が破られたとしても、量子通信によって通信の完全性/機密性が保たれると思います。部分的な通信データはタップされると思いますけどね。
harmegiddo's user avatar
2
Accepted

TLS1.0対応の暗号化方式のうちどれを使っているのかを確認するには?

HTTPSはSSL(TLS)上にHTTPを乗せたものですので、TLSについて説明します。 TLSではまずクライアントからサーバーへClient Helloと呼ばれるパケットを送信します。その中にはCipher Suitesと呼ばれるクライアントで使用可能なアルゴリズム一覧が含まれています。その応答としてサーバーからクライアントへServer Helloというパケットが送信されます。...
sayuri's user avatar
  • 4.2万
2
Accepted

Amazon ELBで通信の暗号化をする際、HTTPS(SSL/TLS)とTCPの使い分けがわかりません

1.2.はTLS Terminationと言ってELBがいったん暗号化を解除します。そのため、ELBは暗号化されていた通信の内容を読むことができ、内容に応じた負荷分散が可能になります。 3.は暗号化を解除しないため、通信内容に依存しない負荷分散しかできないことになります。 3.のメリットはこの点にあり、AWS側リソースであるELBと言えど、暗号化された内容を知られずに通信することができます。...
sayuri's user avatar
  • 4.2万
2

http通信で画像データをpostする場合のcontent-type指定について

画像に限らずファイルをフォームデータとして送信する場合は、ファイル以外のデータも含まれるので、multipart/form-dataを指定する必要があります。ファイル以外はテキストデータですが、ファイルはバイナリデータだからです。 フォームデータの送信 - ウェブ開発を学ぶ | MDN データは複数の部分に分かれ、それぞれのファイルや文字列データがフォーム本体に含められているので、enctype ...
jhashimoto's user avatar
1

Windowsでローカル開発専用SSL証明書を発行する方法

証明書はただ存在すればいいというものではありません。 Common Name (e.g. server FQDN or YOUR name) []:localhost と入力して作成された証明書は https://localhost/ のアドレスの正当性を証明するものとなります。 他方、ブラウザーのエラーメッセージには「127.0.0.1では、~」と表示されています。証明書とは異なる ...
sayuri's user avatar
  • 4.2万
1
Accepted

httpsなしでweb push通知をもらう方法はありますか。

設定とかを変えて、httpを信頼して、プッシュ通知をうまく表示させる方法 Firefoxでは可能なようです。 MDNのドキュメントを参照すると、 アプリがプッシュ通知メッセージを受信するために、アプリでサービスワーカーが動作している必要があります。 Push API - Web API | MDN サービスワーカーはセキュリティ上の理由から、 HTTPS 通信でのみ動作します。...
PicoSushi's user avatar
  • 4,919
1

PC のネットワーク通信をデバッグしたい

WiresharkだとHTTPSのデコードが大変なので、Proxy型のキャプチャツールの方がよいでしょう。例えば著名なツールとしてBurp Suiteがあります。 ただし、 APIへの通信がProxyに向くようにする HTTPSをデコードする関係で証明書をねつ造するのでそのままでは通信できなくなるので対策する は必要です。...
suzukis's user avatar
  • 1.2万
1

Webサービスにおけるユーザごとの画像の保存の仕方

前提としてサーバサイドのスクリプト(プログラミング言語)が必要になります。 Webページにおいてサーバからリンクに従って画像を取得するのが一般的であるかと思いますが, この一般的だと思っている方法とは違う方法をとられます。 まず認証が必要なファイルを運用するときは、非公開領域にファイルを置きます。 サーバスクリプトで認証を通して、サーバスクリプトでファイルを改めて出力するようにします。 ...
keitaro_so's user avatar
  • 5,275
1

Chromeを利用したAngularアプリケーションにおけるクライアントのローカルIPアドレス取得ができない

ローカルIPアドレスは外から見えるものではないので「REST API等でローカルIPアドレスを取得できるサイト」は存在しえません.質問でも利用されているWebRTCを使って画面上にローカルIPアドレスを表示するようなサイトは存在します.なお,参考サイトとして挙げられているページはどこにもローカルIPアドレスなど書かれていないのですが,何を勘違いされたのでしょうか. なお,...
hinaloe's user avatar
  • 4,701
1

ソフトウェア開発をおこなう企業における一般的なProxy構成を教えて下さい

おおむね、774RRさんのコメントに同意です。そのうえで ピンポイントでコメント 個人的には、先行開発をメインにおこなう部署や会社では、新しいツールを導入するときに、Proxyとの格闘でかなり時間を費やしているんじゃないかな...とおもっています。 個人的には、先行開発が社内の通常ネットワークと同一LAN内で行われることに疑問があります。...
あとわいと's user avatar
1
Accepted

SSL通信における共通鍵の管理方法について

共有鍵はSSL/TLSの接続毎に生成されるので、おそらくmod_ssl が管理しているメモリ内にだけ存在します。Apacheのプロセスが終了するときは接続も終了するので、とくにディスクに保存する必要はありません。 同一のクライアントとの通信でも、接続が別ならば共有鍵も別のものが生成されて使われます。
int32_t's user avatar
  • 8,134
1
Accepted

特定のサイトにSSLで接続する場合だけ "unable to get local issuer certificate"が出る

nslookup xml.irpocket.comをしたところIPアドレスが3つ返ってきました。 3台にたいしてopenssl s_client -connect <address>:443で確認したところ、 ある1台 depth=3 C = SE, O = AddTrust AB, OU = AddTrust External TTP Network, CN = AddTrust ...
sayuri's user avatar
  • 4.2万
1

httpsへのリダイレクトについて。

リダイレクトについて HTTP は「サーバー&クライアント方式」のシステムで、クライアントがサーバーに要求を行い、サーバーが応答を返します。この方式の性質上、クライアントがどのような要求を行うかは、サーバーからは制御出来ません。 今回の例でいうと、クライントである Webブラウザが http:// ではなく https:// でアクセスしてほしいワケですが、...
take88's user avatar
  • 7,676
1

TLS1.0対応の暗号化方式のうちどれを使っているのかを確認するには?

質問者さんがどういう立場なのかで知りたい内容は変わると思います。 - サーバー管理者 - 普通のユーザー - MITM 攻撃を試みている中間者 普通のユーザーとして興味があるから確認したいってことだと仮定して、例えばオイラのユーザーエージェント Chrome x64 69.0.3497.100 であるなら - 確認したい https なページを開いておいて - F12 で開発者ツール画面を開く -...
774RR's user avatar
  • 2.1万
1

GET HTTP/1.0についてとリクエストヘッドの必要性

リクエストにヘッダが足りないのではないでしょうか。接続先がバーチャルホストのようですので、 Host: ヘッダを要求しているのだと思います。 $ telnet www.httpbin.org 80 Trying 52.44.174.39... Connected to www.httpbin.org.herokudns.com. Escape character is '^]'. GET /ip ...
Kiminori Kitahata's user avatar
1

sslのルート証明書更新

「SSLサーバ証明書を更新したため、ルート証明書を追加してください」という依頼がきたということですが、ルート証明書を追加する必要があるというのは、いわゆる「オレオレ証明書」ということになります。通常の運営者であればセキュリティ的に問題があって手間もかかる「オレオレ証明書」を使うことはないと思います。もう一度依頼内容を確認して、それでも「ルート証明書を追加する必要がある」...
Yasuhiro Niji's user avatar
1

HTTPS通信でcertificate verify failedエラー

原因が解るわけではないのですが、気になる点もありますので、回答としてまとめておきます。 SSL_connect returned=1 errno=0 state=SSLv3 read server certificate B: certificate verify failed CA 証明書(つまり cacert.pem)が見つからない場合に発生することが多いようです。 以下の https....
masm's user avatar
  • 3,202
1

Node.js 403:エラーログに自分で編集したファイル以外しか出てこない時のエラーの原因

Messaging APIからステータスコード403で返っているので、LINEアカウントの設定に何かしら問題がありそうです。 LINE@ ManagerかLINE Developersから再度確認してみてください。 参考: https://developers.line.me/ja/docs/messaging-api/reference/#anchor-...
shoya's user avatar
  • 51
1

一部ページのみhttpsへリダイレクトさせる方法(サクラサーバー・Wordpress導入)

コードが合っているかは不明ですが、模索するうちに自己解決いたしました。 もっとスマートな方法があるかもしれませんが、希望の挙動をしたコードは以下です。 RewriteEngine On #contactページにhttpでアクセスした場合 RewriteCond %{REQUEST_URI} ^/contact/$ RewriteCond %{HTTP:X-Sakura-Forwarded-For}...
harumaki's user avatar

Only top scored, non community-wiki answers of a minimum length are eligible