6
票
Accepted
暗号化技術の重ねがけが逆効果になるケースは無いか?
たとえば暗号に対する中間一致攻撃と言うのがあります。
平文→(1段目の暗号化)→1段目の暗号文→(2段目の暗号化)→暗号文、暗号文→(2段目の暗号化の復号)→1段目の暗号分→(1段目の暗号化の復号)→平文、という処理をしてるとして、暗号と復号のプロセスから
平文→(1段目の暗号化)→1段目の暗号文
暗号文→(2段目の暗号化の復号)→1段目の暗号文
を取り出します。...
6
票
SSL通信時、アドレスバーが緑にならない
Google Chrome で以下のような表示になっている、と仮定してお答えします。
質問に書かれたメッセージに、安全でないリソースが含まれていると書かれていますよね。これは ページ自体は HTTPS で読み込まれているのに、一部のリソースがHTTP で読み込まれている、という意味です。URL が http:// で始まる画像やスクリプトを読み込んでいないか、確認してみてください。
HTTP ...
4
票
暗号輸出規制の影響を受ける公開鍵で署名されているのに、一時的なRSA鍵は何故検証できたのか
だいたいあってると思います。一言でまとめると規制は暗号としての使用のみで署名では問題なかった、です。
A1. FREAK攻撃はSSLプロトコルの脆弱性と不適格なクライアント実装を使用します。認証局に署名されているのは強い鍵だけで、輸出規制にかかったクライアントにより弱い鍵が要求された場合は一時的に作った弱い鍵を提供(FREAK攻撃では中間者に弱い鍵を要求する様書き換えられる)。
A2. ...
4
票
Accepted
C#でTCP、SSL通信を行いたいです。暗号化されていない。
コメントで指摘されていますが、sslStreamへ書き込み / 読み込みを行わなければSSL通信されません。コードにすると次のようになります。
サーバー部分
var listener = TcpListener.Create(1300);
listener.Start();
using (var client = listener.AcceptTcpClient())
using (var ...
4
票
Accepted
htaccessでwww付きにリダイレクトする前に「安全ではない接続」と表示される
サーバーの設定に関係なく、ユーザーが https://example.com にアクセスした時点で https://example.com の正しい証明書が存在しないようなので、ユーザーから見ればそれは「安全ではない接続」になります。
SNI などを使い証明書が example.com に対して有効である状態にしない限り、安全にリダイレクトさせることは SSL の仕組み上できません。
3
票
Accepted
Let’s Encrypt で SSL証明書を自動更新したいのですが、cronとsystemdのcertbot.timerの違いについて
cerbot.timer は systemd のタイマー (Unitの一種) です。
Cron (cronie) の場合はCrontab に書かれたスケジュールにしたがってジョブを起動しますが、systemd の場合は タイマーの設定に従って起動します。
systemd のタイマーには、Cronと同等にカレンダーに合わせて起動させたり、一定間隔で起動、一定間隔でありながらランダムに遅延させたり、...
3
票
暗号化技術の重ねがけが逆効果になるケースは無いか?
ネットワークプロトコルスタックと言う言葉があります。ネットワーク的に下の層をそっくり入れ替えても、ネットワーク的に上の層はそのまま動かすことができる、といった意味ですね。
TLS はトランスポート層とアプリケーション層の中間に当たるレイヤにいます。一方で我々、一般的開発者が作るのはアプリケーション層です。 TLS はアプリケーションが平文を転送しようが暗号文を転送しようが気にしませんから、...
3
票
プロプライエタリなアプリケーションの暗号化された通信内容を見る
WiresharkでSSL通信をデコードするには
秘密鍵を入手する
セッション鍵を入手する
のどちらかが必要ですが、今回の要件では難しそうです。
HTTP Proxyをサポートしているアプリケーションなのであれば、Fiddlerのようなデバッグ用のプロキシを使う方法があります。証明書の偽装が行えるので、SSLの通信も拾えます。ただし、...
3
票
Accepted
AWS ACM で ELB を通さずにSSL証明書を利用することはできますか?
まず、ACMはAWS Certificate Managerの略ですから、AWS ACMと表記するのは誤りです。
サービスと AWS Certificate Manager の統合に
ACM 証明書またはプライベート ACM PCA 証明書を AWS ベースのウェブサイトとアプリケーションに直接インストールすることはできません。次のサービスの 1 つを使用する必要があります。
...
3
票
Accepted
TLSはパケットに送信元IPアドレスが含まれない?
記事にはいきなり「パケット」が登場していますが、これが何を指す名称なのか全く不明です。少なくともTLSの用語ではありません。ただし、言わんとしていることはわかります。
TLSはあくまで双方向通信されるストリームであり、その伝送方法は規定していません。TCP/IPを使用する必要はなく、伝書鳩でも構いません。
例えば、Microsoft ...
2
票
自分のプロジェクトのサーバー証明書のみを正としてサーバー証明書の検証を行う方法が知りたいです。
「オレオレ証明書を回避せず」という表現がちょっと良く分かりませんが、正しいか評価しないという設定はしたくないと言う意味ですよね。
http://qiita.com/harmegiddo/items/b72ca4f430292251c8a6
上記と同じことをしているわけですよね。
おっしゃる通り、のことをすれば良いと思いますので、指定されているコードに問題があるというよりは、...
2
票
SSL通信時、アドレスバーが緑にならない
chrome のアドレスバーの左端のアイコンはサーバー証明書と chrome のポリシーによって変わります。
今日付けの chrome のバージョンは 47.0.2526.80m ですが、このバージョンについていえば
- http つまり非暗号化のとき、紙アイコン
- サーバ証明書が sha1 署名のとき、紙アイコン(もはや安全ではないよ、と主張しています)
- サーバ証明書が sha2 ...
2
票
SSL通信時、アドレスバーが緑にならない
残念ながら ロリポップ以外の証明機関からEV SSL 証明書を取得する必要があると思います。
アドレスバーが緑になるのは EV SSL 証明書の場合のみで その他の証明書の種類だと緑にはなりません。 ロリポップの独自SSL を見ると次のように書いてあり「GMOグローバルサインのクイック認証SSL」という証明書のようです。
「ロリポップ!で提供する独自SSLは、...
2
票
Accepted
SSLのためにJKS形式ののキーストアを作りたい
openssl pkcs12 コマンドのオプションに -chain が必要なのではないでしょうか。
openssl pkcs12 -inkey server.key -in server+chain.crt -export -out super.pkcs12 -name myserver -CAfile aaa.crt -caname root -chain
keytool -...
2
票
プロプライエタリなアプリケーションの暗号化された通信内容を見る
Windows上が前提とのことなので。
Internet ExplorerやWindows Updateなどは内部に通信ライブラリを持っており、それぞれWindows Internet (WinINET)とWindows HTTP Services (WinHTTP)として公開されています。
プロプライエタリなアプリケーションが独自にSSLを扱うことは滅多になく、...
2
票
暗号化技術の重ねがけが逆効果になるケースは無いか?
例えば暗号文を復号するための情報として、固定のヘッダ、あるいは容易に予測できる内容のヘッダを儲けてしまったとする。その固定のヘッダのおかげで既知平文攻撃が可能になるって事はあるかもしれない。
2
票
PHPによるGoogle APIを用いたWebアプリがPHP Fatal errorを返すようになりました
自己解決しました。PHPのOPEN_SSL関係のため、PHP.INIの[openssl]にopenssl.cafileとopenssl.capathを、[curl]のopenssl.cafileを追加したところ、エラーが出なくなりました。
2
票
Accepted
ブラウザのTLS/SSLのバージョン取得
TLSは各バージョンで使用できる暗号スイートが定義されています。
例えばIPAのSSL/TLS暗号設定ガイドラインでは「高セキュリティ型」「推奨セキュリティ型」「セキュリティ例外型」を定義していますが、この中の「高セキュリティ型」では
高セキュリティ型の暗号スイート設定では、TLS1.2 でのサポートが必須と指定されている暗
号スイート AES128-SHA ...
2
票
Accepted
TLS1.0対応の暗号化方式のうちどれを使っているのかを確認するには?
HTTPSはSSL(TLS)上にHTTPを乗せたものですので、TLSについて説明します。
TLSではまずクライアントからサーバーへClient Helloと呼ばれるパケットを送信します。その中にはCipher Suitesと呼ばれるクライアントで使用可能なアルゴリズム一覧が含まれています。その応答としてサーバーからクライアントへServer Helloというパケットが送信されます。...
2
票
SSL付ロードバランサとnginxを使う方法について
ロードバランサで設定する、nginxサーバのポート番号でlistenするとよいと思います。
#ロードバランサでSSL終端しているので、ロードバランサ - nginxサーバ間は復号されたHTTPが流通すると思います。
2
票
Chrome で自作のウェブサイトがアクセスしにくいのはセキュリティーの問題でしょうか?
まずは自身の web サーバがどのポートで待ち受けているのかを確認してください。
一般的には http(80), https(443) ですが、https は証明書の取得が必要です。
ブラウザから http(s) の入力を省略した場合、現在のブラウザは https と仮定してまずアクセスし、うまく繋がらない時は次に http での接続を試す場合があるので、ここで時間がかかるケースがあります。
...
1
票
TLS1.0対応の暗号化方式のうちどれを使っているのかを確認するには?
質問者さんがどういう立場なのかで知りたい内容は変わると思います。
- サーバー管理者
- 普通のユーザー
- MITM 攻撃を試みている中間者
普通のユーザーとして興味があるから確認したいってことだと仮定して、例えばオイラのユーザーエージェント Chrome x64 69.0.3497.100 であるなら
- 確認したい https なページを開いておいて
- F12 で開発者ツール画面を開く
-...
1
票
sslのルート証明書更新
「SSLサーバ証明書を更新したため、ルート証明書を追加してください」という依頼がきたということですが、ルート証明書を追加する必要があるというのは、いわゆる「オレオレ証明書」ということになります。通常の運営者であればセキュリティ的に問題があって手間もかかる「オレオレ証明書」を使うことはないと思います。もう一度依頼内容を確認して、それでも「ルート証明書を追加する必要がある」...
1
票
Postfix の smtpd_tls_wrappermode とは?
「the non-standard "wrapper" mode」と言っている「標準」とは RFC のことでしょうか?
「標準」=「STARTTLS の SSL/TLS」
「標準じゃない」=「STARTTLS じゃない(古い) SSL/TLS」
ということだと思います。
また、「ラッパー」とはなんでしょうか?
smtpd_tls_wrappermode=yes の場合、最初の接続から ...
1
票
DjangoでLet's Encryptの証明書発行ができません><。
<証明書発行時コマンド>は、-w オプションでドメインのルートを指定するので、次のように修正する必要があると思います。
certbot certonly --webroot -w /var/www/cgi-bin/***/--- -d [取得したドメイン wwwなし] --email=[メールアドレス]
なお、最近のLet's Encryptの設定は自動化が進んで非常に簡単になっています。...
1
票
Accepted
.net のAPIをフックする
.NET Frameworkでは暗号化処理はほとんど実装されておらず、大抵はWindows APIを呼び出しています。ですのでネイティブアプリケーションと同じ方法でフック可能です。
なおかつ、.NET Frameworkでは全てのDLL読み込みは遅延ロードで実装されているため、関係するメンバー呼び出しがなければDLLは読み込まれていません。ネイティブアプリケーションよりもフックは容易かと思います。
...
1
票
Accepted
Let’s Encrypt で SSL証明書を自動更新したいのですが、cron設定する際のcertbotのパス指定について
Q1
フルパスを記述するか、/etc/cron.d/hoge ファイルにPATHを記述すればいいと思います。
例)
SHELL=/bin/bash
PATH=/sbin:/bin:/usr/sbin:/usr/bin ←コマンドサーチパスを「:」区切りで複数かけます
MAILTO=root
0 1 * * * root /usr/bin/certbot renew && ...
1
票
phpでクライアント証明書の認証
変数 http://nginx.org/en/docs/http/ngx_http_ssl_module.html#variables に入っているので、例えば、fastcgi_param SSL_CLIENT_I_DN $ssl_client_i_dn; で渡せば、PHP 側で $_SERVER['SSL_CLIENT_I_DN'] で取り出せると思います。
1
票
Accepted
C#でTCP、SSL通信を行いたいです。
一般に公開されているHTTPSサーバーの証明書の秘密鍵は文字通り秘密なので自分のサーバー証明書として使用することはできません。ですので自分で証明書を用意する必要がありますが、テスト用途であれば自己署名証明書(オレオレ証明書)を使うのが一般的かと思います。
8行目のusingはusingステートメントと呼ばれる文法で、処理の最後に必ずsslStream.Dispose()...
Only top scored, non community-wiki answers of a minimum length are eligible