SSL/TLS関連 ブログ記事一覧
CA/Browser Forum 2018年の主な出来事とSSLの今後の焦点
2018年はCA/Browser Forumにとって比較的忙しい一年でした。昨年起きた電子証明書に関する重要な出来事と、今後の見通しについて簡単にまとめました。...続きを読む
常時SSL設定率TOP10の業種とSSLタイプ別の傾向
JIPDECは2018年10月23日に企業等の常時SSL/TLSの調査を行い、結果をJIPDECのウェブサイトに「常時SSL/TLS化調査レポート｜企業サイト対応状況」として公表しました。上記調査はネットビジネスサポート社が保有している企業及び団体約40万の ... 続きを読む
ネット通販詐欺に引っかからないための4つのヒント
多彩な商品を比較し、簡単に購入できるネットショッピングはシンプルかつ無駄がありません。しかし、ネットショッピングならではの問題もあります。それは「セキュリティ」です。フィッシング対策協議会によると、2018年12月フィッシング報 ... 続きを読む
地方自治体のSSLサーバ証明書に関する調査結果を追加分析
「2018年6月、JIPDECは「地方自治体のSSL/TLSサーバ証明書利用調査状況」をプレスリリースしました。当該プレスリリースで発表した内容以外のものも含めて、改めて本ブログにてご紹介します。 ...続きを読む
SSL/TLSサーバ証明書の黎明期から現在まで
「電子証明書」の定義とは何か、ご存知でしょうか。簡単に言うと、電子証明書とは「公開鍵（とそれと対になっている秘密鍵）の持ち主を証明するもの」になります。現在、SSL/TLSの用途に使用される証明書には、その「持ち主」をどのレベル ... 続きを読む
HTTP接続は全て警告表示！常時SSL化の背景にあるGoogle Chrome動向のまとめ
数年前と比較すると多くのウェブサイトで導入が進んでいる「常時SSL」。それを加速させている背景には、サイト運営者・運営企業のセキュリティ意識が向上していることもあげられますが、ブラウザでの非SSLサイトへの対応も大きな要因となっ ... 続きを読む
Certificate Transparencyの最新状況
Googleは今年2月、SSL発行などを行う各CAベンダー（認証局）に向けて送信したメールの中で、2018年4月30日以降に発行された証明書については、Certificate Transparency(以下：CT)への対応要件を満たすことを必須とすると正式に通達しまし ... 続きを読む
サーバを増やさずSSL/TLSを拡張！SNIと常時SSLとの密接な関係
重要性を増し続ける「サイトの安全性」。今では、1社で複数のウェブサイトを運営している企業も少なくありません。ここでは複数のウェブサイトに従来型のSSL証明書を利用する場合の問題点と、それらに対するSNIの有効性について解説します ... 続きを読む
情報セキュリティにおけるセキュアな通信の必要条件
情報セキュリティにおいて、情報が漏洩しないこと、安全にデータ通信できることなどは重要な問題です。近年、インターネットなどの発達や普及によって通信上の安全を確保する必要性が高くなっています。個人情報などの流出のニュースが頻繁 ... 続きを読む
過去のSSL/TLS攻撃事例から対策を学ぶ
サイバー攻撃の増加に伴い、企業などにおけるサイバーセキュリティ対策への重要性は高まっています。セキュアな接続として知られるSSL/TLS通信を行っているからといって、自社のシステムは安全だと思い込んでしまうのは大変危険です。過去 ... 続きを読む
同じようで違う「無償SSL」と「有償SSL」
多くの人がインターネットにアクセスしない日はないという昨今、インターネットの安全性は当たり前に求められるものとなっています。そのため、大手有名ウェブサービスは常時SSL化が基本となっていますが、単にSSL化と言っても認証レベルに ... 続きを読む
CAA (Certificate Authority Authorization)について
CAA (Certificate Authority Authorization)は、RFC6844で定義されているDNSリソースレコード特定のドメイン名に対して、どのCAが証明書を発行できるのかを制限するPKI環境でのセキュリティ強化となります。CA/ブラウザフォーラムではBallo ... 続きを読む
SANを活用して、効率的なサーバ認証管理を進めよう
SAN（Subject Alternative Name）を使えば、1枚の証明書で複数のウェブサイトの暗号化通信を実現することが可能になります。これによって限りあるIPアドレスの節約や効率的なサーバ認証管理も可能になります。現在、インターネットの利用は ... 続きを読む
アクセス時に警告表示されるウェブサイトは何が原因？～あなたのサイトは大丈夫？回避方法を解説します～
ウェブサイトにアクセスしたとき、“このWebサイトで提示されたセキュリティ証明書は、信頼された証明機関から発行されたものではありません”と警告が出ていたら、そのサイトから離れてしまった経験を持つ人は多いと思います。企業のセキュ ... 続きを読む
暗号化できればよいという考えは危険！自己署名証明書の危険性とは？
証明書の正当性は、本来階層構造を上位にたどることによってルート証明書にたどり着くことで確認ができます。しかし第三者認証局の階層に参加せずとも、勝手にサーバ証明書を作ることができる「オレオレ証明書」と呼ばれる自己署名証明書も ... 続きを読む
SSLサーバ証明書を導入して信頼性の高いサイトを構築しよう
SSLサーバ証明書は、接続先の相手が信頼できるか否かを見極めるために広く使われている有力な手段です。サーバ証明書には認証局の署名が付いており、サイトの信頼度をさまざまなレベルで保証してフィッシング詐欺サイトの被害を防ぎます。 ... 続きを読む
「盗聴や改ざん」は他人事ではない！中間者攻撃とは何か理解してその対策をたてよう
インターネットが普及した今日では、インターネット上における「盗聴」や「改ざん」が身近な出来事になってしまいました。中間者攻撃では、会社の機密事項を扱う研究開発部門などを標的として極秘の情報が狙われるなどだけでなく、企業側と ... 続きを読む
大手ウェブサービスの常時SSL化進む！担当者が知っておきたいSSLの選び方
ECサイトを運営するのであればSSLによるセキュリティ対策は必須です。SSLにはセキュリティレベルに応じていくつかの種類があり、効果的に利用するためにはそれぞれのSSLの特性をよく理解しておく必要があります。以下ではそのためにSSLの必 ... 続きを読む
ホスティングサービスの共用ドメインSSLを使う時の注意点とは
インターネットが普及するにつれて、ネット上で個人情報を送信することも多くなってきました。しかしネット上における個人情報のやりとりの危険性については残念ながらまだ十分に理解が行き渡っている状態とはいえず、トラブルによる事例も ... 続きを読む
TLS1.2への移行の必要性～TLS1.2への有効化が始まる現状の動きとは
今や多くのWebサーバ管理者が使用しているSSL/TLS。ネット犯罪などの改ざんを防止する方法として便利な反面、脆弱性の問題は次々と発覚し、その都度移行対応は必須の状態です。今、なぜTLS1.2への移行が必要なのか、SHA-2への移行の問題や ... 続きを読む
ちょっと待って！そのWi-Fi使ってほんとうに大丈夫？公衆・社内・自宅ネットワークの安全性をもう一度点検しよう
ノートパソコンやスマートフォンが普及するにつれ、公衆エリア、職場、家庭などでケーブルを使わずにインターネットに接続できる環境が当たり前になってきています。そうした環境でメールやWebサイトに接続することに慣れてしまうと、いち ... 続きを読む
迫るSHA-1の廃止、SHA256への移行～各ベンダーが利用期限見直しの動き～
サイトの安全性を担保するために電子署名を用いたSSLを現在では、数多くのWebサイトが利用していると言われています。しかし、その暗号アルゴリズムが破られると通信の安全は保障できなくなり、なりすましやフィッシングに悪用されることが ... 続きを読む
SNI導入で顧客SEOをより確実に成功させる！-今後のホスティングサービスの救世主SNIを導入しておこう-
SNIは今SEOを実施する上で不可欠な要素です。エンドユーザに一度でも不信感を抱かれたWebサイトでKPIを達成することは極めて難しく、一度信用を失ってしまえば、それを取り戻すことは極めて難しいです。これらを回避しビジネスを安定的に成 ... 続きを読む
PCI DSSとSSL 個人情報を取り扱うなら知っておくべきセキュリティの基礎知識
個人情報を取り扱う企業なら知っておくべきセキュリティ基準が「PCI DSS」です。このセキュリティ基準は定期的に更新されており、2015年4月15日にv3.1が公開され、2016年にはv3.2が公開される予定となっています。ここではこのPCI DSSの基 ... 続きを読む
SSL/TLS証明書無料化は進むか？～Let's Encryptに見る無料SSL/TLS証明書の台頭とその注意点～
オンラインショッピングやネットバンキングが一般的になりつつある今、同時に「なりすまし」や「盗聴」「改ざん」などが世界的に問題になりつつあります。そこで2014年11月にElectronic Frontier Foundation（EFF）の他、MozillaやCisco Sy ... 続きを読む
主要ブラウザのセキュリティ強化でHTTPSエラー?!
Googleは、2014年9月にGoogle ChromeのSHA-1取扱いに関する指針を公開しました。さらに2015年に入り、バージョン45および46からアドレスバーの表示を変更したり、メッセージを出して閲覧できなくする等、サイトのセキュリティに関する仕様 ... 続きを読む
HTTP/2、ATS(App Transport Security)登場！ セキュア通信への理解と実践が求められる時代へ
2015年2月17日に正式な仕様として承認されたHTTP/2。1999年にHTTP 1.1が規定されて以来、14年ぶりの改訂となりました。そして、まもなく登場するiOS9にはATS(App Transport Security)が実装され、モバイル機器の世界でも、セキュアな通信へ ... 続きを読む
ECサイトユーザの85%が危険なサイトを回避
近年ECサイトは会員数が増加傾向であり、とても頻繁に利用されています。あるイギリスの調査では、ふだん休日に買い物をする75％のユーザがワンクリックで身近な人へのプレゼント購入を予定しているそうです。例えば2014年クリスマス前の調 ... 続きを読む
注目の集まるSNI（Server Name Indication）導入の必要性とは
SSL/TLSの拡張仕様の1つであるSNI（Server Name Indication）に注目が集まっています。これまでは「1台のサーバ（グローバルIPアドレス）につきSSL証明書は1ドメイン」でしたが、SNIを利用すれば、「1台のサーバで異なる証明書」を使い分け ... 続きを読む
マネージドサービスに関してよくあるご質問
SSLサーバ証明書やクライアント証明書の管理に関するお問い合わせが多いので、下記のFAQをご紹介します。１．ユーザの許可設定グローバルサインのプラットフォームは証明書プロファイルをベースにして作られています。証明書プロファイルは ... 続きを読む
SSLサーバ証明書の期限切れを防ぐのに役立つマネージドソリューション
複数あるSSLサーバ証明書の有効期限切れのリスクを回避するためには、SSLのマネージドソリューションを利用して、すべての証明書の履歴を確認することが大切です。マネージドソリューションを利用することのメリットについて、証明書の有効 ... 続きを読む
GoogleがSHA-1証明書を利用するサイトに警告を表示
Googleが、SHA-1 SSL証明書のインストールされたウェブサイトへアクセスしたユーザに、そのアクセスしたウェブサイトの証明書に対する有効性が低いと表示する、という新たなポリシーを発表しました。これにより、SHA-2 SSLサーバ証明書への ... 続きを読む
Certificate Transparency
SSL/TLSにおける電子証明書の信頼性を高める新たな技術「Certificate Transparency(CT)」についての解説です。続きを読む
コモンネームの位置づけ The (soon to be) not-so Common Name
この記事を読んでくれている読者の中には、SSLデジタル証明書の使用方法については詳しい人もいるかもしれませんがSSLの歴史についてはあまり詳しくない人もいるかもしれません。今回はデジタル証明書の使い方の前に、デジタル証明書の核の ... 続きを読む
Certificate and Public Key Pinning
IETFのドラフト文書、“Public Key Pinning Extension for HTTP”ではユーザーエージェント(例としてChromeブラウザ)はホストが提示する証明書のSubject Public Key Infoのフィンガープリントとユーザーエージェント側でピン留めしたホストの ... 続きを読む
DNS Certification Authority Authorization (CAA)
前回に引き続き、SSLに関連する新しい技術についてご紹介したいと思います。今回ご紹介するのは 「DNS Certification Authority Authorization (CAA)」です。続きを読む
DNS-based Authentication of Named Entities（DANE)
2011年に起こったComodo社/DigiNotar社の認証局からの証明書の不正発行事件を契機として、証明書発行時の審査方法やSSLにおける証明書の有効性の検証方法についての議論が盛んに行われるようになりました。これらの議論から出てきた技術要 ... 続きを読む
モジラ CA:CertificatePolicyV2.2のトピック new gTLDについて
モジラ製品にルート証明書を搭載するための基準の一つに、「CAブラウザフォーラムで作成されるBaseline Requirement(以下BR)に準拠していること」という項目がMozilla CA Certificate Inclusion Policy Ver2.1より記載されています。続きを読む
モジラ CA:CertificatePolicyV2.2のトピック Man In The Middle用の証明書について
ブラウザにはInternet Explorer、Chrome、Firefoxなど、様々な種類がありますが、SSL通信を行う上で、CAのルート証明書が各ブラウザに組み込まれていない証明書をWebサーバーに設定した場合、ブラウザ側はWebサイトの信頼が保証されないと ... 続きを読む
CA/Browser Forumについて
本日よりGMOグローバルサインのブログをスタートします。国内外の業界動向、ちょっとニッチな技術情報等をお伝えしていこうと思います。今回はCA/Browser Forum（概要とメンバー活動）についてご紹介いたします。続きを読む
