2020年2月にApple社が「SSLサーバ証明書の有効期間が398日を超える証明書を2020年9月1日以降、Safariでは無効とする」という発表を、グローバルサインブログで紹介しました。本日はその続報を紹介します。...続きを読む
サイトの作成と管理において、サイト全体をHTTPS化して安全性を高めるアプローチは一般的となりました。しかし、HTTPからHTTPS化したサイトを中心に一部で混合コンテンツのリスクが残っています。...続きを読む
2月18日からスロバキアで行われたCA/Browser Forumにおいて、Appleより「2020年9月1日以降発行するSSLサーバ証明書の有効期間を398日に制限する」と発表がありました。現在のSSLサーバ証明書の最長有効期間は825日(27ヶ月)です。...続きを読む
2018年はCA/Browser Forumにとって比較的忙しい一年でした。昨年起きた電子証明書に関する重要な出来事と、今後の見通しについて簡単にまとめました。...続きを読む
JIPDECは2018年10月23日に企業等の常時SSL/TLSの調査を行い、結果をJIPDECのウェブサイトに「常時SSL/TLS化調査レポート|企業サイト対応状況」として公表しました。上記調査はネットビジネスサポート社が保有している企業及び団体約40万の ... 続きを読む
多彩な商品を比較し、簡単に購入できるネットショッピングはシンプルかつ無駄がありません。しかし、ネットショッピングならではの問題もあります。それは「セキュリティ」です。フィッシング対策協議会によると、2018年12月フィッシング報 ... 続きを読む
「2018年6月、JIPDECは「地方自治体のSSL/TLSサーバ証明書利用調査状況」をプレスリリースしました。当該プレスリリースで発表した内容以外のものも含めて、改めて本ブログにてご紹介します。 ...続きを読む
「電子証明書」の定義とは何か、ご存知でしょうか。簡単に言うと、電子証明書とは「公開鍵(とそれと対になっている秘密鍵)の持ち主を証明するもの」になります。現在、SSL/TLSの用途に使用される証明書には、その「持ち主」をどのレベル ... 続きを読む
数年前と比較すると多くのウェブサイトで導入が進んでいる「常時SSL」。それを加速させている背景には、サイト運営者・運営企業のセキュリティ意識が向上していることもあげられますが、ブラウザでの非SSLサイトへの対応も大きな要因となっ ... 続きを読む
Googleは今年2月、SSL発行などを行う各CAベンダー(認証局)に向けて送信したメールの中で、2018年4月30日以降に発行された証明書については、Certificate Transparency(以下:CT)への対応要件を満たすことを必須とすると正式に通達しまし ... 続きを読む
重要性を増し続ける「サイトの安全性」。今では、1社で複数のウェブサイトを運営している企業も少なくありません。ここでは複数のウェブサイトに従来型のSSL証明書を利用する場合の問題点と、それらに対するSNIの有効性について解説します ... 続きを読む
情報セキュリティにおいて、情報が漏洩しないこと、安全にデータ通信できることなどは重要な問題です。近年、インターネットなどの発達や普及によって通信上の安全を確保する必要性が高くなっています。個人情報などの流出のニュースが頻繁 ... 続きを読む
サイバー攻撃の増加に伴い、企業などにおけるサイバーセキュリティ対策への重要性は高まっています。セキュアな接続として知られるSSL/TLS通信を行っているからといって、自社のシステムは安全だと思い込んでしまうのは大変危険です。過去 ... 続きを読む
多くの人がインターネットにアクセスしない日はないという昨今、インターネットの安全性は当たり前に求められるものとなっています。そのため、大手有名ウェブサービスは常時SSL化が基本となっていますが、単にSSL化と言っても認証レベルに ... 続きを読む
CAA (Certificate Authority Authorization)は、RFC6844で定義されているDNSリソースレコード特定のドメイン名に対して、どのCAが証明書を発行できるのかを制限するPKI環境でのセキュリティ強化となります。CA/ブラウザフォーラムではBallo ... 続きを読む
SAN(Subject Alternative Name)を使えば、1枚の証明書で複数のウェブサイトの暗号化通信を実現することが可能になります。これによって限りあるIPアドレスの節約や効率的なサーバ認証管理も可能になります。現在、インターネットの利用は ... 続きを読む
ウェブサイトにアクセスしたとき、“このWebサイトで提示されたセキュリティ証明書は、信頼された証明機関から発行されたものではありません”と警告が出ていたら、そのサイトから離れてしまった経験を持つ人は多いと思います。企業のセキュ ... 続きを読む
証明書の正当性は、本来階層構造を上位にたどることによってルート証明書にたどり着くことで確認ができます。しかし第三者認証局の階層に参加せずとも、勝手にサーバ証明書を作ることができる「オレオレ証明書」と呼ばれる自己署名証明書も ... 続きを読む
SSLサーバ証明書は、接続先の相手が信頼できるか否かを見極めるために広く使われている有力な手段です。サーバ証明書には認証局の署名が付いており、サイトの信頼度をさまざまなレベルで保証してフィッシング詐欺サイトの被害を防ぎます。 ... 続きを読む
インターネットが普及した今日では、インターネット上における「盗聴」や「改ざん」が身近な出来事になってしまいました。中間者攻撃では、会社の機密事項を扱う研究開発部門などを標的として極秘の情報が狙われるなどだけでなく、企業側と ... 続きを読む
ECサイトを運営するのであればSSLによるセキュリティ対策は必須です。SSLにはセキュリティレベルに応じていくつかの種類があり、効果的に利用するためにはそれぞれのSSLの特性をよく理解しておく必要があります。以下ではそのためにSSLの必 ... 続きを読む
インターネットが普及するにつれて、ネット上で個人情報を送信することも多くなってきました。しかしネット上における個人情報のやりとりの危険性については残念ながらまだ十分に理解が行き渡っている状態とはいえず、トラブルによる事例も ... 続きを読む
今や多くのWebサーバ管理者が使用しているSSL/TLS。ネット犯罪などの改ざんを防止する方法として便利な反面、脆弱性の問題は次々と発覚し、その都度移行対応は必須の状態です。今、なぜTLS1.2への移行が必要なのか、SHA-2への移行の問題や ... 続きを読む
ノートパソコンやスマートフォンが普及するにつれ、公衆エリア、職場、家庭などでケーブルを使わずにインターネットに接続できる環境が当たり前になってきています。そうした環境でメールやWebサイトに接続することに慣れてしまうと、いち ... 続きを読む
サイトの安全性を担保するために電子署名を用いたSSLを現在では、数多くのWebサイトが利用していると言われています。しかし、その暗号アルゴリズムが破られると通信の安全は保障できなくなり、なりすましやフィッシングに悪用されることが ... 続きを読む
SNIは今SEOを実施する上で不可欠な要素です。エンドユーザに一度でも不信感を抱かれたWebサイトでKPIを達成することは極めて難しく、一度信用を失ってしまえば、それを取り戻すことは極めて難しいです。これらを回避しビジネスを安定的に成 ... 続きを読む
個人情報を取り扱う企業なら知っておくべきセキュリティ基準が「PCI DSS」です。このセキュリティ基準は定期的に更新されており、2015年4月15日にv3.1が公開され、2016年にはv3.2が公開される予定となっています。ここではこのPCI DSSの基 ... 続きを読む
オンラインショッピングやネットバンキングが一般的になりつつある今、同時に「なりすまし」や「盗聴」「改ざん」などが世界的に問題になりつつあります。そこで2014年11月にElectronic Frontier Foundation(EFF)の他、MozillaやCisco Sy ... 続きを読む
Googleは、2014年9月にGoogle ChromeのSHA-1取扱いに関する指針を公開しました。さらに2015年に入り、バージョン45および46からアドレスバーの表示を変更したり、メッセージを出して閲覧できなくする等、サイトのセキュリティに関する仕様 ... 続きを読む
2015年2月17日に正式な仕様として承認されたHTTP/2。1999年にHTTP 1.1が規定されて以来、14年ぶりの改訂となりました。そして、まもなく登場するiOS9にはATS(App Transport Security)が実装され、モバイル機器の世界でも、セキュアな通信へ ... 続きを読む
近年ECサイトは会員数が増加傾向であり、とても頻繁に利用されています。あるイギリスの調査では、ふだん休日に買い物をする75%のユーザがワンクリックで身近な人へのプレゼント購入を予定しているそうです。例えば2014年クリスマス前の調 ... 続きを読む
SSL/TLSの拡張仕様の1つであるSNI(Server Name Indication)に注目が集まっています。これまでは「1台のサーバ(グローバルIPアドレス)につきSSL証明書は1ドメイン」でしたが、SNIを利用すれば、「1台のサーバで異なる証明書」を使い分け ... 続きを読む
SSLサーバ証明書やクライアント証明書の管理に関するお問い合わせが多いので、下記のFAQをご紹介します。1.ユーザの許可設定グローバルサインのプラットフォームは証明書プロファイルをベースにして作られています。証明書プロファイルは ... 続きを読む
複数あるSSLサーバ証明書の有効期限切れのリスクを回避するためには、SSLのマネージドソリューションを利用して、すべての証明書の履歴を確認することが大切です。マネージドソリューションを利用することのメリットについて、証明書の有効 ... 続きを読む
Googleが、SHA-1 SSL証明書のインストールされたウェブサイトへアクセスしたユーザに、そのアクセスしたウェブサイトの証明書に対する有効性が低いと表示する、という新たなポリシーを発表しました。これにより、SHA-2 SSLサーバ証明書への ... 続きを読む
SSL/TLSにおける電子証明書の信頼性を高める新たな技術「Certificate Transparency(CT)」についての解説です。続きを読む
この記事を読んでくれている読者の中には、SSLデジタル証明書の使用方法については詳しい人もいるかもしれませんがSSLの歴史についてはあまり詳しくない人もいるかもしれません。今回はデジタル証明書の使い方の前に、デジタル証明書の核の ... 続きを読む
IETFのドラフト文書、“Public Key Pinning Extension for HTTP”ではユーザーエージェント(例としてChromeブラウザ)はホストが提示する証明書のSubject Public Key Infoのフィンガープリントとユーザーエージェント側でピン留めしたホストの ... 続きを読む
前回に引き続き、SSLに関連する新しい技術についてご紹介したいと思います。今回ご紹介するのは 「DNS Certification Authority Authorization (CAA)」です。続きを読む
2011年に起こったComodo社/DigiNotar社の認証局からの証明書の不正発行事件を契機として、証明書発行時の審査方法やSSLにおける証明書の有効性の検証方法についての議論が盛んに行われるようになりました。これらの議論から出てきた技術要 ... 続きを読む
モジラ製品にルート証明書を搭載するための基準の一つに、「CAブラウザフォーラムで作成されるBaseline Requirement(以下BR)に準拠していること」という項目がMozilla CA Certificate Inclusion Policy Ver2.1より記載されています。続きを読む
ブラウザにはInternet Explorer、Chrome、Firefoxなど、様々な種類がありますが、SSL通信を行う上で、CAのルート証明書が各ブラウザに組み込まれていない証明書をWebサーバーに設定した場合、ブラウザ側はWebサイトの信頼が保証されないと ... 続きを読む
本日よりGMOグローバルサインのブログをスタートします。国内外の業界動向、ちょっとニッチな技術情報等をお伝えしていこうと思います。今回はCA/Browser Forum(概要とメンバー活動)についてご紹介いたします。続きを読む