ついSSL/TLS証明書の更新を忘れちゃう人へ――Kubernetesの「cert-manager」で始める証明書管理自動化入門：Cloud Nativeチートシート（29） Kubernetesやクラウドネイティブをより便利に利用する技術やツールの概要、使い方を凝縮して紹介する連載。今回は、cert-managerを利用したIngressによる自己署名証明書とLet's Encryptで発行した証明書の利用方法を解説し、Gateway APIでcert-managerを利用する方法を紹介する。 もう、手動で証明書を作成、取得、設定する世界には戻れない 今やWeb公開で必須となったSSL（Secure Sockets Layer）／TLS（Transport Layer Security）ですが、素の「Kubernetes」において「Ingress」や「Gateway API」でSSL/T
全く以て意味不明な誤謬がはびこっていた上に、やたら上から目線だったので、消火しておこうと思う。 そもそもSSL, TLSとは何か SSL/TLSは暗号化技術である。 SSL/TLSのデータ通信自体は対称暗号である。ただし、暗号化に利用する暗号鍵は使い捨てる。 Cipherはかなり色々使えるのだけど、だいたいはTriple DES (3DES)かAESが使われる。 その手順は <- HelloRequest -> ClientHello <- ServerHello <- ServerCertificate <- ServerKeyExchange <- ServerHelloDone -> ClientKeyExchange -> Finished -> ChangeCipherSpec <- Finished <- ChangeChiperSpec <-> Application Dat
既知のパブリック認証局 (CA) によって署名されていない証明書を使用して、IBM MobileFirst™ Platform Server のインスタンスとクライアント間で SSL が機能するようにすることは簡単ではありません。各モバイル・プラットフォームには独自の特性があり、トランスポート層セキュリティー (TLS) 標準のどの部分をどの時点で実施するかはプラットフォームごとに異なります。 以下の推奨事項は、主として iOS 環境および Android 環境に焦点を合わせています。X.509 証明書のサポートは個々のプラットフォームによるものであり、IBM MobileFirst Platform Foundation によるものではありません。X.509 証明書の具体的な要件について詳しくは、各モバイル・プラットフォームの資料を参照してください。 SSL に関連した問題のためにアプリ
it's since Nov.30 2005 May.29 2014, transferred from broach DS-216JのPhoto Stationによるデジカメ写真配布を試みた。PhotoStationは、httpによるログイン認証があるため、httpsで接続することを検討した。https（TLS接続）の利用には、サーバ証明書が必須である。Freeの電子証明書を調査した結果、Synology DS-216Jから自動で取得できる「Let's Encrypt」を導入することとした。「Let's Encrypt」は、ドメイン認証のため ietf「ACME（Automated Certificate Management Environment）ドラフト」に準じて認証を行う。Let's Encryptから電子証明書を取得できるcertbotと言うツールが電子フロンティア財団から提供
iOS、iPadOS、visionOS で手動でインストールした証明書プロファイルを信頼する 証明書ペイロードを含むプロファイルを iOS、iPadOS、visionOS で手動でインストールした場合、その証明書が SSL 証明書として自動的に信頼されることはありません。インストールした証明書プロファイルを手動で信頼する方法をご説明します。 メールで送信されてきたプロファイルや、Web サイトからダウンロードしたプロファイルをインストールする際は、SSL／TLS の証明書として信頼するよう手動で設定を有効にする必要があります。 SSL／TLS 証明書としての信頼設定を有効にする場合は、「設定」＞「一般」＞「情報」＞「証明書信頼設定」の順に選択します。「ルート証明書を全面的に信頼する」で、証明書に対する信頼を有効にします。* Apple では、Apple Configurator またはモバ
ネット上には自己署名証明書を使った SSL 化の記事はたくさんあるけれども、 実際に自分で試してみると意外とハマったのでメモ。 やろうとしたことは以下の通り。 (オレオレ)証明局の証明書とサーバ証明書は分ける (勉強のために) OpenSSL のスクリプトに頼らず、コマンドで必要なファイルを作っていく コマンドラインのみで完結させる(openssl.cnf には頼らない) また、先に RSA鍵、証明書のファイルフォーマットについて に目を通しておくと話を理解しやすいと思う。 やることの流れ CA の秘密鍵を作る ①の秘密鍵から CA の証明書を作る サーバ証明書用の秘密鍵を作る ③の秘密鍵から署名要求を作る ④の署名要求に CA の秘密鍵 & 証明書で署名し、サーバ証明書を作る nginx の設定変更 手順 1. CA の秘密鍵を作る
iPhone/iPad等iOSに自己署名オレオレCA証明書からサーバー/クライアント証明書を署名しインストールする(2017/4/29更新) 自社サーバーにWebサービスを運用し社員にしかアクセスさせたくない場合などHTTPS/SSLを使う場合が多いです。パスワードログインの場合はパスワードが漏れたらどのデバイスからでもアクセスできてしまいますが、このクライアント証明をデバイスにインストールする方法だとそのデバイスからしかアクセスできない上に、その期限も指定できるので万が一デバイスを紛失しても大丈夫というメリットがあります。 ここでは典型的な自社CA証明書作成からそのCAが認証したサーバー/クライアント証明書のopensslでの作成例を記述します。 CA自己署名証明書の作成 CA用の秘密鍵を作成。 openssl genrsa -out exampleca-privatekey.pem C
RSAの公開鍵暗号技術を利用するためには、鍵や証明書のファイルを扱う必要があるため、そのファイルフォーマットについて理解しておく必要があります。 実際、いろんな拡張子が登場するので、それぞれの意味を理解していないとすぐにわけがわからなくなります。そんなときのために備忘録をまとめてみました。 ファイルの拡張子の注意点 .DERと .PEMという拡張子は鍵の中身じゃなくて、エンコーディングを表している デジタル暗号化鍵やデジタル証明書はバイナリデータなのですが、MD5のハッシュ値のような単なる 値 ではなく、データ構造をもっています。.DERや .PEMはそのデータ構造をどういうフォーマットでエンコードしているかを表しています。そのため、.DERや.PEMという拡張子からそのファイルが何を表しているのかはわかりません。暗号化鍵の場合もあるし、証明書の場合もあります。 .DER 鍵や証明書をAS
DNS-01方式 HTTPを利用して認証する場合に、IP制限や社内のみの通信などの制限をしている環境においてはLet's Encrypt側からの通信が届かないので認証できません。そこでDNSのTXTレコードで認証するDNS-01のタイプがあります。 こちらのサイトの説明がわかりやすかったです。 Let's EncryptのDNS-01を使用して無料のSSL証明書をWebサーバなしで取得する -- ぺけみさお 公式のcertbotが対応した 先ほどの記事執筆時点では以下のように書いてありましたが、 現在、Let’s Encrypt公式のletsencryptコマンドは、DNSによる認証をサポートしていません。 GitHubでプルリクエストはされていますが、まだマージされていません。 現在はマージされ使えるようになっていました！！ Dockerでcertbotを動かして生成する こういうとき便
はじめに 今回は、Rancherとはどういうものかについてご紹介すると共に、本番での運用前に必ず押さえておきたい、Rancher環境での暗号化通信・証明書の発行手順についてご紹介いたします。 Rancherとは？ Rancherは、軽量な仮想化を実現するDockerをより便利に利用するため、アメリカのRancher Labs,Inc.が開発したコンテナオーケストレーションのためのソフトウェアです。 OSSとしての利用が可能で、有償でサポートを受けることもできます。 Rancherの利点 Rancherについて考えると同時に、どうしてDockerのようなコンテナ型仮想化が注目されるようになったのかにも目を向けてみましょう。 一番の理由は”軽量な仮想化”というところにあるように思います。 軽量な仮想化と聞くとそれだけかと思いがちですが、軽量であるということは、今まで時間やコスト、手間がかかって
こんにちは、コカコーラ大好きカジです。 「SSL証明書(サーバ証明書)の有効期限確認や証明書の種類を確認するのは面倒ですよね。」 OpensslのコマンドをGoogle検索して・・・というか、自分もそんな感じです。 同じな悩みを持った人いそうだなぁ・・・と思って調べたら解決していた人がいました。感謝です。 certとは SSL証明書(サーバ証明書)の情報取得ツールです。（MITライセンスです。） genkiroid/cert Cert is the Go tool to get SSL certificate information. 前提条件 MacOSXでの利用法を記載します。他のOSの場合は、Goが動作すれば動くようですので、上記URLのReadmeをご参照ください。 certのセットアップ brewを利用すれば簡単にインストールできます。 % brew tap genkiroid/
プライベート認証局の証明書、サーバー証明書、クライアント証明書の作成方法について
こんにちは、最近あまりWebの話をしていないwakです。IISをあれこれ触ってリハビリをしようと試みていたのですが、同僚がSSL回りで苦しんでいたので復習がてら表題の件を試してみました。 通信の盗み見、改竄、なりすまし、おいしくないカリカリを許さない鋭い視線の猫 1行でまとめると こういう証明書を作成するのが目的です。 まずは基礎知識 SSLの目的と機能 SSLには2つの機能があります。 通信を暗号化して、のぞき見や改竄を防ぐ 通信相手が本物であることを保証する たとえば公衆Wi-Fiに紛れて偽Wi-Fiアクセスポイントを設置した悪者がいたとします。このアクセスポイントは悪者の支配下にありますから、ここに接続してしまった人は全ての通信内容を見られてしまいますし、通信内容は改竄され放題です。「mizuhobank.co.jp」にアクセスしていたつもりなのに、実際にはフィッシングサイトに接続さ
社内業務システムをWebに移行中です。 それに伴いSSL暗号化を考慮しています。 社内システムの場合、 第三者が発行するCA署名型と、 自分で発行する自己証明型の どちらが一般的でしょうか？ 金銭的なメリット以外に、自演できる自己証明型のメリットが今一つ分かりません。 社内業務システムでは、利用者が社内の従業員に限定されるので 自己証明型でも良い、という考え方もあるでしょうか？ なにぶん初めてなもので、この辺りのご意見いただければ幸いです。 どうぞ宜しくお願い致します。
Deleted articles cannot be recovered. Draft of this article would be also deleted. Are you sure you want to delete this article? TIS Engineer Advent Calendar 2015 4日目はExcelから予定を変更して証明書のお話です。 はじめに SSLサーバ証明書を用いたHTTPS通信は一般的になってきましたが、社員向けWebサービスなどにおいては自己署名証明書（通称：オレオレ証明書）が使われている例も少ないながら見受けられます。 これらのサーバの中には「暗号化できているから良いじゃないか」と、有料のSSL証明書を買ってもらえない例もあるかもしれません。 この記事ではこういった場合の説得に使える「オレオレ証明書は何故まずいのか」について、まずい例
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
帰ってきた徒然苔