【認証局】SSLに関するスレ 2枚目【ぼろ儲け】

**DNS未登録さん** · 2013/06/02(日) 08:35:31.77

(1) RapidSSLで安いサーバー証明書を1個買う
(2) 自分で中間認証局を作り、RapidSSLのサーバー証明書を割り当てる
(3) 自分で、自分用の他のサーバー証明書を量産する
ってことはできるものでしょうか？
要するに、自分で運営しているWebサイト（ドメインがいろいろある）を(1)でまかなうケチケチ作戦です（・∀・）
ttp://e-words.jp/w/E4B8ADE99693E8AA8DE8A8BCE5B180.html
ttps://www.verisign.co.jp/basic/pki/trust/index_4.html

**DNS未登録さん** · 2013/06/02(日) 19:01:05.76

できない。
あなたのサーバ用の証明書は、そのサーバ（ドメイン）でしか使えない。
中間認証局用のキーは別に存在する。

まえに中間認証局用のキーが漏れたことがあって、大量に証明書を偽装する事件があったが。

**DNS未登録さん** · 2013/06/02(日) 19:06:03.97

あった、あった、結構最近だったｗ

http://internet.watch.impress.co.jp/docs/news/20130107_580795.html

**DNS未登録さん** · 2013/06/03(月) 07:50:44.66

>>300
証明書には「その証明書で他の証明書を発行していいか」
(中間証明書になってもいいか)というフラグがあり、
通常の証明書ではそれがfalseになっているので、無理。

具体的にはX509v3 Basic Constraints: CAの値。
もちろんそれも証明書の署名範囲内なので、無理矢理書き換えれば無効な証明書になる。

**DNS未登録さん** · 2013/06/04(火) 09:57:43.60

>>301-303 参考になりました。どうもありがとうございます。
中間証明書というのがないと、自分で公的な中間認証局を設置できないんですね＞＜

→自分で中間認証局を作りたい場合、中間証明書ってのは、販売されているものなのでしょうか？（聞いたことないです）
普通の用途とは違って、特別なかんじがするから、販売されていたとしても、条件が厳しい・値段が高そうですね？

**DNS未登録さん** · 2013/06/04(火) 10:50:28.97

リセラーで調べたら

**DNS未登録さん** · 2013/06/04(火) 11:39:58.91

>>304

いまいち理解してないようだが、認証局作るだけならopenssl使って誰も普通に作れるよ。
で、自分で作った認証局でいくらでも証明書の発行するのも自由。

自分のブラウザに「自分の認証局の証明書をインストール」さえしておけば、
自分で発行した証明書もブラウザは正規の証明書として認識するようになる。
そういう意味では発行し放題。

でもその行為（＝得体のしれない認証局の証明書をインストール）は、
要は自分のブラウザのセキュリティを下げてるってことなのよ。
だって、google や yahoo の偽物証明書が返ってきたとしてもエラーにならないから
フィッシングやウィルスの仕込みだってやりたい放題になる。
それが自分にインストール済みの認証局が発行したものだったらブラウザは信じちゃうわけだからね。

なのでテスト目的で自分で作った自分が信頼する認証局を使って自分でやる分には問題ないし。
自分がホンの欠片も疑いを持たないような全幅の信頼を置いている友人が立てた認証局を信頼するのであればやってもよいことになる。
まぁ、俺なら例え友人や家族だろうと素人が立てた認証局なんてインストールしたくないわ。

要は認証局とか証明書っていうのは、信頼の連鎖なわけよ。
俺が信頼すると決めた奴の言うことは俺も100%信頼する、という、さ。

公的な認証局になるってことは他人のセキュリティを支配可能になるということとほぼ同じ。
だから国とか特別な公的な団体とか色んな人間に日々監査され信頼された大企業とか、
特別に「信頼出来る組織」が運用してる認証局しか基本使えないし、使わないの。
OSやブラウザにデフォルトでインストールされている認証局ってのはそういう存在なの。

これだけ説明すれば個人が公的な認証局になるなんてことはほぼ不可能だと分かるだろ？

**DNS未登録さん** · 2013/06/04(火) 11:47:16.27

丁寧すぎワロタｗ

**DNS未登録さん** · 2013/06/04(火) 11:56:02.85

ついでに言うと、
だったらその「公的に認められた認証局」の中に悪人がいたらどうすんの？
って思うかもしれないね。

うん、勿論大変なことになる。
でももし一度でもそんなことをしたらその認証局は誰にも信頼されなくなるよね。
その瞬間から、世界中から「お前はもう信頼しねー」と思われ「あいつは信頼してはいけない」と言われる存在になってしまう。

現実にはそれによって何が起こるかというと、
全世界的にブラックリストな認証局として記録・公開される。
マトモなOSやブラウザなら、デフォルトインストールの認証局リストからそいつを排除するし。
その認証局の証明書をアンインストールするパッチを配布する。

そうなったらもうその認証局は実質的に存在できなくなるわけだ。
発行した証明書はブラウザで警告が表示されて誰も信じてくれない。
当然、証明書の発行を商売にしてたとしたら誰も買わなくなるから潰れる。
世界中から訴訟も起こされるかもしれない。

認証局自身も過ちを犯してしまったらそうなることが分かってるから、
全力で自分の組織を健全に保とうと努力するし、内部からも外部からも監査を徹底することになる。
それは監査を受けることはその組織にとって自分を守ることでもあるわけだ。

そういう目に見えない力が働くことによって、世の中の信頼の連鎖が今日も保たれてるのだよ。

分かった？

**DNS未登録さん** · 2013/06/04(火) 12:44:01.25

外部から不正侵入されて偽証明書を発行してしまったオランダの認証局は
信用を失ってその後破産しました。

**DNS未登録さん** · 2013/06/06(木) 07:57:39.92

>>297
へー安いね。
遊びで立てたサーバーでも入れてもいいかなって値段

**DNS未登録さん** · 2013/06/06(木) 14:56:54.83

>>308
認証局に悪人がいたわけじゃない(マヌケがいたかどうかは別)けど、
VeriSignがMicrosoftの証明書発行でやらかしたことはみんな忘れてあげてるよねｗ
http://internet.watch.impress.co.jp/www/article/2001/0323/verims.htm
http://itpro.nikkeibp.co.jp/free/ITPro/NEWS/20010323/1/

DigiNotar(>>309)・Comodo(>>92)・TURKTRUST(>>301-302)がやらかしたことは忘れられてない気がする。

どの程度の監査がされてるか興味がある人はWebTrust for CAとか
Baseline RequirementとかRFC3647とかを調べたらいいと思うんだ

あと>>298にマジレスを追加するなら親にしたい認証局(の運営会社の)株を
50%越のレベルで超大量に買うのもいいと思う。ぼろもうけできるかは別として。

**DNS未登録さん** · 2013/09/09(月) 17:51:34.81

アメリカの機関がインターネット上の暗号を解読していたってニュースが
流れていたけど、SSLっていうのは大丈夫なのですか？

**DNS未登録さん** · 2013/09/10(火) 00:29:48.19

続報がないことにはさっぱりわかんね

**DNS未登録さん** · 2013/09/10(火) 17:49:37.63

ググれば簡単にわかるだろ

**DNS未登録さん** · 2013/09/12(木) 04:03:54.25

盗聴しやすいようにSSLは使わないサービスとかあったなｗ

**DNS未登録さん** · 2013/09/17(火) 05:12:48.04

あれってサーバ側に平文の状態のデータをキャプチャするための
ソフトを入れるのかな(´・ω・｀)

**DNS未登録さん** · 2013/09/24(火) 14:31:08.48

別にアメリカの機関じゃなくても
多くの大学やら、ハッカー集団がコンテストで破ってんじゃん。
結局イタチごっこなんだよ。

強度の高い暗号→処理速度向上で簡単に破られる→より強度の高い暗号化→

ハッキングに使うPCの処理能力も上がってるけど、
暗号化するためのPCも処理能力上がってるから
時代にあった暗号化技術を採用していけばいいって話だよ。

**DNS未登録さん** · 2013/10/10(木) 12:05:07.85

COMODO JAPANっていう所がスパムメール送りつけてくるんだけど
仮にもセキュリティ企業がスパムって頭おかしいんじゃないの？
勝手に送りつけてきて配信停止はこちらじゃねーよ

**DNS未登録さん** · 2013/10/16(水) 19:47:32.70

evintl-ocsp.verisign.com
ocsp.verisign.com
crl.usertrust.com
www.msftncsi.com

**DNS未登録さん** · 2013/11/13(水) 17:24:27.05

ＳＳＬ証明発行頼んだが、対応が遅すぎて呆れた。
メールしても全然、回答こないし・・・。

**DNS未登録さん** · 2013/11/16(土) 17:11:51.93

>>320
国内？海外？

**DNS未登録さん** · 2013/11/17(日) 00:58:09.20

>>321
海外＞＜；

**DNS未登録さん** · 2013/11/17(日) 00:59:23.90

DUNS (International)ってどこで取れるんですか？そもそも国内から取れるものですか？
ＳＳＬ証明出すのに必要らしいんです

**DNS未登録さん** · 2013/11/17(日) 03:52:48.07

>>323
すでに番号が付与されてるかどうかまず検索してみたら？
http://www.tsr-net.co.jp/service/database/overseas/get_a_duns_number.html#a_01

**DNS未登録さん** · 2013/11/18(月) 07:05:08.86

>>322
金返してもらえば？
代理店で金払ったあとは発行する会社とのやりとりになるから
通常問題ないと思うんだけどなあ。

**DNS未登録さん** · 2013/11/21(木) 00:16:59.80

代理店経由なんですが・・・何故か直接シマンテックとやり取りしてるんですよ。
代理店に頼んだ意味がないですよね。

**DNS未登録さん** · 2013/11/21(木) 09:32:34.74

>>326
それが普通
代理店は売るだけだから、
どの代理店から買ってもその後は均一のサービスを受けられる。

**DNS未登録さん** · 2013/11/28(木) 05:17:07.17

代理店を通さずに、直接、結局やりました・・・。
値段がえらく安かったので驚きです。
代理店って結構、マージン取るんですね。

**DNS未登録さん** · 2013/11/28(木) 05:20:35.86

>>328
それなんか騙されてないか？
普通は直接申し込んだほうが高い。

**DNS未登録さん** · 2013/11/28(木) 14:53:58.87

http://www.namecheap.com/で申し込んだけどえらい安かったですよ
騙されたのかな・・・・。

**DNS未登録さん** · 2013/11/28(木) 15:29:14.21

>>330
namecheapも代理店だけど。
値段は普通じゃない？

**DNS未登録さん** · 2013/11/28(木) 15:45:42.58

>>328は代理店への登録代行業者とかを使ったのかなｗ

**DNS未登録さん** · 2013/11/28(木) 22:26:44.72

だったのかな～糞高かったですよ。
RapidSSLでも国内の代理店だと2700円、nemecheapだと９ドルぐらいでしょ。
ぼったくりですよね

**DNS未登録さん** · 2013/11/29(金) 09:58:15.90

>>333
そのくらいが相場なのかな。
確かに、内外価格差はかなりある商品だよね。
素人向けの商品じゃないし、ボンボン売れる商品でもないから、
ビジネスを成立させるためにはそのくらいの値段になりそうではある。

**DNS未登録さん** · 2013/11/29(金) 17:48:02.54

グローバルサイン、CloudFlareが本鯖タイムアウト画面出しよる
証明書更新でけんﾜﾛﾘｯｼｭ

**DNS未登録さん** · 2013/12/12(木) 01:20:18.26

StartSSLのClass2を検討しています。

個人認証は350日間有効、その間に発行した証明書は2年間有効
とのことですが、個人認証の期限切れ前に証明書を更新すれば
実質3年つかえるということでしょうか。

同じCNの証明書はrevokeするか期限切れ前XX日にならないと
発行できないなど制約はあるのでしょうか？

**DNS未登録さん** · 2013/12/12(木) 21:13:37.41

>>333
探せば国内で1050円～ってのがあるよ

**DNS未登録さん** · 2013/12/24(火) 14:19:34.69

FNNニュース: 巧妙な手口のインターネット通販詐欺が急増しています。
ttp://www.fnn-news.com/news/headlines/articles/CONN00260212.html
>>「本物のサイトで、買い物かごに入れるってやった時点で、こういった鍵マークがつき始めます。
>>安全に暗号化して通知をしていますよというマークですね。
>>しかし一方で、偽サイトの方に関しては、1つ、買い物かごに入れてみますと、
>>買い物かごに入れても、特に鍵マークがつかないということですね」

**DNS未登録さん** · 2013/12/24(火) 22:12:09.44

じゃあ俺も fnn-news.net で鍵マークの付く本物のサイトでも作っちゃうかな

**DNS未登録さん** · 2014/01/14(火) 15:16:18.35

>>336
その通り。認証が有効な期間と証明書が有効な期間は別。認証が有効な間は証明書を発行し放題で、証明書は発行日から二年間有効。

**DNS未登録さん** · 2014/02/13(木) 20:01:45.10

シマンテック、ハッシュアルゴリズム「SHA-1」利用停止までのロードマップを解説
ttp://www.atmarkit.co.jp/ait/articles/1402/05/news117.html

**DNS未登録さん** · 2014/03/09(日) 22:09:10.22

>>337
defineが安いの

**DNS未登録さん** · 2014/03/09(日) 22:12:33.00

https://cheapsslsecurity.com

**DNS未登録さん** · 2014/04/06(日) 15:51:40.03

>>343
安いね

**DNS未登録さん** · 2014/04/07(月) 16:36:00.10

>>344
gogetの方が安い

**DNS未登録さん** · 2014/04/07(月) 16:40:20.07

>>345
これか。これも安いね。ありがとう！
https://www.gogetssl.com/

**DNS未登録さん** · 2014/04/09(水) 22:29:09.91

おまえらHeartbleed対応したか？
面倒くさかったけど、reissueもした。

**DNS未登録さん** · 2014/04/10(木) 02:45:59.14

OpenSSL更新したのにApache再起動してないアホの子はいませんね？

**DNS未登録さん** · 2014/04/10(木) 06:57:14.69

redhat6.4は対象外みたいな書き込み見たけど、up2dateしたら、openssl1.0.1になってたから、お間違えなく。

**DNS未登録さん** · 2014/04/10(木) 20:40:40.20

>>348
それなんてDebian?

にしても、StartSSLも再発行無料にしてほしいな。
revokeは本来有償のところ無償でやってくれたという報告あるけど
既にclass2認証切れてるから新たに発行できないんだよな・・・。

**DNS未登録さん** · 2014/04/10(木) 23:35:59.09

うーむ・・・

Please remove StartCom Certification Authority root certificate
https://bugs.debian.org/cgi-bin/bugreport.cgi?bug=744027

**DNS未登録さん** · 2014/04/14(月) 12:14:45.17

0.98使ってるんだけど、1.0の最新版にすべきなのかな(Apache2.2)

**DNS未登録さん** · 2014/04/14(月) 18:26:38.05

0.9.8yが最新

**DNS未登録さん** · 2014/04/25(金) 01:21:53.49

>>346
3.05usdからになってるけど、
この値段はどのcertを買えばいいんだろう？

**345** · 2014/04/25(金) 12:13:22.34

>>354
アカウントページにもその価格の無いよ。
だけど、アカウントのページからだともう少し安い($2.99/yr)のがある

**DNS未登録さん** · 2014/04/25(金) 21:22:44.07

>>355
これのこと？
Do you want cheaper price?
Create Free reseller account and get PositiveSSL for 3.75$

**345** · 2014/04/25(金) 22:44:31.62

>>356
違う、リセラーでなくて普通のアカウント

GGSSL Domain SSL
1-5年
$4.00 $7.25 $9.65 $12.35 $14.95

**DNS未登録さん** · 2014/06/06(金) 04:36:47.00

またですよ https://www.openssl.org/news/secadv_20140605.txt

**DNS未登録さん** · 2014/08/11(月) 02:46:53.01

BIG-IPの勉強をしているのですが、
クライアント証明書で教えて下さい。

クライアント証明書は、BIG-IPで作るのではなく、
サーバー側で作るのでしょうか？

また、サーバー側で作るクライアント証明書は
オレオレクライアント証明書になるのでしょうか？

**DNS未登録さん** · 2014/08/11(月) 23:08:27.74

BIG-IPは別に関係ないじゃん。
クライアント証明書は、認証局で作成する。
ユーザーはCSRを認証局に提出して証明書を発行してもらう。
CSRの作成にはユーザー側で事前に秘密鍵を作成しておかなくてはならない。
性器の認証局で作成された証明書以外は、オレオレ証明書になる。

**DNS未登録さん** · 2014/08/11(月) 23:09:01.71

おおう。性器→正規

**DNS未登録さん** · 2014/08/12(火) 06:55:08.05

クライアント証明は、サーバサイドで本物と認識できれば、私製でも支障はない。

**DNS未登録さん** · 2014/08/16(土) 17:22:13.80

startsslって日本のスマホには未対応なんだな
使うまで知らなかった

**DNS未登録さん** · 2014/08/16(土) 17:34:21.39

>>363
SO-04Eには普通に入ってたよ

**DNS未登録さん** · 2014/08/18(月) 20:33:36.18

>>363
日本キャリア向けのだけわざわざ抜いてあるの？

**DNS未登録さん** · 2014/08/19(火) 01:40:42.18

>>363
XperiaZ2だけど使えるよ

**DNS未登録さん** · 2014/08/25(月) 17:32:11.13

普通に入ってないか？いつのやつだよ

**DNS未登録さん** · 2014/09/20(土) 13:08:56.53

GoogleがSHA-1証明書を利用するサイトに警告を表示
ttp://googleonlinesecurity.blogspot.jp/2014/09/gradually-sunsetting-sha-1.html
ttps://www.toritonssl.com/info/2014/2014_09_19.html
ttps://jp.globalsign.com/blog/2014/google_warnings_sha1.html

**DNS未登録さん** · 2014/10/18(土) 18:07:19.48

GeoのRapidSSLワイルドカードにしたった
さて色々やらねば

**DNS未登録さん** · 2014/10/21(火) 01:46:32.45

ssls.comからcomodo positiveSSL 5yearをおよそ$25で購入。JNBのカードレスVISAが使用可能だった。

安上がりで素敵。

**DNS未登録さん** · 2014/10/25(土) 17:24:42.64

ttp://japan.zdnet.com/security/sp/35055409/
SSL3.0オワタ

**DNS未登録さん** · 2014/10/25(土) 20:43:10.65

>>371
XPと共に終わったと思うが、いまだにXP使いつつけるヤツいるからな。

**DNS未登録さん** · 2014/10/26(日) 09:32:54.32

IE8使えよ

**DNS未登録さん** · 2014/10/26(日) 20:29:53.98

SSLに関しちゃIE6と並んでガラケーが相当あるからレガシー切りはなかなか厳しいよ
SHA-1署名足切りと並んで頭痛い話に

**DNS未登録さん** · 2014/10/28(火) 00:02:01.77

iModeはメールのみでよい気がする。

**DNS未登録さん** · 2014/10/28(火) 12:51:29.30

ウチは全部ぶった切ったったw
古いやつ？
そんなんしらんw

**DNS未登録さん** · 2014/11/03(月) 05:23:10.44

TLSだけでよくね

**DNS未登録さん** · 2014/11/03(月) 12:21:43.72

うちはTLSのみにした。

**DNS未登録さん** · 2014/11/11(火) 12:23:34.81

king SSL が,、900円
RapidSSL は 1,080円
このあたり誰か使っていませんか

**DNS未登録さん** · 2014/11/11(火) 19:54:00.86

>>379
どこ使っても同じ
うちはRapidワイルドカードしたけど

**DNS未登録さん** · 2014/11/20(木) 20:28:09.10

無料でSSL証明書を取得できるサービス、来年夏登場予定
http://it.slashdot.jp/story/14/11/19/180214/

**DNS未登録さん** · 2014/11/24(月) 05:56:37.84

厳密な手続きや審査を経ない証明書なんて
たいしてオレオレ証明書と変わらないんじゃね
今も無料のやつあるけどさ

**DNS未登録さん** · 2014/11/24(月) 12:09:23.88

俺以外の誰かが証明している事が重要なんだよ。
実態がオレオレ程度でもね。

**DNS未登録さん** · 2014/11/24(月) 13:57:37.44

まあオレオレじゃ他人に使わすのは現実的ではないからねえ
個人よりもルーターの設定とかそういうほうが切実かもしれない

**DNS未登録さん** · 2014/11/24(月) 15:16:06.89

>>381
各種ブラウザの証明書ストアにこのRoot CA登録されるの？

**DNS未登録さん** · 2014/11/24(月) 16:56:53.98

firefoxだけだった気がする

**DNS未登録さん** · 2014/11/24(月) 18:59:56.91

証明書取得したきっかけは>>240なので、googleが認めてくれないとだめだな

**DNS未登録さん** · 2014/12/01(月) 00:30:30.46

２０１２年製以降のガラケーもドコモ以外はＳＳＬからＴＬＳに移行してるみたいだな

アマゾンでガラケーが使えなくなったって人は
ＴＬＳに移行出来ないくらい古い機種の人らか

**DNS未登録さん** · 2014/12/01(月) 02:50:00.78

iモードでもtls対応になったiモードブラウザ2.0機種は2009年夏モデルからみたいだ
それ以前のモデルでもフルブラウザ使えばTLS使える

**DNS未登録さん** · 2014/12/22(月) 10:51:59.12

証明局の乗り換えって大変ですか？
例えば今StartSSLで始めて、来夏にLet's Encryptを利用するとか

**DNS未登録さん** · 2014/12/22(月) 22:05:03.67

>>390
クライアント次第じゃね

**DNS未登録さん** · 2014/12/26(金) 16:12:15.31

>>390
面白そうなサービスが始まるんだな。証明書の管理もいらなくなるし、
暗号化できればいいやって部分は全部ここでよくなるかも。
これが始まったら、RapidSSLとか安売りして日銭稼いでるディーラーは
ヤバいんじゃね？

**DNS未登録さん** · 2014/12/26(金) 16:35:23.94

SSLを単純に暗号化目的で使っている人もいるからねぇ

**DNS未登録さん** · 2014/12/26(金) 17:13:10.62

>>393
オレオレでいいんじゃないの

>>392
>RapidSSLとか安売りして日銭稼いでるディーラー
現状でも商売になってるのかなあ？

**DNS未登録さん** · 2014/12/26(金) 19:31:06.14

>>394
オレオレだと警告出るじゃん
警告が出るのと出ないのとでは大きな違いだよ

**DNS未登録さん** · 2014/12/27(土) 02:44:16.87

>>395
ああ誰かに使わせるならそうだね
OVってもはや意味ないよねえ

**DNS未登録さん** · 2014/12/27(土) 03:28:08.30

だからEVとか言い出したわけで。

**DNS未登録さん** · 2014/12/29(月) 11:37:24.76

>>394
いやいや、盗聴の防止が暗号化の目的だとすると、
オレオレは盗聴者が居ないことを保障できないから駄目だよ

**DNS未登録さん** · 2014/12/29(月) 17:02:42.05

両端が自分だったらいいんだけどねえ

**DNS未登録さん** · 2014/12/29(月) 21:13:54.74

>>398
事前に確実な方法でクライアントにオレオレ証明書を渡して
インストールしてもらえば大丈夫じゃないの？

**DNS未登録さん** · 2014/12/30(火) 12:01:39.30

相手を第三者に証明してもらう必要性がなければいい。

**DNS未登録さん** · 2014/12/30(火) 14:38:22.20

>>400 yes
>>401 no

**DNS未登録さん** · 2015/01/22(木) 00:21:53.32

クライアント証明書で認証していて、失敗した場合に任意のエラーページを表示する方法ってないのかな？

**DNS未登録さん** · 2015/01/27(火) 12:29:08.98

>>400
パソコンならいいけどタブレットとか携帯だと厄介

**DNS未登録さん** · 2015/01/27(火) 16:27:10.40

安くておすすめってなるとやっぱりRapidSSLになるのかな。
これってどこで購入しても同じなのだろうか。

**DNS未登録さん** · 2015/01/27(火) 18:58:23.41

>>405
ものは全部同じ。ドメインが複数あるなら、StartSSL もいいかも。
認証が面倒だけどね。

**DNS未登録さん** · 2015/02/02(月) 13:17:49.89

ssl/tls にしてなかった事が主な原因でこんなひどい目に遭った。

ってお話を教えて下さい。

**DNS未登録さん** · 2015/02/02(月) 14:57:47.99

Googleで優遇されることと政府監視を避けられるのが一番のメリットだと言われてるよ。
入れてないから被害にあうということはほとんど無いはず。

**DNS未登録さん** · 2015/02/02(月) 22:40:29.13

>>407
なんのために？
なせ゜あるか考えたらどうなるかくらい想像できない？

**DNS未登録さん** · 2015/02/03(火) 04:56:36.52

>>408
ご回答ありがとうございます。
>>409
平文で流れていると、パケットキャプチャーされると一発だとか、man in the middle 攻撃とか、暗号（ssl/tls)がらみでは色々な危険性が指摘されており、
私も https じゃない URL でクレジットカード番号入れたりするのは怖くて出来ないんですが、
現実問題として
膨大なインターネットトラフィックを本当に解析しているひといるの？
man in the middle って理屈は分かるけど本当にやってるひといるの？
泥棒が本気になったら、玄関に鍵を掛けてあろうがなかろうが、侵入され盗まれちゃう可能性ってさして変わらないんじゃ無いの？
理論、理屈は分かるし、暗号化していないと不安で仕方ない自分がいるけど見えない幽霊を必要以上に恐れていない？
などが質問の理由です。
私を恐れさせてくれるお答え、お待ちしています。ｗ

**KAC** · 2015/02/03(火) 08:31:42.87

>>410
例えばの話をするけど。
　日本には家が膨大にある。
　鍵のあいているところを狙って入る奴なんているの？
はYesだ。
鍵をかけ忘れたら必ずやられるわけではないけど、
鍵をかけてれば防げた被害は結構ある。

> 膨大なインターネットトラフィックを本当に解析しているひといるの？

特にインターネットに限って言えば、膨大なデータなんて解析しなくていい。
条件で振り分けるだけで、機械的に目的のものが抽出できる。
空き巣のように自分でリスクを犯す必要すら無い。

> 理論、理屈は分かるし、暗号化していないと不安で仕方ない自分がいる

警戒するのは必要なこと。
あとは、流すデータは本当に隠す必要があるかを考えておけばいいよ。
どうでもいい情報まで無理に暗号化する必要はない。
けど、重要な情報は警戒しておいて間違いじゃない。

**DNS未登録さん** · 2015/02/03(火) 09:21:16.19

パケットキャプチャは読めるデータしか読まない。
言い換えると送信時間や送信元先は隠しづらい。

**DNS未登録さん** · 2015/02/03(火) 12:24:56.39

まあキャプチャーしてると会社の隣のやつのftpログインが丸見えとか
プロバイダで問題が出ててログ取ってたらまるまる入ってて処分に困ったとかあるなあ

**DNS未登録さん** · 2015/02/05(木) 17:42:37.23

>>411-413

ご意見、ありがとうございました～。

**DNS未登録さん** · 2015/02/05(木) 19:10:50.33

法人のECサイトに使うSSLに無料SSL使うのはありですか？なしですか？
サーバ代含めて予算が年間2万円しかありません。
サーバに1万円ぐらい、ドメインに3000円ぐらいとすると、あと7000円ぐらい余裕はあります。

**DNS未登録さん** · 2015/02/05(木) 21:34:59.10

>>415
個人情報保護法の個人情報取扱事業者にも該当しないような小規模サイトなの？
決済を代行業者に丸投げなら特に問題ないかと。

**DNS未登録さん** · 2015/02/05(木) 21:44:11.20

>>416
年2万しか予算がない時点で、決済代行なんか頼めないと思うが……。
>>415
7000円も余裕があるんなら、RapidSSLの安い奴を入れればいいじゃん。

**KAC** · 2015/02/05(木) 22:00:12.62

>>415
さすがに無料のSSL使うのは信頼性の面でどうかと思うが・・・

どの程度のサービスが一般的なのかは
実際に色々なECサイト回って自分で判断すべき。

自社のECサービスに求められる機能と品質と比べて
満足できる範囲で安いやつを選ぶしか無いと思う。

**DNS未登録さん** · 2015/02/05(木) 22:17:42.50

>>416-418
ありがとうございます。宣伝目的でECはオマケの小規模なサイトです。
商品は10点未満で、推定購入者数は1日3人以下で年間1000人です。
クレジットカード決済を使うと赤字になると思うので、銀行振込で対応する予定です。
RapidSSLで調べてみます。ありがとうございます。

**DNS未登録さん** · 2015/02/06(金) 07:24:31.33

それどっちにしろ赤字やん

2015/02/06(金) 23:27:57.80

★マインドコントロールの手法★

・沢山の人が偏った意見を一貫して支持する
　偏った意見でも、集団の中でその意見が信じられていれば、自分の考え方は間違っているのか、等と思わせる手法

・不利な質問をさせなくしたり、不利な質問には答えない、スルーする
　誰にも質問や反論をさせないことにより、誰もが皆、疑いなど無いんだと信じ込ませる手法

偏った思想や考え方に染まっていたり、常識が通じない人間は、頭が悪いフリをしているカルト工作員の可能性が高い

10人に一人はカルトか外国人

「ガスライティング」で検索を！

......

**DNS未登録さん** · 2015/02/16(月) 09:12:09.09

Symantecが海外経由のSSL購入の場合も日本だけ価格を変えるみたいだね。
要は日本向けのみリセラー価格変更。

２次でやってる奴らはまだ聞いてないと思うけど。
超強気の価格設定だった。殿様商売万歳。

**DNS未登録さん** · 2015/02/16(月) 15:52:13.22

ビットコインをはじめよう
1000円分のビットコインがもらえます！

https://bitflyer.jp/gift/fn0tlipl

とにかく一応もらっておくといいです。

**DNS未登録さん** · 2015/02/16(月) 20:46:07.47

ビットコインをはじめよう
1000円分のビットコインがもらえます！

https://bitflyer.jp/gift/fn0tlipl

とにかく一応もらっておくといいです。

**DNS未登録さん** · 2015/02/18(水) 02:23:30.65

>>422
https://support.servertastic.com/japan-region-pricing/
https://support.servertastic.com/reseller-japan-region-pricing-faq/

対象:
- .jpで終わるドメイン名
- EV (Extended Validation), OV (Organization Validated)のときは日本で登記してる組織
- IPアドレスレンジが日本

RapidSSLでよくて.jp以外のドメイン名つかってて、一時的に海外VPSにAなりMXなり向けられるやつなら回避可能っぽいな

**DNS未登録さん** · 2015/02/22(日) 01:52:18.45

>>425
価格5倍ワロタ

**DNS未登録さん** · 2015/02/22(日) 06:50:13.80

RapidSSL ごときに$80 も払うんなら、Let's Enctypt でいいや。
各ブラウザとも、CA証明書のっけてくるだろうし。

**DNS未登録さん** · 2015/02/22(日) 14:17:20.48

来年はCOMODOに戻るかみたいな感想だけど
他に安くておおむね使えるCAというとどこらへんがあるかね。

**DNS未登録さん** · 2015/02/22(日) 17:06:13.58

もうStartSSLでいいんじゃね？
認証局として云々はアレだけど、実用上はほぼ問題無いと言ってもいいだろうし。
Let's Enctyptでもいいよね。

よっぽどの理由が無い限り、無料の証明書を使うって言う流れになるんじゃねーかな？

**DNS未登録さん** · 2015/02/22(日) 18:06:55.98

trustico は該当する場合には売らないって言ってるね。
http://www.trustico.com/news/jp/symantec-japan-price-increase-ssl-certificate.php

いやー一気にシマンテック大嫌いになったわ。

**DNS未登録さん** · 2015/02/22(日) 20:55:02.20

数十%値上げとかならわからんでも無いけど、日本向けだけ最大約10倍の値上げとか、
正気の沙汰じゃ無いよな。なんか日本のシマンテック内にキチガイがいるんじゃね？

**DNS未登録さん** · 2015/02/22(日) 23:27:19.86

そのうち Let's Encryptも日本だけ有料とか言い出したりしてな

**DNS未登録さん** · 2015/02/23(月) 08:03:46.88

このスレってSHA2移行の話とかはスレ違い？

**DNS未登録さん** · 2015/02/23(月) 10:14:47.38

>>433
過疎スレだし、いいんじゃない？

**DNS未登録さん** · 2015/02/23(月) 11:21:46.01

>>434
死ねよ

**DNS未登録さん** · 2015/02/24(火) 01:55:01.21

>>433
なにか困ってるの？

**DNS未登録さん** · 2015/02/24(火) 08:18:55.01

スレ違いで無ければ＆知見がある方がいれば教えてください…。

Symantecや関連会社（ジオトラスト等）のSHA2移行説明ページを見ると、Android 1.5以降が対応してると載っています。
http://www.symantec.com/ja/jp/page.jsp?id=ssl-sha2-transition

ただ、他の認証局をサイトを見るとだいたいAndroid 2.3以降で対応と書いてあります。
実際のところがどうかとか、Google側の資料があるか等ご存知の方いらっしゃいますか。

**DNS未登録さん** · 2015/02/24(火) 09:53:57.72

>>437
矛盾はしてないよね？

**DNS未登録さん** · 2015/02/24(火) 15:51:47.29

ブラウザでのサポートが終了するのをきっかけに急に盛り上がってきている感じなのかな。
POODLE対応でもサクッとiモードのサポートを切ったコンテンツも多いですよね。
古い実装のウェブサーバやSSLオフロード系での対応が難しいのかな。

**DNS未登録さん** · 2015/02/24(火) 16:58:51.16

納豆なんて毎日食ってると痛風になるぞ

**DNS未登録さん** · 2015/02/24(火) 16:59:17.50

おうふgobaku

**DNS未登録さん** · 2015/02/24(火) 20:36:40.68

>>437
それの何がおかしいの？

**DNS未登録さん** · 2015/02/24(火) 21:33:06.50

何をいまさら騒いでるの？って感じだな。
自宅サーバ管理者なので数年前にSHA-256に移行済みですし。

**DNS未登録さん** · 2015/02/24(火) 22:29:24.29

>>443
は？

**DNS未登録さん** · 2015/02/25(水) 05:27:03.64

自宅サーバの板だから殆どが移行してるわな
新しもの好きも多いと思うからｗ

**DNS未登録さん** · 2015/03/09(月) 12:20:20.15

SHA1かつ2017年以降有効な証明書使い続けてるとChrome41から赤い警告になるって話だったのに
南京錠が消えて白いだけ（Chrome40と変わってない）な気がする。
方針変わったのかね。

**DNS未登録さん** · 2015/03/09(月) 14:06:54.16

443取られてたか

**DNS未登録さん** · 2015/04/16(木) 18:43:03.52

RapidSSLが4倍近く値上げされたのは分かったが
これから取得・更新する証明書だけの話じゃないのん？

よく分からんがシマンテック死ねってことでいいの？

**DNS未登録さん** · 2015/04/16(木) 20:25:07.36

>>448
せやね

**DNS未登録さん** · 2015/04/16(木) 20:52:20.50

代理店から追加のメール来て発行済のは問題無いらしいことがわかった。

次どうするかな

**DNS未登録さん** · 2015/04/16(木) 21:06:37.15

もうちょいしたらフロンティアなんたらが無料証明書配りだすだろうけど
モバイルは全滅するのかね

**DNS未登録さん** · 2015/04/22(水) 16:58:24.21

>>422,>>425 の続報
servertasticはJapan Regionちょっと値下げした
ttps://twitter.com/servertastic/status/589106531548864513
それでも高い

**DNS未登録さん** · 2015/04/26(日) 04:39:54.70

日本向けSSL証明書販売について
ttp://www.rapid-ssl.jp/rapidssl-news/archives/65

**DNS未登録さん** · 2015/05/16(土) 15:31:52.21

投稿テスト！

**DNS未登録さん** · 2015/05/16(土) 15:56:05.65

１個のドメインに対してSSL証明書を複数買えるの？

たとえば、www.baka.comドメインで、ComodoとRapidSSLを２つ、来月から一年間。
上位がぶつからなければ購入できますか？

　 ε　⌒ﾍ⌒ヽﾌ
　（　　( 　・ω・）　ブヒ
　　しーし─Ｊ

**DNS未登録さん** · 2015/05/16(土) 16:38:30.70

同じ認証局からでも買えるけど…負荷分散のときとか。

**DNS未登録さん** · 2015/05/16(土) 16:51:34.50

>>456
負荷分散用にOUだけ変更して同じCNの証明書購入したのを思い出したが
同じ証明書を複数のサーバでつかえない理由が思い出せない…。
最近は負荷分散装置自身でSSL終端せるほうが主流なのかな。

**DNS未登録さん** · 2015/05/16(土) 17:16:21.53

少し前に見たら、みずほオンラインが有効期限の違う証明書2つ？設定してたな。
SHA-1署名の場合に有効期限みて警告出すChromeの仕様で、
アクセスすると南京錠アイコンが緑になったり黄色になったりしてた。
今は期限短い証明書に入れ替えてるかもしれんが。

**DNS未登録さん** · 2015/05/16(土) 21:33:24.07

>>455
****.baka.com で分散させるなら、ワイルドカード対応の証明書を買う必要がある。

複数のサーバで同じCNの www.baka.com を使うなら、それぞれに1つずつ証明書を買う必要がある。
もしくは、(ComodoやRapidSSLは未対応だが) マルチプルサーバー対応の証明書であれば最初から複数台のサーバで使える。

**DNS未登録さん** · 2015/05/16(土) 21:48:43.92

baka.comって20年も前から保有されてるのな

**455です** · 2015/05/16(土) 23:12:51.89

購入はできるんですね。
ありがとうございました。

これから、ComodoとRapidSSLとStartSSLの計三個申し込んできます。
ちなみに、分散用ではなくテスト用です。

　　　　　ﾍ⌒ヽﾌ
　　　　（　・ω・）　㌧㌧
　　　　/ ~つと）

**DNS未登録さん** · 2015/05/17(日) 16:56:24.15

ああ、携帯端末の証明書サポート沼か…

**DNS未登録さん** · 2015/06/23(火) 23:38:22.34

無料のやつとほんのわずかでも有料のやつとで、具体的に違いある？

**DNS未登録さん** · 2015/07/06(月) 23:23:27.31

letsまだ？

**DNS未登録さん** · 2015/07/06(月) 23:28:25.80

遅れてるみたいねえ

**DNS未登録さん** · 2015/07/07(火) 19:02:50.23

>>464
9月だよ。

**DNS未登録さん** · 2015/07/17(金) 22:53:56.15

Comodo PositiveSSLってあの値段でECDSA証明書発行してくれるんだな
試しにECDSA 256bitのCSR突っ込んでみたら普通に発行された

**DNS未登録さん** · 2015/07/18(土) 23:11:28.41

>>467
中間証明がどうしても分からない。
特に入れなくてもwebは見えるんだけどopenssl s_client -connect
ではエラーするt

**DNS未登録さん** · 2015/07/19(日) 00:34:20.11

>>468
ブラウザに中間証明書も入っているのでは？

**DNS未登録さん** · 2015/07/19(日) 14:25:54.46

>>468
機関情報アクセス(AIA)

**DNS未登録さん** · 2015/07/25(土) 21:36:06.79

GoGetで買ったcomodoをさくらインターネットのレンタルサーバに(SNI証明書)入れてテストしているのですが、AndroidのChromeで警告が出てしまいます
エラーメッセージがコピペできなかったのでスクリーンショット貼ります
http://i.imgur.com/TNPZomn.jpg
解決方法(サイト閲覧者の手を煩わせることなく、エラーを出さずにSSL接続を提供する方法)を教えてください。

**DNS未登録さん** · 2015/07/25(土) 22:26:19.75

こっちは問題ねーぞ
http://imgur.com/zeeKFve.png
2chMate 0.8.7.11 dev/LGE/Nexus 5/5.1.1/LR
機種とか泥のバージョンによるのかもね

**DNS未登録さん** · 2015/07/25(土) 22:49:38.12

ページ更新したらダメになったわ
VPSの方で設定ミスってるとか？

**DNS未登録さん** · 2015/07/25(土) 23:58:28.94

https://help.さくら.ad.jp/app/answers/detail/a_id/2326
-----
インストール可能な証明書
本サービスにおける独自SSL機能はシマンテック・ウェブサイトセキュリティ、
セコムトラストシステムズ、 GMOグローバルサインが発行するテスト用のサーバ証明書にて
動作を確認しています。その他の証明書では正常にインストール、及び動作しない場合も
ありますのでご注意ください。
-----
なんていうのもあったけど、共用レンサバはCOMODOのCA証明書は自分じゃ入れられないのかな。

**DNS未登録さん** · 2015/07/26(日) 00:43:37.61

>>471
中間証明書が未設定じゃない？

**DNS未登録さん** · 2015/07/26(日) 01:27:05.47

俺もそう思う

**DNS未登録さん** · 2015/07/26(日) 01:36:25.89

>>475 >>476
中間証明書！そういうのもあるのか
ちょっとシマンテックのナレッジベースのSO22877読んできます

**DNS未登録さん** · 2015/07/26(日) 02:58:18.85

>>477
ここでテストできます。
https://www.ssllabs.com/ssltest/

Do not show the results on the boardsにチェックを入れると
結果が公表されなくなります。

**DNS未登録さん** · 2015/07/26(日) 09:48:23.46

>>478
やってみましたが、総合C判定でした。
弱いDH KeyでB判定
TLS1.2が推奨されているが1.0しか対応してないためC判定
リファレンスブラウザでForward Securityがサポートされていないとのことでした。

http://stackoverflow.com/questions/11340298/certificate-trusted-on-pc-but-not-in-android
>ドメイン+中間+ルートを：使用しているものをウェブサーバに応じて、すべての証明書を指定します（ドメイン証明書、中間およびルート）
>またはために、1つ（nginxのための例）にそれらを結合する必要があります。SSHターミナルでこれを行う簡単な方法は、次のように入力して、次のとおりです。
>
>猫domainfile intermediatefile rootfile > TARGETFILE
テキストエディタでただ結合するだけで良さそうなので、後でパソコン起動した時にやってみます。

**DNS未登録さん** · 2015/07/26(日) 15:11:08.34

中間証明書とっかえひっかえしてたら正常になったみたいです。ありがとうございました。

**DNS未登録さん** · 2015/07/31(金) 10:17:38.34

>弱いDH KeyでB判定

これはまだ logjam から日が浅いし 1024bit DH が WEAK だという認識も浸透してないから仕方ないけど

>TLS1.2が推奨されているが1.0しか対応してないためC判定
>リファレンスブラウザでForward Securityがサポートされていない

これは駄目だろう

さくらのデフォ設定がこんな糞なのか？
自分で設定した結果がこれなのか？

**DNS未登録さん** · 2015/07/31(金) 20:59:19.08

同じく一部のAndroidのchromeで
この接続ではプライバシーが保護されません
が表示されるようになったのですが
sha-1からsha-2にすれば直りますか
それともbind9.xの影響でしょうか

**DNS未登録さん** · 2015/08/02(日) 00:51:42.17

>>482
クロスルート対応になってない

**DNS未登録さん** · 2015/08/07(金) 12:44:57.80

>>429
無料ＳＳＬで　Ｃｌａｓｓ１一本
か、オレオレ証明書一本が
正解だね

>>430
確かに販売しないと書いてるな

**DNS未登録さん** · 2015/08/08(土) 01:43:01.75

>>484
このスレ的にはSANやワイルドカードの証明書で遊びたい人もいるでしょ

**DNS未登録さん** · 2015/08/08(土) 03:17:34.33

もうSNI使っていい頃合いでしょー。。

**DNS未登録さん** · 2015/08/08(土) 13:02:12.45

さすがにオレオレ証明書はないだろう

**DNS未登録さん** · 2015/08/09(日) 03:15:17.88

CNを適当な文字列にしたオレオレをSNIのデフォルト証明書として使ってる

**DNS未登録さん** · 2015/08/09(日) 03:44:13.69

startSSLの秘密鍵までおまかせで作ってくれちゃうウィザードはちょっと…
NSA大喜び

**DNS未登録さん** · 2015/08/09(日) 23:48:51.99

>>489
skipすればよし

**DNS未登録さん** · 2015/08/13(木) 11:16:24.69

通信の相互認証はいいから、通信の暗号化だけしたい場合どーすればいいの？
SSLは認証局への登録がめんどくせーんだよカス

**DNS未登録さん** · 2015/08/13(木) 15:45:22.73

攻撃者との間で一生懸命暗号通信するの？

**DNS未登録さん** · 2015/08/13(木) 15:58:27.49

なりすましの可能性は目をつぶって、盗聴の恐れはなくしたいって場合の話
それともそんな中途半端な要求あんの？ってのが大半のお方の考え？

**DNS未登録さん** · 2015/08/13(木) 16:00:51.61

sshの共通鍵認証程度のセキュアさでいいから手軽に暗号化できるhttpないの？

**DNS未登録さん** · 2015/08/13(木) 16:02:29.38

×共通鍵認証
○公開鍵認証

**DNS未登録さん** · 2015/08/13(木) 16:28:26.80

>>493
なりすまして通信を中継すれば盗聴は簡単。人はこれをMITMという。

自分しか使わないならopensslでルート証明書作ってインスコすればいいんじゃないかな。

**DNS未登録さん** · 2015/08/13(木) 16:48:10.03

両端が自分ならオレオレでいいべ

**DNS未登録さん** · 2015/09/15(火) 17:15:50.10

サーバ証明書、単独・ワイルドカードどっちも高杉
co.jpなドメインの購入で登記とか確認するー、ってわけでもないのになんでこんな高いの

昔に比べりゃわずかに安くはなったが
ルート証明書に採用されてるのがベリサインだけですって時代でもないのに

**DNS未登録さん** · 2015/09/15(火) 21:35:23.55

>>498
そう思うなら、RapidSSLとか、PositiveSSLとか、StartSSLとか使えばいいだけでは？