【全ブラウザ対応】 無料SSL/TLS Let's Encrypt [転載禁止]©2ch.net

[1 名無しさん＠お腹いっぱい。 2015/11/30(月) 18:01:15.69 0]

2015年12月3日 に 公開ベータ（Public Beta）が開始される予定の Let's Encrypt のスレです。

これは、いわゆる無料の SSL/TLS 証明書なわけですが、ブラウザ Mozilla Firefox を作っているモジラ財団とか、
ネットワーク機器大手のシスコとか、ネットワークインフラ大手のAkamaiとかが出資している大規模なプロジェクトなので、
途中で有料化したり、サービス停止になったりする心配もありません。

さらに、全ブラウザにルート認証局として入っているアメリカの最大手CA IdenTrust の傘下の証明書という扱い（クロスルート）になったので、
クローズベータをやっている現時点でも、全ブラウザに対応しているという神証明書です。

はっきりいって、IdenTrust の証明書をけっているブラウザなんて考えられないので、ジオトラストとかのドメイン認証証明書と同格以上の証明書が
無料で手に入ることになります。

明々後日からは、専用クライアントをダウンロードして、コマンドを実行するだけで、VPS など root 権限があるサーバとドメインがあれば証明書が入手可能なので、
期待しておきましょう。

もう、SSL/TLS の証明書にお金をかける時代はおわったのです（ただし、実在証明を含むEV証明書を除く）


【Let's Encrypt 公式サイト】（英語）
https://letsencrypt.org/

【Let's Encrypt 公式Twitter】（英語による最新情報）
https://twitter.com/letsencrypt

【Let's Encrypt 総合ポータル】（日本語）
https://letsencrypt.jp/

【Let's Encrypt 導入方法】（日本語）
https://letsencrypt.jp/usage/

[2 名無しさん＠お腹いっぱい。 2015/11/30(月) 18:04:13.87 0]

【Let's Encrypt 最新情報】

Let's Encrypt のローンチスケジュールは延期されてきましたが、
2015年12月3日 に Let's Encrypt 公開ベータプログラム（Public Beta Program）が開始される予定です。
公開ベータプログラム開始後は、独自ドメインとWebサーバがあれば、誰でも簡単に Let's Encrypt の SSL/TLS 証明書を取得することができます。

【対応ブラウザとOS】

Let's Encrypt の「SSL/TLSサーバ証明書」は、アメリカ合衆国大手認証局（CA）である IdenTrust 社のルート証明書から
チェーンできるクロスルート (クロスサート) 証明書です。IdenTrust 社の証明書によって、
中間証明書「Let's Encrypt Authority X1」および「Let's Encrypt Authority X2」に対するクロス署名が行われています。
そのため、Let's Encrypt 発行の証明書は、大手認証局（CA）が有償で販売している証明書と同様に、ほとんどのWebブラウザやOSが標準で対応しています。
・Microsoft Internet Explorer (Windows)
・Google Chrome (Windows、Mac OS X、Linux、Android、iOS)
・Mozilla Firefox (Windows、Mac OS X、Linux、Android、iOS)
・Apple Safari (Mac OS X、iOS)　など

（https://letsencrypt.jp/より引用）

[3 名無しさん＠お腹いっぱい。 2015/11/30(月) 18:11:57.94 0]

〜〜〜　共有サーバ　（VALUE SERVER とか COREサーバーとか、さくらのレンタルサーバ）　での使い方　〜


root権限のあるサーバならば、https://letsencrypt.jp/usage/ （日本語）にある手順の通りに、
クライアントをダウンロードしてコマンドをうつだけで導入可能

しかし、SNI 対応のレンタルサーバ（VALUE SERVER とか COREサーバーとか、さくらのレンタルサーバ）とかに居れる場合、
root権限必須の専用クライアントが動作しないため、証明書の発行作業を仮想環境でやる必要がある

なので、ローカルの Windows パソコンとかで VirtualBox などの仮想環境構築ツールに CentOS などのOSをインストールして
そこで Let's Encrypt のクライアントを動かす必要あり

自動認証ではなく、手動認証のオプションを指定することで、サーバのドキュメントルートに、Let's Encryptクライアントが指示した
JSON ファイルを設置することで、ドメイン所有者の認証プロセスが完了するので、レンタルサーバでも SNI 対応なら使える模様

手動認証のオプションコマンドについては、下記ドキュメントを参照

【Let’s Encrypt クライアントのドキュメント】（英語）
https://letsencrypt.readthedocs.org/en/latest/

専用サーバ、VPS などのroot有りのサーバならコマンド一発で使えるけど、
共有サーバだと Linux アプリ（root）を実行できる環境がないと、多少面倒です

[4 名無しさん＠お腹いっぱい。 2015/11/30(月) 18:20:01.02 0]

SSL無料になったらベリサリンとかセコムトラストとかどうなっちゃうの？？？

やっぱ潰れちゃう？

[5 名無しさん＠お腹いっぱい。 2015/11/30(月) 18:25:35.86 0]

これは個人や団体を証明する手段じゃないから潰れないよ

[6 名無しさん＠お腹いっぱい。 2015/11/30(月) 18:26:13.09 0]

VeriSignとかよりRapidSSLとかの格安系がやばいだろうな
ドメイン名認証しているだけだからLet's Encryptより優れている点が1つもないし

[7 名無しさん＠お腹いっぱい。 2015/11/30(月) 18:29:39.87 0]

Let's Encrypt はオレオレ証明書じゃなくて
IE でも Firefox でも Opera でも Google Chrome でも Safari でも正規証明書扱い
あげくためしてみたら、Lynx とか wget とかそういったテキスト系ブラウザでも正規証明書と認証

SHA-2証明書だからガラケー対応は怪しいけど、VeriSignとかもSHA-2に移行したから同じことだし
これは認証局あちこち潰れる予感

これからは認証局はアドレスバーが緑になる EV SSL 売っていくしか存続手段が無いだろう

[8 名無しさん＠お腹いっぱい。 2015/11/30(月) 18:38:47.26 0]

あと3日で俺のサイトもフルSSLにできるとか、スゲーわくわくするわ
大手企業のサイト運営している気分になれそう
興奮して夜も眠れなさそうだ

だって、プライバシーマークの協会だって、HTTPなんだぜ？
http://privacymark.jp/

それなのに個人がSSL使えるとか、すごくね？

[9 名無しさん＠お腹いっぱい。 2015/11/30(月) 18:41:03.74 0]

暗号化の手段として必要だから、正規サイトの証明はいらないんで
使う分にはいいんだけど、悪用する人への対策はどうなるのかな

[10 名無しさん＠お腹いっぱい。 2015/11/30(月) 18:49:12.85 0]

これの有効期間ってどれくらいあるの？

[11 名無しさん＠お腹いっぱい。 2015/11/30(月) 18:56:42.40 0]

>>10
90日間固定
90日な理由は　https://letsencrypt.jp/blog/2015-11-09.html　に書かれてる

Let's Encrypt は、

$ ./letsencrypt-auto certonly -a standalone \
-d example.com -d www.example.com \
--server https://acme-v01.api.letsencrypt.org/directory --agree-dev-preview

みたいなコマンド一発で証明書を取得・更新できるので、2ヶ月に一回ぐらいコマンドを手動で実行するか、cron で回してください、ってことらしい

[12 名無しさん＠お腹いっぱい。 2015/11/30(月) 19:05:44.35 0]

>>11
なるほど。自動化できるんなら運用で躓くことは少なそうだな。

[13 名無しさん＠お腹いっぱい。 2015/11/30(月) 19:46:53.00 0]

コマンド一発と言っても80番ポート止めなきゃダメなんでしょ？
STGとかなら良いけど、一般公開しているサイトでは二ヶ月に一回もやりたくない

[14 名無しさん＠お腹いっぱい。 2015/11/30(月) 20:05:58.60 0]

>>13
初心者向けモード（オプション無し）だとポート80のweb鯖を止める必要あるけど、
コマンドラインオプションで apacheとか既に動いてるweb鯖のdocument root 指定すれば止めなくてすむ
（そのdocument root 以下に認証用ファイルを設置して認証してくれる）

ただ、証明書はメモリに読み込まれてるだろうから
service httpd restert はいるだろうけど、
ダウンタイムは1〜2秒だろう

[15 名無しさん＠お腹いっぱい。 2015/11/30(月) 20:18:56.91 0]

>>13
漏れはクローズベータの初期からやってるけど
httpd stop → 証明書更新 → httpd start で1秒足らずだよ

でも漏れは小心者で万が一httpdの起動に失敗したら怖いので月1ぐらいで手動でやるわw

同じ理由でyum update とか、geo ip の更新とかも手動でやってるから
日常鯖メンテのプロセスに1分以内の作業が加わるだけだから
手動でも特に気にならん

サーバーって放置で運営するもんでもないし

[16 名無しさん＠お腹いっぱい。 2015/11/30(月) 20:24:45.18 0]

数年前に年何万も払って証明書買ってたのが馬鹿みたいだ
今や同じのが無料だもんな

やっぱり認証局はボロ儲けだったんだな

[17 名無しさん＠お腹いっぱい。 2015/11/30(月) 20:34:17.85 0]

>>14
なるほど、認証用ファイル設置も自動でやってくれるのか
再起動はlogrotate時に任せても良いけど、起動しなかったら夜中に起こされるな・・・

>>15
自動化出来るところは自動化したいよ
10や20なら手動でもいいけど・・・

[18 名無しさん＠お腹いっぱい。 2015/11/30(月) 23:07:18.80 0]

>>17
なるほど
10や20を超える大量の鯖管理してたら
確かに自動化が重要やな

[19 名無しさん＠お腹いっぱい。 2015/11/30(月) 23:24:19.99 0]

しかし、HTTPS化したら
はてブのブックマーク数とかツイート数とかがリセットされるよね

googleのランクは301リダイレクトで完全に引き継げるらしいけどね
httpへのリンクのまでも、httpsの方にリンクしているとみなしてくれるので
リンク効果も引き継げる模様
Googleはフルssl推進派だし、sslサイトのランクを上げる対応をしているので当然とも言えるが

[20 名無しさん＠お腹いっぱい。 2015/12/01(火) 00:14:44.07 0]

いよいよ、あさってか！

楽しみだわ

[21 名無しさん＠お腹いっぱい。 2015/12/01(火) 00:25:46.66 0]

o(^-^)oﾜｸﾜｸﾃｶﾃｶ

早く証明書が欲しいﾆｬﾝ

[22 名無しさん＠お腹いっぱい。 2015/12/01(火) 00:28:53.84 0]

これってワイルドカード証明書とれる？

[23 名無しさん＠お腹いっぱい。 2015/12/01(火) 01:01:15.48 0]

>>22
www無しで取ると、www付きが Subject Alternative Names（サブジェクトの別名）に入るけど、
それ以外はワイルドカードもサブジェクトの代替も無理だったと思う

サブドメインでも取れるし、常識的な範囲なら枚数制限もないから
サブドメインごとに証明書とって、SNIで振り分ければOK

[24 名無しさん＠お腹いっぱい。 2015/12/01(火) 01:22:36.15 0]

いや最初からSAN指定できるでしょ

[25 名無しさん＠お腹いっぱい。 2015/12/01(火) 01:42:42.50 0]

レンタルサーバでも簡単に使えるように
サーバ会社の方でも対応してほしいね

[26 名無しさん＠お腹いっぱい。 2015/12/01(火) 04:33:31.62 0]

> 2015年12月3日 に 公開ベータ（Public Beta）が開始される予定の

アメリカ時間だから、日本だと4日〜5日だと考えた方が良いぞ

時差ってもんがあるからな

[27 名無しさん＠お腹いっぱい。 2015/12/01(火) 04:50:46.51 0]

アメリカとの時差って何時間だっけ？
てかアメリカってタイムゾーンいっぱいあったよね？

[28 名無しさん＠お腹いっぱい。 2015/12/01(火) 08:53:56.39 0]

SFだしPSTじゃないの

[29 名無しさん＠お腹いっぱい。 2015/12/01(火) 12:55:39.14 0]

git　が動かなきゃだめだよな。

[30 名無しさん＠お腹いっぱい。 2015/12/01(火) 14:09:21.71 0]

>>29
今は git の時代だからね
ディストリに依存せずにコマンド1つでパッケージを取得できる素晴らしいシステムですから

[31 名無しさん＠お腹いっぱい。 2015/12/01(火) 17:03:05.62 0]

いつの間にかApacheじゃなくてnginxが主流になったりとか
Cent OS 7 iptablesがなくなってFirewalldになったりとか
同じくCent OS 7 でMySQLじゃなくてMariaDBになったりとか
なんかgitという聞いたこともないようなものが飛び出したりとか

なんで Linux の世界ってこんなに変わっちゃったんですか？

10年以上も（下手したら20年近く？）、iptables, Apache, MySQL　が主流でそれがずっとかわらなかったし
安定してて特に問題もなかったのに、なんで新しいソフトの動作覚えないといけないんでしょう

これっておじさんの鯖管を虐めて若者がいい気になりたいだけでは？

実際若い人に「なんで Apacheじゃ駄目なの？」とか「なんで iptables じゃ駄目なの？」と聞いても
「今は○○が主流になってきており・・・」とか「多少軽いらしいです」とかどうでもいいような返答しか返ってこないし
わざわざ再学習のコストかけてまで変える必要ないよね

[32 名無しさん＠お腹いっぱい。 2015/12/01(火) 19:11:33.01 0]

可哀想なおじさん >>31 に誰か一言アドバイスをどうぞ

　↓

[33 名無しさん＠お腹いっぱい。 2015/12/01(火) 20:11:19.35 0]

ご隠居さん、若いものの邪魔しちゃいけませんよ。さ、あっち行きましょうね。

[34 名無しさん＠お腹いっぱい。 2015/12/01(火) 21:09:57.19 0]

てか静的HTMLならApacheでも1日100万Hitでも月1000円足らずのさくらのVPS1Gで捌けるのに、
なんで、ちょっと軽い程度の理由でnginxに移行しないといけないんだろう

httpd.confとかmod_rewriteとかの書き方覚え治すだけのメリットあるとは思えない

サーバ負荷になってるのはhttpdじゃなくてphp / CGIとかSQLなんだから
httpdを軽いのに乗り換えたって全体としては誤差だろ

[35 名無しさん＠お腹いっぱい。 2015/12/01(火) 22:19:59.42 0]

だったらそのままApache使ってればいいじゃん

[36 名無しさん＠お腹いっぱい。 2015/12/01(火) 22:27:22.35 0]

apacheでいいんじゃない？
必要になったらnginxのリバースプロクシたてればいい

[37 名無しさん＠お腹いっぱい。 2015/12/01(火) 22:56:32.30 0]

>>35-36
だよね

会社でちょっとしたWebサービスを公開するときなんかに
若い社員に今時Apacheなんて時代遅れだからnginxにしろと言われるけど
まだまだApacheでいけるよね

若い社員になんと言われても「特に必要がある場合を除き、実績のある枯れたソフトウェアを使うのが望ましい」とApacheを押し通すことにする

[38 名無しさん＠お腹いっぱい。 2015/12/01(火) 23:05:17.89 0]

※ Apache　/　nginx　の論争で誤解を招きそうなので　一応書いておくと

　Let's Encrypt は Apache ・ nginx　のどちらかに依存してるわけじゃないよ

[39 名無しさん＠お腹いっぱい。 2015/12/01(火) 23:13:00.53 0]

でも、lighttpd には対応してないんでしょう？手動でやればすむことだけど。

[40 名無しさん＠お腹いっぱい。 2015/12/01(火) 23:29:01.64 0]

>>39
lighttpd って /usr/local/www/data に拡張子無しのファイル置いたら text/plain のMIMEヘッダで外部からアクセス可能になるよね？

なら、下記のコマンドで証明書の取得までは一発でいけるはず（lighttpd を起動したままでOK）

　./letsencrypt-auto certonly -a webroot --webroot-path /usr/local/www/data \
　-d example.com -d www.example.com \
　--server https://acme-v01.api.letsencrypt.org/directory --agree-dev-preview

たぶん、上記で起動したままでいけるはずだけど、もし lighttpd が IIS みたいに拡張子無しのファイルには外部からアクセスできない仕様だとすると、
一回停止させてから https://letsencrypt.jp/usage/ の手順でやる必要がある（その場合ダウンタイム有り）

あと、/usr/local/etc/lighttpd の書き換えは自動で行われないから手動でやらないといけないわけだけど、
http://l-w-i.net/t/lighttpd/ssl_001.txt　によると、
「証明書はPEM形式の必要があるが、秘密鍵(.key)と証明書(.crt)を別々に所有している場合は以下の手順で両者を結合する。」
とのこと（2007/9/19更新　だから今は違うか）

とまぁこれぐらいの手間かければ好きなWeb鯖で使えるってことだ

[41 名無しさん＠お腹いっぱい。 2015/12/02(水) 00:43:26.63 0]

今時の若いもんはH2Oなのでは

[42 名無しさん＠お腹いっぱい。 2015/12/02(水) 01:10:10.84 0]

>>41
H20って水？
どういう意味？

[43 名無しさん＠お腹いっぱい。 2015/12/02(水) 01:26:48.06 0]

>>31

> わざわざ再学習のコストかけてまで変える必要ないよね
こんな事言ってる奴は爺じゃなくても向いてないと思う

[44 名無しさん＠お腹いっぱい。 2015/12/02(水) 02:49:03.67 0]

cloudflareはnginxリバースプロクシとして
sslやらCDNやらアクセス解析やらなんでもやってくれるんで

H2Oとかnginx含めて自前でリバースプロクシ建てる必要を感じない

[45 名無しさん＠お腹いっぱい。 2015/12/02(水) 08:02:15.49 0]

だからなんなの？

[46 名無しさん＠お腹いっぱい。 2015/12/02(水) 08:42:43.74 0]

>>42
おいしい水だよ

[47 名無しさん＠お腹いっぱい。 2015/12/02(水) 09:23:18.17 0]

ttps://letsencrypt.jp/usage/
を読んだ限りでは更新時に同意求める画面が開くようだから cron で自動化ができるのかよくわからん。
できるなら月1回の更新になるけど更新しすぎとか警告来るかな

[48 名無しさん＠お腹いっぱい。 2015/12/02(水) 12:43:13.97 0]

>>47
そのページの下の方に利用規約への同意は保存されると書かれてる

[49 名無しさん＠お腹いっぱい。 2015/12/03(木) 11:37:52.61 0]

さっそくやってみたけど。
Name is not whitelisted
というエラーです。

[50 名無しさん＠お腹いっぱい。 2015/12/03(木) 13:46:38.44 0]

ホワイトリストに登録されていません

[51 名無しさん＠お腹いっぱい。 2015/12/03(木) 15:05:34.74 0]

>>50
まだパブリックになってないのかな

[52 名無しさん＠お腹いっぱい。 2015/12/03(木) 16:48:10.38 0]

ん？

[53 名無しさん＠お腹いっぱい。 2015/12/03(木) 16:57:33.62 0]

>>49
今は、クローズベータだから、クローズベータで承認されたドメインでしか使えないの。

パブリックベータになったら、そのエラー出なくなるよ
パブリックベータ開始は、アメリカ時間の今日中だから、もうしばらくお待ちを

[54 名無しさん＠お腹いっぱい。 2015/12/03(木) 18:13:53.89 0]

Let's Encrypt Status
http://letsencrypt.status.io/

> Public Beta begins at 6 PM GMT on 3 December.

日本時間だと明日の午前3時だな。

[55 名無しさん＠お腹いっぱい。 2015/12/03(木) 19:19:46.60 0]

>>54
全WebサイトのSSL(TLS)化を目指しているプロジェクトなんだから https のリンクにしてあげないと可哀想です

https://letsencrypt.status.io/

[56 名無しさん＠お腹いっぱい。 2015/12/03(木) 19:46:07.25 0]

>>54
貴重な情報サンクス

[57 名無しさん＠お腹いっぱい。 2015/12/03(木) 19:48:26.33 0]

>>55 おっと! フォーラムの公式ポストでもHTTPSでリンクされてた…。

[58 名無しさん＠お腹いっぱい。 2015/12/03(木) 19:56:44.49 0]

>>54
わくわくするぜ

[59 名無しさん＠お腹いっぱい。 2015/12/04(金) 00:49:56.49 0]

WEBサーバとは別のメールサーバも暗号化するにはどうすればいい？
やっぱりHTTPSしか想定してないんだろうか

無理やりやるとしたら、メールサーバ用のWEBサーバ別に立てて証明書作って、
さらに自動化処理の中に作成した証明書ファイルをメールサーバに
コピる処理を作らなければならないのかな

[60 名無しさん＠お腹いっぱい。 2015/12/04(金) 01:17:39.68 0]

>>59
Postfix とか、Dovecot とか最近のメール鯖はちゃんと暗号化の
メカニズムを内蔵してる。証明書はウェブと同じものが使える。

[61 名無しさん＠お腹いっぱい。 2015/12/04(金) 02:23:19.75 0]

>>60
あー、そうなんだけど、
WEBサーバ無しの(外部からポート80接続させない)メールサーバだけでは
証明書の自動処理できないでしょって話。

外部から接続できるWEBサーバで自動処理を動かして証明書ファイルを受け取るわけでしょ？
それをメールサーバの所定のディレクトリに配置するには自分で仕組みを作らないとってこと。

それともメールサーバだけで完結する何かいい方法あります？

[62 名無しさん＠お腹いっぱい。 2015/12/04(金) 02:24:57.92 0]

http://letsencrypt.jp
あと30分ちょいか

[63 名無しさん＠お腹いっぱい。 2015/12/04(金) 03:47:50.20 0]

ubuntuの方は恐ろしく簡単に入ったな、、、
手作業でいれたやつ対応させるとするか、、

[64 名無しさん＠お腹いっぱい。 2015/12/04(金) 05:11:52.30 0]

おはよー
https://letsencrypt.jp/usage/ の解説のとおりにやってみたら
5分足らずであっさり証明書取得できたわ

あまりにも簡単で拍子抜けたわ

[65 名無しさん＠お腹いっぱい。 2015/12/04(金) 05:46:41.59 0]

あっという間に取得完了

[66 名無しさん＠お腹いっぱい。 2015/12/04(金) 07:38:57.24 0]

>>61
letsencryptのスクリプトで内蔵httpd立ち上げてるみたいだから行けるんじゃないの

[67 ４９ 2015/12/04(金) 07:40:03.15 0]

>>48
うまく出来ました。
cron 用のスクリプトで動作できましたので月1回動作で登録します

[68 49 2015/12/04(金) 07:45:26.42 0]

期間は　12月3日から3月2日まで。
12月と1月が31日まで、2月が29日までだからちょうど90日です。

[69 名無しさん＠お腹いっぱい。 2015/12/04(金) 09:17:11.76 0]

>>66
つまりhttpアクセス禁止してるサーバじゃ無理

[70 名無しさん＠お腹いっぱい。 2015/12/04(金) 10:29:26.32 0]

そんなの開ければいいじゃん
普段HTTP起動していないんだから何の問題もない

[71 名無しさん＠お腹いっぱい。 2015/12/04(金) 11:24:20.85 0]

>>69
ごめん勘違いしてた
一応他のポートでも行けるようにする議論はあるみたい

[72 名無しさん＠お腹いっぱい。 2015/12/04(金) 12:49:39.98 0]

80以外のポート指定できないのかな？
それならサーバ毎にポート分けて対応できそうな気がするが

[73 名無しさん＠お腹いっぱい。 2015/12/05(土) 16:31:14.43 0]

おい、おまいら
スラドでも記事になったようだぞ

【サーバー証明書を無料発行する「Let's Encrypt」がパブリックベータに移行】
http://security.srad.jp/story/15/12/05/0454205/

[74 名無しさん＠お腹いっぱい。 2015/12/05(土) 17:10:54.25 0]

よし
今夜から使うぞ

[75 名無しさん＠お腹いっぱい。 2015/12/05(土) 20:02:25.82 0]

SNI 用にいくつかもらいたいのだけど
./letsencrypt-auto certonly -a standalone \
-d letsencrypt.jp -d www.letsencrypt.jp \
--server https://acme-v01.api.letsencrypt.org/directory
をその分ドメインだけ変えて繰り返せばよいのかな。

[76 名無しさん＠お腹いっぱい。 2015/12/06(日) 10:48:40.19 0]

-d example.com をその数だけ並べればいいよ

[77 名無しさん＠お腹いっぱい。 2015/12/06(日) 11:08:00.09 0]

>>76
ん？SANじゃなくてSNIなのですが…

[78 名無しさん＠お腹いっぱい。 2015/12/06(日) 11:13:29.95 0]

だったらそんな初歩的な質問するまえにやってるはずだが
何でも聞かないとできないタイプか

[79 名無しさん＠お腹いっぱい。 2015/12/06(日) 11:37:07.15 0]

>>77
は？
SANsの証明書を使いまわせばいいだけだろ

[80 名無しさん＠お腹いっぱい。 2015/12/06(日) 11:37:09.55 0]

SAN のやつを SNI でホスト毎に同じの指定すりゃいいじゃんか。

[81 名無しさん＠お腹いっぱい。 2015/12/06(日) 11:37:53.82 0]

2sec 先こされたわｗｗ

[82 名無しさん＠お腹いっぱい。 2015/12/06(日) 15:31:13.61 0]

startsslで結構梃子摺ったのに
こっちはかなり楽そうだな

[83 名無しさん＠お腹いっぱい。 2015/12/06(日) 15:40:47.29 0]

startsslにてこずるところなんてなかったろ

[84 名無しさん＠お腹いっぱい。 2015/12/06(日) 15:43:23.50 0]

CSR すら自分でやる必要も無く全自動だから、たいして知識がなくとも
説明通りに設定するだけで使える。メリットでもあるし、デメリットにもなるかもしれないなｗ
証明書だけじゃなく、SSL の動作に関してもある程度設定詰めないといけないしね。
まぁそれすら生成してくれるサイトあるけど。

[85 名無しさん＠お腹いっぱい。 2015/12/06(日) 16:05:25.12 0]

>>83
ウェブ素人なんや
察してくれ

[86 名無しさん＠お腹いっぱい。 2015/12/08(火) 00:19:35.55 0]

最大手のアットマークITでも取り上げられた模様
http://www.atmarkit.co.jp/ait/articles/1512/07/news072.html

これは Let's Encrypt がどんどん普及していくかもしれない

[87 名無しさん＠お腹いっぱい。 2015/12/08(火) 08:03:51.94 0]

自分のサブドメイン分作ろうと思ったら発行上限に達して作れなくなった模様ｗｗ
マルチドメインはなんだかなーなんだよなー

[88 名無しさん＠お腹いっぱい。 2015/12/08(火) 13:20:31.44 0]

何個発行しようとしたんだ？

[89 名無しさん＠お腹いっぱい。 2015/12/08(火) 13:49:27.66 0]

＞パブリックβ期間中は 7日間で5証明書/ドメイン

となってるな

[90 名無しさん＠お腹いっぱい。 2015/12/08(火) 15:49:24.08 0]

BlueOnyxコンパネが対応した。
マウスクリックしかできないweb素人でも
一瞬で証明書が取れる時代になったわけだ。

[91 名無しさん＠お腹いっぱい。 2015/12/08(火) 18:21:15.34 0]

>>88
>>89 の通り 5 個だった。

話変わるけど、
<VirtualHost *:443>
Define vhost hoge.example.com
ServerName ${vhost}
SSLEngine on
SSLCertificateFile /etc/letsencrypt/live/${vhost}/cert.pem
SSLCertificateKeyFile /etc/letsencrypt/live/${vhost}/privkey.pem
SSLCACertificateFile /etc/letsencrypt/live/${vhost}/fullchain.pem
...
...
こう書けば証明書の記述はコピペで行けるから楽だな。
letsencrypt-auto の証明書配置好きだわｗ

[92 名無しさん＠お腹いっぱい。 2015/12/08(火) 18:44:07.02 0]

gmailからpopsでのフェッチアクセスも認証通りますか？

[93 名無しさん＠お腹いっぱい。 2015/12/08(火) 23:35:04.30 0]

今 httpd.conf を grep したら VirtualHost が 122 個もあった
全部外部向けに https で公開したいわけじゃないけど

7日間で5証明書では毎日チビチビ取得するの面倒だな
β取れたら緩和されるかな？

[94 名無しさん＠お腹いっぱい。 2015/12/08(火) 23:47:14.46 0]

>>91
>SSLCACertificateFile /etc/letsencrypt/live/${vhost}/fullchain.pem

これ間違ってない？

[95 名無しさん＠お腹いっぱい。 2015/12/08(火) 23:56:22.62 0]

内部向けはオレオレで認証局作ってクライアントに信頼させときゃいいっしょ。 証明書はワイルドカード 1 つでｗ
証明書の発行やらは現状だと httpd 止めないと行けないからあまりホスト数多いと更新の時点ではダウンタイム長くなりそうだな。

[96 名無しさん＠お腹いっぱい。 2015/12/08(火) 23:58:54.89 0]

>>94
そこは fullchain.pem か chain.pem どっちでもいいけどそうした方が結果としては良い。
最悪無くとも暗号化経路は確保されるけど SSL Server Test のスコア落ちるから嫌だｗ

[97 名無しさん＠お腹いっぱい。 2015/12/09(水) 00:03:58.02 0]

>>96
いんや、そっちじゃなくて

SSLCA〜

クライアント証明書を認証するためのサーバー側のCA証明書ストアを記述するディレクティブじゃない？
って話

[98 名無しさん＠お腹いっぱい。 2015/12/09(水) 00:08:24.10 0]

Let's は今のところワイルドカードに対応する予定は無いってFAQにあるし
SubjectAltName は証明書を見るとサブドメインが全部バレてしまうので嫌なんじゃー

[99 名無しさん＠お腹いっぱい。 2015/12/09(水) 00:37:24.14 0]

ライセンス同意とメールアドレス入力のためにわざわざ画面が立ち上がるのは
自動で大量取得されないため？

でもオープンソースだからどうにでもなるよね

[100 名無しさん＠お腹いっぱい。 2015/12/09(水) 01:25:13.97 0]

>>99
それ、初回だけだよ
ライセンス同意とメールアドレスの入力の内容は保存されるので
他のドメインで取得する場合でも、確認画面などは一切立ち上がらずコマンドのみでいける

[101 名無しさん＠お腹いっぱい。 2015/12/09(水) 01:38:51.57 0]

保存されると書いてあるだろ

[102 名無しさん＠お腹いっぱい。 2015/12/09(水) 01:40:32.68 0]

>>97
ああ、なぜそのディレクティブが〜ってって事か。
俺もそれは謎に思って調べたら Let's Encrypt のフォーラムでそう記述するところが大半だった。
SSLCACertificateFile の指定が無いと SSL Server Test で Incomplete Chain だかなんだかアラートが出た。
この点、今一理解してないｗ

[103 名無しさん＠お腹いっぱい。 2015/12/09(水) 01:40:37.79 0]

それなら尚更あの画面を出す意味がわからない
全部CUIでいいじゃん
--debug とかログとか見ると、あれのために python の追加モジュールとか
色々インストールさせられるみたいなんだけど
普段 python なんか使わないからゴミが増えて邪魔なんだよなぁ

[104 名無しさん＠お腹いっぱい。 2015/12/09(水) 01:42:54.51 0]

SSLCACertificateFile じゃなくて SSLCertificateFile が正解だと思うんだが
まだ Apache2.2 使いだから Apache2.4 のことはよくわからない

[105 名無しさん＠お腹いっぱい。 2015/12/09(水) 01:45:13.55 0]

あ、ちょい古の 2.2 は SSLCertificateChainFile が正解かな

[106 名無しさん＠お腹いっぱい。 2015/12/09(水) 08:08:46.18 0]

>>95
そんな恐ろしいことできるわけない

[107 名無しさん＠お腹いっぱい。 2015/12/09(水) 08:53:41.24 0]

>>95
内部向けは内部にCA作ってWindowsのポリシーで信頼させてる
WindowsでActiveDirectoryのみになるけどこれが楽

[108 名無しさん＠お腹いっぱい。 2015/12/09(水) 10:58:03.26 0]

>>105
最新の Apache でも同じ。obsolute だけど。

[109 名無しさん＠お腹いっぱい。 2015/12/09(水) 11:15:45.46 0]

./letsencrypt-auto --apache で全自動で作ったやつは

SSLCertificateChainFile /etc/letsencrypt/live/example.com/chain.pem

となってるな、Apacheは 2.4.7

[110 名無しさん＠お腹いっぱい。 2015/12/10(木) 18:05:22.42 0]

Value Serverで使いたいんだけど「プライベートキーのパスワード」欄には何を入力すれば良いのでしょうか？
証明書は発行してもらいました

[111 名無しさん＠お腹いっぱい。 2015/12/10(木) 18:55:01.81 0]

>>110
Let's Encrypt の秘密鍵は暗号化されてないので、本来は不要

もし、バリューサーバーが空白の暗号キーを受け付けないなら、
openssl のコマンドで、何らかのパスフレーズで秘密鍵を暗号化して、
そのパスフレーズを入力すればおっけー

[112 名無しさん＠お腹いっぱい。 2015/12/10(木) 20:26:22.38 0]

パスワード設定しないとできなかったはず
共有レンサバとはいえ秘密鍵を盗める状況じゃ
他が詰んでる気がするんだけどどうなの

あともう直ってるかもしれないけど
俺がやったときはCA証明書がエラーで設定できなかったよ
サポートに言えばやってくれるけど3ヶ月ごとに連絡は面倒だわな

[113 名無しさん＠お腹いっぱい。 2015/12/10(木) 20:32:48.72 0]

110です。
パスワードの入力は必須とありますね。
正常に接続出来た様です。ありがとうございました。

[114 名無しさん＠お腹いっぱい。 2015/12/11(金) 12:31:35.87 0]

RapidSSLが来年頭で更新だけど、Lets導入でトラブルのも嫌だし、とりあえずもう1年だけ更新しようかなぁ
すでにサブドメインで何十とサイトがあると導入失敗リスク高いよね多分

まぁテスト環境でも作っていっぺん導入してみるか

[115 名無しさん＠お腹いっぱい。 2015/12/11(金) 17:19:03.62 0]

>>114
Rapid は値上げしたから他のにしたら。

[116 名無しさん＠お腹いっぱい。 2015/12/12(土) 00:33:14.50 0]

俺たちの、オレオレ認証局をネットワークでつなげよう！

[117 名無しさん＠お腹いっぱい。 2015/12/12(土) 04:12:10.47 0]

>>116
俺だよ俺、俺だけどさ

え、俺って誰だって？　いや俺は俺だよ
メールで添付したルート証明書、インストールしてくれない？

[118 名無しさん＠お腹いっぱい。 2015/12/12(土) 09:32:37.34 0]

そんなあなたに究極のオレオレ証明書
http://www.cacert.org

[119 名無しさん＠お腹いっぱい。 2015/12/13(日) 00:55:30.07 0]

そろそろ Public Beta から一週間経つから
5 domain 制限越えられるかなってやったら追加で証明書取れたよ。

[120 名無しさん＠お腹いっぱい。 2015/12/13(日) 01:16:21.23 0]

https://community.letsencrypt.org/t/rate-limits-for-lets-encrypt/6769

[121 名無しさん＠お腹いっぱい。 2015/12/14(月) 02:02:14.90 0]

実サーバー１台でたくさんドメイン持ってると単純にcronで定期更新ってわけにはいかないなぁ
５ドメインずつ分けて週一で取得or更新しにいくドメイン管理スケジューラみたいなのが無いと
ややこしいことになりそうだ

週に５ドメインで、60日に一度更新が推奨されてるからざっくり最大40ドメインが限界か

[122 名無しさん＠お腹いっぱい。 2015/12/14(月) 03:01:54.79 0]

cron で毎日証明書の期限をチェック。
期限が 30〜40 日前程度になった証明書は更新させてしまう。
って言うような単純なスクリプトを書いて回してるよ。

Too many うんたらで週制限掛かっても、cron で毎日勝手にリトライすることになるから
制限が外れ次第順次更新いけるはず。
更新周期は 60 日に一度とかなっているけど、実際にはもっと速く更新は出来るからなー。

[123 名無しさん＠お腹いっぱい。 2015/12/14(月) 21:44:41.53 0]

ちょっとシェルスクリプトのテストしてたら
更新しすぎでエラーになってしまった

もうちょっと緩和してくれんかな

1IPあたりの制限とか、1アカウントあたりの制限とか、色々

[124 名無しさん＠お腹いっぱい。 2015/12/14(月) 21:46:04.70 0]

テスト用のAPI Endpointがないのがイケてない

[125 名無しさん＠お腹いっぱい。 2015/12/14(月) 22:16:53.59 0]

善意の有志で翻訳してくれてるからあまり言いたくないけど日本語サイトの人

クライアントの使い方を翻訳してくれるのはいいんだけど --standalone モードで
一度 httpd を落として 80番を落とさないといけないように書いてあるけど
これってやっぱ導入のハードル上げてると思うのよね

本家英語の使い方には --webroot モードで無停止でやる方法も併記されてて
この方法を知ってればもっと早く導入してたしさ

どっちにしろ総合的に色々煩雑な印象がして
無料の StartSSL でいいやってなってしまうわ

[126 名無しさん＠お腹いっぱい。 2015/12/14(月) 22:31:10.50 0]

でもstartsslって対応してないブラウザ多いんじゃなかったっけ

[127 名無しさん＠お腹いっぱい。 2015/12/15(火) 01:15:10.82 0]

おまえはなにをいっているんだ？

[128 名無しさん＠お腹いっぱい。 2015/12/15(火) 02:22:13.01 0]

>>126
いつの話をしてるんだ？
2009年には主要3ブラウザで使えるようになってるぞ。

[129 名無しさん＠お腹いっぱい。 2015/12/15(火) 09:49:11.00 0]

>>125
> 一度 httpd を落として 80番を落とさないといけないように書いてあるけど
> これってやっぱ導入のハードル上げてると思うのよね
>
> 本家英語の使い方には --webroot モードで無停止でやる方法も併記されてて
> この方法を知ってればもっと早く導入してたしさ

まったくだ。

そいでもって
>>123
> ちょっとシェルスクリプトのテストしてたら
> 更新しすぎでエラーになってしまった

とすっかり同じ状態。こまったもんだ。

[130 名無しさん＠お腹いっぱい。 2015/12/15(火) 11:07:53.90 0]

だからベータテスト中だってばよ

[131 名無しさん＠お腹いっぱい。 2015/12/15(火) 11:15:32.43 0]

証明書再読み込みのためにHTTPDの再起動は必要だろ

人によるのだろうが、自分の場合は今までオレオレ証明書だったSTG環境やバックエンド用ドメインなので、
IP制限やBasic認証が掛かっているために設定を変更しなければならない
それならstandaloneの方が便利だし楽

[132 名無しさん＠お腹いっぱい。 2015/12/15(火) 13:23:53.78 0]

90日は短いな。

[133 名無しさん＠お腹いっぱい。 2015/12/15(火) 13:40:59.50 0]

postfixやdovecotのca鍵設定する場所にはfullchain指定しておけばいいんですかね？
一応それでgoogleとの暗号化通信はsmtpsもpop3sでfetchも成功したけど正しい設定か不安

[134 名無しさん＠お腹いっぱい。 2015/12/15(火) 16:40:56.77 0]

Apache2.4 でどうなってるか知らんけど 2.2 なら apache2ctl -k graceful で gracefully restart すれば
サービスとしては無停止で再読み込みできる
httpd stop -> letsクライアント起動 -> httpd start より100倍マシ

nginx も reload で無停止再読み込みいけるんじゃなかったっけ？

[135 名無しさん＠お腹いっぱい。 2015/12/15(火) 16:41:16.97 0]

>>133
それでよいと思うよ。openssl s_client -connect で大丈夫ならＯＫ．
ここは中間証明書は親切だね。
ｃｏｍｏｄｏなんか３ｔもファイル出してきてどれが中間ファイルだかわからなくて苦戦したよ。
結局3つを指定の順番でマージしろって。ならマージしたファイルよこせっての。

[136 名無しさん＠お腹いっぱい。 2015/12/15(火) 17:31:11.78 0]

>>133
正しい設定かと言われるとたぶんNO
暗号化通信成功してるから結果オーライというならYES

[137 名無しさん＠お腹いっぱい。 2015/12/15(火) 19:21:01.52 0]

そう言えば MTA に使うのも楽だよな。
httpd 側でデフォルトサーバーを用意して、mx のホスト名を httpd に定義しなければ
デフォルトサーバーに回るから、そのまま --webroot で更新行ける。

[138 名無しさん＠お腹いっぱい。 2015/12/15(火) 20:30:30.46 0]

MTAはオレオレでいいから

[139 名無しさん＠お腹いっぱい。 2015/12/15(火) 20:38:02.89 0]

オレオレで良いならそのままにしておけば良いわけで、食い付くほどの事でもないだろｗ

[140 名無しさん＠お腹いっぱい。 2015/12/15(火) 20:48:18.29 0]

なーんか
postfix やら dovecot とかにレッツのサーバー証明書を設定したりする人現れてるし
無駄無駄無駄無駄〜って叫びたかっただけ

あ、イントラネットとかセキュアな通信が必須な相手で事前に合意した２者間とかはまた別だけどね

[141 名無しさん＠お腹いっぱい。 2015/12/15(火) 21:32:34.01 0]

実際に必要かどうか言われると、オレオレで良いとも思うけど
そこは “面白そうだから“ という正当な理由で Postfix や Dovecot にも Let's の証明書つかってるよ!

[142 名無しさん＠お腹いっぱい。 2015/12/15(火) 21:41:15.42 0]

gmailからのメール転送に必須なんだよな＞サーバ証明書

[143 名無しさん＠お腹いっぱい。 2015/12/15(火) 23:38:10.88 0]

へーそうなんだ
じゃ無駄じゃないね

[144 名無しさん＠お腹いっぱい。 2015/12/17(木) 01:57:29.79 0]

いやー
考えてみれば当たり前の話なんだが
SubjectAltName にドメイン羅列するためにいっぱい -d を指定したら、
指定したドメイン１個１個に対してチェックのために接続してくるんだね

プライマリMX と セカンダリMX の証明書を１個にまとめようとしたら
let's Encrypt の居ない セカンダリMX の 80 番ポートにチェックしに来てエラーになって
しまった

[145 名無しさん＠お腹いっぱい。 2015/12/17(木) 15:35:19.97 0]

-d っていくつ書いてもいいの？
-d でトップドメインが違うのでも良いの JP と gtld がごちゃ混ぜ

[146 名無しさん＠お腹いっぱい。 2015/12/18(金) 19:11:19.16 0]

>>125 >>129
今見たら解説が更新されててhttpd停止不要なやり方も併記されたみたいだよ
https://letsencrypt.jp/usage/

>>144
証明書取得時には当然全部に接続チェックが入る
ただ、ブラウザは SAN の関係ないドメインへの接続はしないので、SAN に100〜200のドメインを列挙しても、
一般ユーザーのページの表示が遅くなったりはしない（証明書の容量が増えるのは誤差範囲）

>>145
いくつ書いてもおｋ
TLD が違っても良いけど、-d を複数書くとサブジェクトの代替名（SAN : Subject Alternative Name）が使われた1枚の証明書になるから、
SNI に対応していないブラウザ、例えば Windows XP とか Android 2系とかもサポートしたいなら注意が必要（Windows Vista以降はSNI対応）

詳しくは　https://letsencrypt.jp/docs/using.html#webroot　を参照

[147 名無しさん＠お腹いっぱい。 2015/12/18(金) 19:26:25.57 0]

>>146
おう
ありがとう日本語の中の人

[148 名無しさん＠お腹いっぱい。 2015/12/18(金) 19:38:36.50 0]

レン鯖でボタンひとつで設定できるようにしてくれよ。

[149 名無しさん＠お腹いっぱい。 2015/12/18(金) 20:28:30.35 0]

もう今の段階から XP なんか古い OS はぶった切って良いだろｗ

[150 146 2015/12/18(金) 20:56:42.30 0]

>>146 の書き込み内容の SAN と SNI についての部分が著しく間違っていたので訂正


SNI は1つのサーバーで複数の証明書を使う技術
つまり Virtual Host ごとに違う証明書をクライアントに放出するので、1つのIPアドレスのサーバで複数の証明書を分けられる

SNI対応ブラウザは、PCからなら Windows XP は不可だけど、Windows Vista 以上なら対応している
https://ja.wikipedia.org/wiki/Server_Name_Indication#.E5.AF.BE.E5.BF.9C.E3.82.BD.E3.83.95.E3.83.88

スマホがネックで、Android 2 系が対応していない。Android のうち、まだ 5〜10％のシェアがあるので困りもの


一方、SANs は 1枚の証明書に複数の SAN を書くことで1枚の証明書を複数のドメインに対応させるもの
Let's Encrypt で -d に複数ドメイン書くとこっちになる（証明書を別々に発行して SNI を使うことも可能）

こっちは、たぶん Windows XP にも対応しているので、SANs使った方がサポートOSは多くなる

ただSANs については Android 2系が対応しているかどうかの情報は、ググっても曖昧に書かれた個人ブログぐらいしか見つからなかった
SNI と混同している人もいそうなので、確かなソースが欲しいが、なかなか見つからない
そして自分で検証しようにも Android 2がないからできない

[151 名無しさん＠お腹いっぱい。 2015/12/18(金) 21:24:23.35 0]

自分の理解がおかしかったのかと、愕然となったぞw

[152 名無しさん＠お腹いっぱい。 2015/12/19(土) 00:03:17.00 0]

>>150
これもちょっと誤解を招くレスだなぁ
https で VirtualHost するための技術・手段という意味では近いとも言えるが
どっちを使ったほうがいいとかそういうもんじゃないんだが
説明するのも面倒だ

[153 名無しさん＠お腹いっぱい。 2015/12/19(土) 00:33:45.06 0]

>>152
> どっちを使ったほうがいいとかそういうもんじゃないんだが

概念的には全く別物だけど、「1つのIPアドレスしかない1台のサーバで、複数の HTTPS なサイトを運営したい」という一般的な要件なら
下記の (1) SNI でも (2) SANs でも、同じ結果が得られるわけで、どっちでも良いのでは？

(1) SNI で example.com にアクセスしているブラウザには example.com 専用の証明書A、
　 　　　　example.jp にアクセスしているブラウザには example.jp 専用の証明書Bを送り付ける

(2) example.com にアクセスしているブラウザにも
　　example.jp にアクセスしているブラウザにも
　　同様に SANs を使って複数ドメイン（example.com と example.jp の2つ）に対応した証明書Cを送り付ける

管理上のメリット・デメリットとしては、ブラウザの対応状況を除くと、
(1) だと、サイトの数だけ別々の証明書を取得して管理しなければならない。それぞれで有効期限などを管理するのが面倒。
(2) だと、サイトが増えるたびに、証明書を発行しなおさなければならない。失敗すると他のサイトにも影響が出る。
といった感じだと思われ

勿論、「概念的には別物」なので、SNI でサイトごとに SANs で複数ドメインに対応した別々の証明書を送るなんて併用も可能
www の有り無しと同一サブドメインのだけ SANs で1つの証明書でまとめて、あとは SNI で分けるなんて併用も一般的
つまり (1) と (2) を併用することもできるってことね


まぁ、なんらかの事業者が顧客のサイトを代理で運営している（もしくはレンタルサーバ業務をやっている）とかの場合には
他の顧客のドメイン名がSANsに入った証明書を使うというのはどうかと思うから (1) のSNI 一択になるけどね

[154 名無しさん＠お腹いっぱい。 2015/12/19(土) 02:12:03.32 0]

>>153
> まぁ、なんらかの事業者が顧客のサイトを代理で運営している（もしくはレンタルサーバ業務をやっている）とかの場合には
> 他の顧客のドメイン名がSANsに入った証明書を使うというのはどうかと思うから (1) のSNI 一択になるけどね

と、思うじゃん？
でも身近なCDNでは(ry

[155 名無しさん＠お腹いっぱい。 2015/12/19(土) 16:38:28.15 0]

今話題の CloudFlare のことですね

http://uzulla.hateblo.jp/entry/2015/02/25/033133
http://cdn-ak.f.st-hatena.com/images/fotolife/u/uzulla/20150225/20150225032705.png

他人のドメイン名がだぁ〜〜〜っと入った証明書って気持ち悪いな
てか、これって秘密鍵が万が一漏えいしたら羅列されたドメイン名全部の偽サイトの作成ができちゃうんだから危険だよね
CloudFlare退会したとしても、そのSANsを消した証明書を作り直したりもしないだろうし

こういうのはやめるべきだと思う

[156 名無しさん＠お腹いっぱい。 2015/12/19(土) 16:47:58.69 0]

レンタル鯖関係について語り合うならおすすめ。
よかったら、「blngs」で検索してみて！

[157 名無しさん＠お腹いっぱい。 2015/12/19(土) 17:10:21.91 0]

>>156
SNSの宣伝ですか
今時、独自のSNS展開するなんていうのはセンスが無いからやめた方が良いよ
既存のSNS内でコミュ作ればいいだけでしょ
そんなのではアクセス稼げない　時代遅れだしセンスが無い

そして、この過疎版で宣伝して宣伝効果があると考えるのが痛い
「板」全体で1日数レスあるかないかのような掲示板で宣伝して何になるの？
この「板」全体のPVも数百/dayぐらいしか無いと思うよ？


悪い事言わないから、お前さんはネットビジネスのセンスが全くないんで、早く諦めた方がいい
時間が無駄になるだけなんで、サーバ運営、Web製作、Webプログラミングのうちなにかができるんだったら
それを生かした雇われの仕事探した方がいいよ

[158 名無しさん＠お腹いっぱい。 2015/12/19(土) 17:18:14.41 0]

「口コミ」で宣伝すると１件いくらで報酬もらえるんでしょ

[159 名無しさん＠お腹いっぱい。 2015/12/19(土) 21:05:15.93 0]

ネットで「口コミ」とかいう表現するのやめて欲しいわ　> ぐるなびとか価格.comとかもだけど

「口コミ」はその場にいる人に対してしか聞いて貰えないんだから「書き込み」と書くべきだ

「可視化」を「見える化」と言ったり「コミットする」だの「アボイドする」だの横文字連発した上で
「君もビジネス用語ぐらい使えるようになりなさい」と説教してくる上司と同じぐらいうざい

[160 名無しさん＠お腹いっぱい。 2015/12/19(土) 21:15:28.46 0]

スレチはもっとうざいけどな

[161 名無しさん＠お腹いっぱい。 2015/12/19(土) 21:35:43.28 0]

ごめん
ここ Let's note のスレだったのね
すまそ

[162 名無しさん＠お腹いっぱい。 2015/12/19(土) 23:07:02.36 0]

昔 CF-Y4 っていうパームレスト部分がパカっと開いて光学ドライブが出てくる奴持ってたわー
っておい

[163 名無しさん＠お腹いっぱい。 2015/12/20(日) 20:05:21.93 0]

>>161-162
ワロタ
最近のLet'snoteの光学ドライブ普通になって特色なくなっちゃったよな……

[164 名無しさん＠お腹いっぱい。 2015/12/23(水) 01:09:45.46 0]

Let's Encrypt マジスゲーや
色々面倒だと思ってたらコマンド数行打つだけで終わった

前ベリサリンで証明書取るときにはCSRの発行とかなんとかでつまずいて
（opensslのバージョン古くて鍵がちがかったりとかで）
何度も何度も何度も電話して2週間ぐらいかかったけどLet'sだと1時間足らずだった

[165 名無しさん＠お腹いっぱい。 2015/12/23(水) 23:26:46.54 0]

まじ凄いのは分かるんだけど、余りに簡単過ぎて
証明書発行のプロセスに関する知識の無い人が凄い増えそうだ。
まぁ俺も勉強中で Let's Encrypt きたから途中で投げちゃったけどなｗｗ

[166 名無しさん＠お腹いっぱい。 2015/12/24(木) 01:25:23.84 0]

レンタルサーバーでは使えないの？

[167 名無しさん＠お腹いっぱい。 2015/12/24(木) 08:01:25.64 0]

>>166
お前さんにゃ無理かも知れぬ

[168 名無しさん＠お腹いっぱい。 2015/12/24(木) 10:13:10.48 0]

Pythonが動かせる鯖ならあるいは

[169 名無しさん＠お腹いっぱい。 2015/12/24(木) 20:07:03.26 0]

悪魔バスター★スター・バタフライ
http://livedoor.2.blogimg.jp/tunes2/imgs/3/2/32c50c49.jpg
　悪魔バスター★スター・バタフライ
　http://livedoor.2.blogimg.jp/tunes2/imgs/3/2/32c50c49.jpg
　　悪魔バスター★スター・バタフライ
　　　http://livedoor.2.blogimg.jp/tunes2/imgs/3/2/32c50c49.jpg
　　　　悪魔バスター★スター・バタフライ
　　　　　http://livedoor.2.blogimg.jp/tunes2/imgs/3/2/32c50c49.jpg 👀
Rock54: Caution(BBR-MD5:0be15ced7fbdb9fdb4d0ce1929c1b82f)

[170 名無しさん＠お腹いっぱい。 2015/12/24(木) 22:57:47.13 0]

>>166
ＶＰＳレンタルサーバーで使っていますよ。
httpもpopも色々なドメインが1の種類のファイルで済むので楽だね。

[171 名無しさん＠お腹いっぱい。 2015/12/25(金) 12:08:40.38 0]

さくらのレンタルサーバで試してみようと思って調べてみましたが、結構面倒くさそうですね
https://msnr.net/2015/12/letsencrypt.html

[172 名無しさん＠お腹いっぱい。 2015/12/25(金) 20:20:41.82 0]

時刻まで気にするってのはあまりないんだけどさ、こう気軽に発行できてじっくりながめることができて気づいたんだけど、
ちょうど1時間ずれるのは、こういうもんなの?
それとも Let's Encrypt だけ?

[173 172 2015/12/25(金) 20:34:41.99 0]

>>172
書いたあとに自分でググった。
https://community.letsencrypt.org/t/time-zone-problem-with-issue-date/3151/11
あえて1時間ずらしてるらしい。時計が多少狂っていても大丈夫なように。

[174 名無しさん＠お腹いっぱい。 2015/12/25(金) 22:30:16.70 0]

>>171
そもそも共用サーバじゃできないよ

[175 名無しさん＠お腹いっぱい。 2015/12/25(金) 23:44:44.98 0]

>>174
何が出来ないのさ？

[176 名無しさん＠お腹いっぱい。 2015/12/25(金) 23:53:03.77 0]

おまえさんの使ってるどこぞの共用サーバは独自SSLが使えると仕様にあるのかい？

[177 名無しさん＠お腹いっぱい。 2015/12/26(土) 00:01:51.12 0]

>>176
本当に知らんのか？
http://www.sakura. ne.jp/news/sakurainfo/newsentry.php?id=1018
https://help.sakura. ad.jp/app/answers/detail/a_id/2326/~/ssl%E3%82%92%E5%88%9D%E3%82%81%E3%81%A6%E8%A8%AD%E5%AE%9A%E3%81%99%E3%82%8B

つーか、お前>>171のリンク先見てないだろ？ 👀
Rock54: Caution(BBR-MD5:0dc23c366b23c59a9fe320a62dd69b5a)

[178 名無しさん＠お腹いっぱい。 2015/12/26(土) 00:23:47.38 0]

アフィリブログ踏めとかﾜﾛﾀ

[179 名無しさん＠お腹いっぱい。 2015/12/26(土) 00:25:44.43 0]

>>178
恥ずかしい奴だな

[180 名無しさん＠お腹いっぱい。 2015/12/26(土) 00:32:27.12 0]

リンク踏めとかウィルス製作者がよく言うセリフだな
通報しておいた

[181 名無しさん＠お腹いっぱい。 2015/12/26(土) 00:36:24.47 0]

Cautionって書いてあるしな

[182 名無しさん＠お腹いっぱい。 2015/12/26(土) 02:08:20.88 0]

伊藤正典さん？

Registrant Name: MASANORI ITO
Registrant Organization: MSNR.NET
Registrant Email: [e-mail]
Created Date: Sunday, December 16th, 2001
Updated Date: Sunday, November 17th, 2013
Expires Date: Friday, December 16th, 2016
Admin Name: MASANORI ITO
Admin Organization: MSNR.NET
Admin Email: [e-mail]

[183 名無しさん＠お腹いっぱい。 2015/12/27(日) 10:58:50.18 0]

こういう知ったかをなんとかして欲しいわ

[184 名無しさん＠お腹いっぱい。 2015/12/27(日) 22:19:33.85 0]

粘着って何処でスイッチが入るか分からんね。

[185 名無しさん＠お腹いっぱい。 2015/12/27(日) 23:53:53.89 0]

知識をひけらかそうとしたら、無知を露呈させちゃって顔真っ赤になったんでしょ
素直に知らなかったと認めれば良いのに、関係ない事にいちゃもんつけたあげく、
あまつさえ無関係なブログの人を晒すとか・・・
いくら公開情報だからって非常識すぎ

[186 名無しさん＠お腹いっぱい。 2015/12/28(月) 10:17:57.80 0]

>>171
>>177

さくらのレンタルサーバーでも、Let's Encryptを使えるということですが、
でも、Let's Encryptって、動的に短期間で更新処理を行ってroot権限で再配置する必要があったんじゃなかったんですか？

[187 186 2015/12/28(月) 10:33:08.20 0]

>>186自己レス

>>171のリンクを読みました。
更新処理用のマシン（root）を別途用意してますね。
でも、証明書のアップロードは手動なんですか。
90日ごとに手動でこの操作が必要なの？

[188 名無しさん＠お腹いっぱい。 2015/12/28(月) 11:20:41.70 0]

いやまあポート80、、という1024以下のポート使うならroot必須だろう

[189 名無しさん＠お腹いっぱい。 2015/12/28(月) 11:37:12.39 0]

>>188
デーモンを起動することを言っている？

[190 名無しさん＠お腹いっぱい。 2015/12/28(月) 11:38:44.88 0]

あと証明書の同期は手動でも自動でも好きにしたらいいじゃん

[191 名無しさん＠お腹いっぱい。 2015/12/28(月) 11:40:30.42 0]

>>189
ポート80で受けるならその時点ではrootが必要なのは当たり前、という話
わざわざrootて書いてるからさ

[192 名無しさん＠お腹いっぱい。 2015/12/28(月) 11:41:50.64 0]

どいつもこいつも

[193 名無しさん＠お腹いっぱい。 2015/12/28(月) 11:43:02.18 0]

>>190
証明書の同期？crontab?
そして、RSYNCで？、FTP?、SCP?

疑問
１、証明書関係のファイルのコピー（同期）って、
さくらのレンタルサーバーでできるの？
やったことがないから知らないが、証明書って特定のディレクトリに収める必要があって、
そこの書き込みにはroot権限が要るんじゃない？

２、さくらのレンタルサーバーで、同期の手段って、どっちの方向へアクセスできる？
さくらレンタルサーバー　→　取得専用自分マシン
取得専用自分マシン　→　さくらレンタルサーバー

[194 名無しさん＠お腹いっぱい。 2015/12/28(月) 11:47:30.28 0]

>>191
>ポート80で受ける
？postで証明書ファイルを受けるの？それは怖いことだ。

[195 名無しさん＠お腹いっぱい。 2015/12/28(月) 11:51:32.25 0]

ドメインが有効かを向こうが80でアクセスしてくるだろ
仕組みもよく知らんで茶々いれてんじゃないよ

[196 名無しさん＠お腹いっぱい。 2015/12/28(月) 11:53:36.39 0]

サクラの共有よくしらんけど、VirtualHost使ってんじゃないの？
だったらその定義ファイルに証明書の場所書いてあるはずだし
そこがrootである必要はない

[197 名無しさん＠お腹いっぱい。 2015/12/28(月) 12:09:34.61 0]

さくらの共用の話はさくらの共用鯖スレでやれよ

[198 名無しさん＠お腹いっぱい。 2015/12/28(月) 14:56:16.94 0]

ヘルプ見れば解決するやろ
何を見当違いな話しとんや？
無料っていろいろと危険なんやなぁ

[199 名無しさん＠お腹いっぱい。 2015/12/28(月) 16:35:58.82 0]

これだけ情報出てて理解できない奴は諦めろよ。

[200 名無しさん＠お腹いっぱい。 2015/12/28(月) 17:53:37.03 0]

Let's Decrypt

[201 名無しさん＠お腹いっぱい。 2015/12/28(月) 18:10:51.44 0]

レンタル系の特殊な環境は別でスレたてれば?ｗ

[202 名無しさん＠お腹いっぱい。 2015/12/29(火) 21:32:12.22 0]

複数のサーバーの証明書を１台の親玉サーバーで一元管理（取得・更新・配布）したい場合
webroot モードで NFS で /var/www/〜 を共有するか、manual モードでやるしかないっぽいけど
なんかもっといい方法ないかな

有効期限短いからcron自動化したいけど、各サーバーに lets クライアントを入れて回るのは嫌だな

[203 名無しさん＠お腹いっぱい。 2015/12/29(火) 23:35:22.74 0]

>>202
rsyncで、マスターマシン内の証明書を、他のマシンと同期するとかは？

[204 名無しさん＠お腹いっぱい。 2015/12/30(水) 01:23:44.93 0]

放置する阿呆がいるからこまめに面倒見るようにと1年更新じゃないのに
阿呆はさらに余計なことをしようと

[205 名無しさん＠お腹いっぱい。 2015/12/30(水) 07:29:07.37 0]

もし証明書が中途半端になってるとアウトだから自動更新はしたくないけどな。

[206 名無しさん＠お腹いっぱい。 2015/12/30(水) 10:10:24.58 0]

自動化はサーバーの基本だろ

[207 名無しさん＠お腹いっぱい。 2015/12/30(水) 13:33:46.66 0]

リバースプロキシサーバをたてて、そこでまとめてSSL化すればいい
バックのサーバ群はSSLしない
ただいろいろと修正がいるだろうけど

[208 名無しさん＠お腹いっぱい。 2015/12/30(水) 16:57:06.46 0]

>>207
それが一番いいな

[209 sage 2015/12/30(水) 22:35:33.54 0]

ブラウザで取得できるらしい。
ttps://sslnow.ml/
誰か試してみて

[210 名無しさん＠お腹いっぱい。 2015/12/30(水) 23:01:50.13 0]

テメェで確認しろ

[211 softbank.jp 2015/12/31(木) 10:25:07.77 0]

TLS 1.0、AES 256 / 256 ビット暗号 (高); RSA / 2048 ビット交換

sha1RSA

CN = avast! Web/Mail Shield Root
O = avast! Web/Mail Shield
OU = generated by avast antivirus for SSL/TLS scanning


https://my.softbank.jp/msb/d/top
TLS 1.0、RC4 / 128 ビット暗号 (高); RSA / 2048 ビット交換

TLS 1.0、Triple DES / 168 ビット暗号 (高); RSA / 2048 ビット交換
TLS 1.0、AES 128 / 128 ビット暗号 (高); RSA / 2048 ビット交換
TLS 1.0、AES 256 / 256 ビット暗号 (高); RSA / 2048 ビット交換

https://www.virustotal.com/en/file/7b6af39264f866465b0d68e0a57ba08bba6c28cb2b1f47e9f7b5767c017680be/analysis

[212 名無しさん＠お腹いっぱい。 2016/01/04(月) 21:59:17.11 0]

さくらのレンタルサーバ上で使う方法は、
--manualするの面倒で別のFreeBSDマシンからsshfsして--webroot指定で取得したんだが
まとめるの面倒なのでやってないけど分かる人には分かるってことで。
なので、CentOSからでもsshfsいければいけるはず。

あとはコントロールパネルから手動でアップロードしないといけない点については
スクリプト書けばよさそうだけど、まだ書いていない。

[213 名無しさん＠お腹いっぱい。 2016/01/04(月) 22:22:51.82 0]

"All ISRG keys are currently RSA keys. We are planning to generate ECDSA keys in early 2016."
https://letsencrypt.org/certificates/ より

ECDSAが無料で体験できるのが待ち遠しいなぁ
RSAとECDSAのDual署名はopensslが対応しているのでapache他多数でも使えるハズ

[214 名無しさん＠お腹いっぱい。 2016/01/08(金) 02:05:25.98 0]

ssl/tslでは、どのタイミングで、設定されたドメイン名が使われるんですか？
自分のドメイン名を設定する意味がいまいちピンとこなくて。

[215 名無しさん＠お腹いっぱい。 2016/01/08(金) 08:29:16.99 0]

>>214
そりゃ、アクセスされた時でしょ。
証明書に書いてあるドメイン名とアクセスしてるドメイン名が一致してますよって証明書だよ。

[216 名無しさん＠お腹いっぱい。 2016/01/08(金) 15:21:46.72 0]

>>215
ありがとうございます。

クライアント側が、
サーバ証明書に記載されているサーバのドメイン名と、自分がアクセスしている先のドメイン名とを
照合しているってことかな。

なんか緩いなあと感じるが、
サーバ証明書は、第三者機関からデジタル署名を受けているんだよね。
でもそれって、含まれている公開鍵だけじゃなかったっけ。
その署名された公開鍵にも、サーバのドメイン名って含まれているのかな。
それなら、冒頭の、クライアント側でのドメイン名の照合には意味があるね。

[217 名無しさん＠お腹いっぱい。 2016/01/08(金) 16:19:52.75 0]

いろいろ突っ込みたいが、とりあえず板違いと思う

[218 名無しさん＠お腹いっぱい。 2016/01/09(土) 12:17:01.50 0]

先生!! これ letsencrypt-auto に任せず手動で出来るもんなのでしょうか
letsencrypt-auto の中身みてみたらどうもpythonのvirtualenvが必須のようで、
しかも自動でgccとか触って欲しくないものを強制的に更新・インストールしようとしてくれちゃうのでさっき実行しかけて慌てて止めました
最低限不要なものをインストールしないで済むなら、少々.shなり.plなり書く労力は受け容れるんですが

[219 218 2016/01/09(土) 14:02:15.45 0]

すまん自己解決しました
letsencrypt-nosudoで、途中関係ない問題が出て手間取ったけどもあっさりできた
あとでこれ参考にcronで走らせられる完全自動化バッチか何か書くことにします

[220 名無しさん＠お腹いっぱい。 2016/01/09(土) 23:37:52.01 0]

うむ。gcc はともかく、python のライブラリやそれが依存するライブラリが色々入るのはあまり歓迎しない。

しかも、最初のドメイン名やメールアドレスの対話入力のためだけにTUIの環境が要求されるのは
なんじゃそりゃーと思った

CUIでいいじゃんね…

[221 名無しさん＠お腹いっぱい。 2016/01/09(土) 23:46:38.09 0]

>>216
>クライアント側が、
>サーバ証明書に記載されているサーバのドメイン名と、自分がアクセスしている先のドメイン名とを
>照合しているってことかな。

YES.
もちろんその証明書の正当性有効性自体も。

>サーバ証明書は、第三者機関からデジタル署名を受けているんだよね。

YES.

>でもそれって、含まれている公開鍵だけじゃなかったっけ。

NO.

[222 名無しさん＠お腹いっぱい。 2016/01/10(日) 01:29:13.49 0]

好きなの使えばいい

https://community.letsencrypt.org/t/list-of-client-implementations/2103

[223 名無しさん＠お腹いっぱい。 2016/01/12(火) 10:35:21.50 0]

こんなとこにスレあったのか
いつの間に・・・

[224 名無しさん＠お腹いっぱい。 2016/01/13(水) 23:03:20.93 0]

しかし、説明どおりにやって cron 登録までいくと
大して話題が無いという…

[225 名無しさん＠お腹いっぱい。 2016/01/13(水) 23:18:28.74 0]

ところで80番開けてないと更新できないの?
できればweb鯖止めたくないなーと

[226 名無しさん＠お腹いっぱい。 2016/01/13(水) 23:21:19.34 0]

あるよ

[227 名無しさん＠お腹いっぱい。 2016/01/13(水) 23:50:00.77 0]

Let'sEncryptのIPだけ別マシンにルーティングすればいいか

[228 名無しさん＠お腹いっぱい。 2016/01/14(木) 01:29:02.91 0]

いつIPが変わるかわからんけどな

[229 名無しさん＠お腹いっぱい。 2016/01/14(木) 02:12:02.42 0]

広告ウイルスに悪用されたんだってよ

[230 名無しさん＠お腹いっぱい。 2016/01/14(木) 09:25:40.12 0]

>>228
最初にweb鯖止めないで公式蔵動かして繋いできたそれっぽいリモホのIP使えばええんやろ

[231 名無しさん＠お腹いっぱい。 2016/01/14(木) 15:52:02.94 0]

>>224
cron の周期はどれくらい？
毎週？

[232 名無しさん＠お腹いっぱい。 2016/01/14(木) 17:04:52.37 0]

>>229
最近のアンチウィルスソフトはSSL通信の監視も出来るけど
そのためにオレオレ証明書を入れてクライアントを騙したりするし
SSL通信の内容がアンチウィルスソフトメーカーに筒抜けになる気がして
機能OFFにしてるんだよなぁ

Let's Encryptの登場で今後不正サイトがSSL/TLS化されるって言われてるし、
監視しないと心配になってきたな

[233 名無しさん＠お腹いっぱい。 2016/01/14(木) 20:27:42.19 0]

証明書が悪用されたと発覚しても revoke しないポリシーってどうなんだ。
イタチごっこなのはわかるんだが。

以下ちょっと長い引用

>Let's Encryptは証明書を発行する前にGoogleのSafe Browsing APIを用いてドメインが
>悪用されていないか確認しているが、発行後の確認は行っていない。
>Trend Microのブログ記事では発行後にドメインの悪用が確認された場合、認証局が証明書を
>取り消すべきだと主張する。

>一方、Let's Encryptのサービスを提供するInternet Security Research Group(ISRG)の
>Josh Aas氏は発行後の取り消しについて、効果的でなく現実的でもないとしている。

[234 名無しさん＠お腹いっぱい。 2016/01/14(木) 21:54:17.88 0]

Let's Encryptの証明書、不正広告攻撃に悪用される
http://srad.jp/story/16/01/10/1837213

[235 名無しさん＠お腹いっぱい。 2016/01/14(木) 22:19:33.43 0]

まあ期限を短くしてくのが効果的だろうね
そもそも現状の証明書の扱いに問題があるわけだけれども

[236 名無しさん＠お腹いっぱい。 2016/01/14(木) 22:56:47.10 0]

>>234
証明書発行機関はインターネットの警察ではない
DV証明書はそのドメインと暗号化通信していることを保証するだけでそのサイトの善悪までは知らん

というのはエンジニアとしてはものすごく正しいことを言っているのだが
実際にインターネットを利用して被害にあうエンドユーザーには通じない

最終的にLet'sの証明書は信用できない、Let'sはウィルス、マルウェア被害を助長する悪の組織、
みたいにならなければいいけど

[237 名無しさん＠お腹いっぱい。 2016/01/14(木) 23:18:54.14 0]

もうなりつつあるんじゃないかなぁ
多数の人の中で証明書の正しさとSSL/TLSであることがごっちゃになってるし

[238 名無しさん＠お腹いっぱい。 2016/01/14(木) 23:27:15.43 0]

例えば無料DV証明書でも

example.com + www.example.com の証明書は取れても
それのサブドメイン sub.example.com は取れないみたいな制限あること多いよね
あとは親ドメインの証明書を他の人が取ってたらそれのサブドメインの証明書は取れないみたいなのとか

Let's Encrypt ってそーいう制限ないから domain shadowing と相性ピッタリなんだよね

[239 名無しさん＠お腹いっぱい。 2016/01/14(木) 23:39:37.41 0]

他人がどうやってサブドメインできるの？

[240 名無しさん＠お腹いっぱい。 2016/01/14(木) 23:45:37.58 0]

例えば無料のHPでサブドメインが割り当てられるなんてのはよくあるやつだろ

[241 名無しさん＠お腹いっぱい。 2016/01/14(木) 23:48:47.11 0]

>>239
domain shadowing

[242 名無しさん＠お腹いっぱい。 2016/01/15(金) 00:42:06.65 0]

責任の所在がどこにあるかは別にして
被害者を少しでも減らすためにもうちょっと対策考えるべきじゃね
義務じゃないけど努力義務的な感じで

トレンドマイクロから通報されてrevokeするのがそんなに大変な作業かね

[243 セキュリティ証明書には問題があります 2016/01/15(金) 00:54:26.45 0]

この Web サイトのセキュリティ証明書には問題があります。

http://nakedsecurity.sophos.com/2013/05/27/anatomy-of-a-change-google-announces-it-will-double-its-ssl-key-sizes/

この Web サイトで提供されているセキュリティ証明書にはエラーがあるため、
信頼しないでください。
セキュリティ証明書の問題によって、詐欺や、お使いのコンピューターから
サーバーに送信される情報を盗み取る意図が示唆されている場合があります。

[244 名無しさん＠お腹いっぱい。 2016/01/15(金) 09:27:06.60 0]

>>242
まあむこうの考える理想としてそういうことをやってはいけないのだろう
現状を変えたいのだと

[245 名無しさん＠お腹いっぱい。 2016/01/15(金) 11:26:21.77 0]

今のままじゃブラウザで不正証明書の警告が出ないオレオレ証明書と同じじゃないか

[246 名無しさん＠お腹いっぱい。 2016/01/15(金) 11:41:11.89 0]

同じだよ？
全くその通りだしめざしてるのはそれだろ
目的は単純な暗号化なんだから

[247 名無しさん＠お腹いっぱい。 2016/01/15(金) 11:56:38.71 0]

正しい証明書であることとサイトの信頼性はまったくべつのはなしだ
DV証明書ってそういうものだろ、という、繰り返されたいつものやつ

[248 名無しさん＠お腹いっぱい。 2016/01/15(金) 12:05:32.59 0]

だが消費者は納得しない
なぜかといえばブラウザが緑になるせいでhttps＝安心安全と教育されてきたから

[249 名無しさん＠お腹いっぱい。 2016/01/15(金) 12:14:50.59 0]

緑になるのはEVだしかなり最近の話だな

鍵マークみたいなのが出るのは昔からだが
まぁ鍵マークとURLを確認＝安全って教えられてるわな

[250 名無しさん＠お腹いっぱい。 2016/01/15(金) 12:16:43.45 0]

>>249
緑に関してはもちろんそうだけどもEVとDVの違いをちゃんと理解して使ってる奴がどのくらいいるのかとね

[251 名無しさん＠お腹いっぱい。 2016/01/15(金) 12:20:28.94 0]

「このWebサイトは認証されています。このサイトとの通信は安全です」
　↓
通信は安全だけど、サイト自体はフィッシングサイトかもしれない、ウィルス流し込まれたかもねー

って一般には理解できんと思うが、そーいう目的だと言われたらもうここの発行した証明書を
ブロックするしかないな

[252 名無しさん＠お腹いっぱい。 2016/01/15(金) 14:29:43.02 0]

>>251
だったら、RapidSSL とかグローバルサインとか含めて、DV証明書全部ブロックしたら？
DV証明書っていうのはそういうもんだからね
言っとくけど、フィッシング詐欺やらウイルス配布やらに悪用されているDV証明書なんて山ほどあるから
Let's Encrypt を糞会社のトレンドマイクロが叩いただけで、それ以外の既存の大手CAのDV証明書だってフィッシングサイトなどに悪用されてる

サイトを信頼したいなら、その法的に実在している法人や団体が運営していることを証明している
アドレスバーが緑色になるEV証明書だけ信頼していればいいでしょ


文句いってるトレンドマイクロの方が明らかにおかしなセキュリティ会社なんだけどね
トレンドマイクロの「パスワードマネージャ」が、localhostでNode.jsを使ってHTTPサーバーを実行していて、
全世界から任意のコードを実行できて、記録されたパスワードも盗用可能という致命的な脆弱性があるという糞会社だからセキュリティを語る資格はない
てか、パスワードマネージャに HTTPD が入ってるとか、脆弱性以前にバックドアとしか言いようがない糞設計だよね
ウイルス対策ソフト自体も誤検出放置で信頼性皆無だし

http://it.srad.jp/story/16/01/14/0853225/

[253 名無しさん＠お腹いっぱい。 2016/01/15(金) 18:55:27.50 0]

こういうことが続いてLet'sの証明書が信用失ってブロックされたら困るよねーって話だし

トレンドマイクロ叩きとかどうでもいいし

何ヒートアップしてんの

[254 名無しさん＠お腹いっぱい。 2016/01/15(金) 18:57:36.35 0]

全ては無知な大衆が悪い

[255 名無しさん＠お腹いっぱい。 2016/01/15(金) 21:11:13.99 0]

なんかここではDV証明書の議論になってるけど

トレンドマイクロが危惧してるのは今回の domain shadowing の手法と
サブドメインだけで証明書を取りまくれる仕様の合わせ技って
ところじゃないかな

もちろん他にもそういうザル認証局はあるんだろうけど、Let's Encrypt は自動化しやすいし…

ほら、無職ニートとかが変態的犯罪を起こすと「犯人の自宅にはアニメのDVDが大量にあり…」
みたいな恣意的な報道されるじゃん？ あんな感じでさ

今回の件で Let's Encrypt が悪いとは思わないけど
今後 Let's Encrypt が悪者にされるのは心配だよね

[256 名無しさん＠お腹いっぱい。 2016/01/15(金) 23:27:21.86 0]

証明書で証明できるものは、公開鍵の正当性だけ
公開鍵証明書という正式な名称使った方が誤解ない

[257 名無しさん＠お腹いっぱい。 2016/01/16(土) 00:24:22.54 0]

で、その公開鍵証明書にはサーバー用、クライアント用、S/MIME用、アプリ署名用とかいろいろあって
それを区別するためにだな。。。

[258 名無しさん＠お腹いっぱい。 2016/01/16(土) 00:26:26.02 0]

>>257
サーバー用公開鍵証明書、
クライアント用公開鍵証明書、
S/MIME用公開鍵証明書、
アプリ署名用公開鍵証明書

という正式な名称使った方が誤解ない

[259 名無しさん＠お腹いっぱい。 2016/01/16(土) 02:35:20.81 0]

イヤなら金払ってもっと上の証明書を使うなりすればいいじゃない。
俺はそれがイヤだから無料の Let's Encrypt を使っているだけというね。
暗号化経路さえ確保出来ていればそれでいいよ。

[260 名無しさん＠お腹いっぱい。 2016/01/16(土) 11:04:36.54 0]

そう言う話ではないと思うが

[261 名無しさん＠お腹いっぱい。 2016/01/17(日) 00:38:25.41 0]

>>260
暗号化とデータの保証では駄目なん？

[262 名無しさん＠お腹いっぱい。 2016/01/17(日) 00:49:40.72 0]

またDV証明書の問題に論点すり替えか

[263 名無しさん＠お腹いっぱい。 2016/01/17(日) 12:28:29.61 0]

>>262
今時大手CAもDV証明書売ってるし、フィッシングサイトが HTTPSに対応しているなんてのは今時当たり前（大手CAのDV証明書利用）であって、いちいちニュースにもならない。
ニュースになったとしても、○○銀行のフィッシング詐欺サイトがどうのこうのと注意喚起されるだけで、どこの証明書が使われたなんてのは記事にならない（実際どうでもいいし）。

ところが Let's Encrypt の証明書が使われたときだけ騒ぐというのは嫌がらせとしか思えない
大手CAと違って広告費払ってくれない非営利団体運営だから、叩きやすいんだろうね
一方、DVやってるジオトラストは、シマンテック・ベリサイン系列だから気軽に叩く訳にはいかんだろうし

[264 名無しさん＠お腹いっぱい。 2016/01/17(日) 13:15:52.43 0]

最初の発行時だけ手動の操作による認証が必要にすればいいんじゃないのかな？
自動化は更新だけで十分だよね

[265 名無しさん＠お腹いっぱい。 2016/01/17(日) 15:44:56.75 0]

>>264
そんなことはジオトラストとかの大手DVもやってなくて機械的に取れるんだけど

だいたい、手動による認証ってなんか意味あるの？
証明書取得時だけ普通のサイトっぽくして、証明書取得後にフィッシングサイトに書き換えられたら終わりじゃん
もうちょっと考えてから書き込んだら？

[266 この Web サイトのセキュリティ証明書には問題があります 2016/01/17(日) 15:46:37.77 0]

　　/;;;;;;;;;;;;;;;;:.

　　 i;;;」' 　__　__i

　　 |;;|　 '・`, '・`{
　　(6|}.　　 ・・　}　　　嫌なら使うな！
　　　 ヽ　'ー-ソ
　　　 ノ、ヽ＿/
　　 /,　　　ヽ
　　ト,.|　　　ト|

[267 名無しさん＠お腹いっぱい。 2016/01/17(日) 15:47:34.51 0]

手動による認証ってなんだ？
電話やSMS確認でもするんか？

大概のことは自動化余裕だぞ

[268 名無しさん＠お腹いっぱい。 2016/01/17(日) 16:27:20.78 0]

>>266
なにを？

[269 オレオレ証明書 2016/01/17(日) 16:37:38.76 0]

https://support.microsoft.com/ja-jp/kb/931850

この Web サイトのセキュリティ証明書には問題があります。
https://www.knaw.nl/nl

sha384WithRSAEncryption
TLS 1.0、AES 256 / 256 ビット暗号 (高); RSA / 4096 ビット交換

オレオレ証明書
Program Files\CSR\CSR Harmony Wireless Software Stack
cert_install.bat
@ECHO OFF
cd .
call certmgr.exe /add HarmonyTest.cer /s /r localMachine root
call certmgr.exe /add HarmonyNewTest.cer /s /r localMachine root
Harmony(Test).cer
HarmonyNew(TEST).cer
bluetooth
bluetooth追加後、証明書が書き込まれる。
https://www.ssllabs.com/index.html
TLS 1.0、Triple DES / 168 ビット暗号 (高); RSA / 2048 ビット交換
kb3081320
WEPOS および POSReady 2009 のセキュリティ更新プログラム (KB3081320)

schannel.dll

[270 このページは表示できません 2016/01/17(日) 16:39:08.73 0]

https://my.softbank.jp/msb/d/top
TLS 1.0、RC4 / 128 ビット暗号 (高); RSA / 2048 ビット交換

このページは表示できません
https://media.defcon.org/

sha512RSA
DigiCert SHA2 High Assurance Server CA

https://trinlink.tmfhs.org/EpicCareLink/common/epic_login.asp

TLS 1.0、AES 256 / 256 ビット暗号 (高); RSA / 2048 ビット交換

[271 名無しさん＠お腹いっぱい。 2016/01/17(日) 17:02:32.38 0]

>>268
時々現れる荒らしだからスルーな

[272 この Web サイトのセキュリティ証明書には問題があります 2016/01/17(日) 22:59:27.42 0]

　 σ ＜　マイクロソフトの営業よ
　(V)　　　　ヨドバシカメラのPC売り場に出かけて
　 ||　　　　　「嫌なら使うな」の腕章付けて販促活動して欲しいわ
　　　　　　　受けること間違いなしwwww

[273 名無しさん＠お腹いっぱい。 2016/01/23(土) 01:53:53.03 0]

./letsencrypt-auto certonly --webroot -w /var/www/http/ -d example.com -w /var/www2/http/ -d hoge.com --agree-tos
./letsencrypt-auto: line 104: [: too many arguments
./letsencrypt-auto: line 106: [: too many arguments
Updating letsencrypt and virtual environment dependencies..../letsencrypt-auto: line 186:
/root/.local/share/letsencrypt/bin/pip: そのようなファイルやディレクトリはありません

CentOS5.11とpython2.6はあかんのか？

[274 名無しさん＠お腹いっぱい。 2016/01/23(土) 02:05:00.95 0]

pip install -U pip

[275 名無しさん＠お腹いっぱい。 2016/01/23(土) 03:55:52.51 0]

Python は 2.7〜じゃなかったっけか

[276 名無しさん＠お腹いっぱい。 2016/01/23(土) 09:38:48.70 0]

docker

[277 名無しさん＠お腹いっぱい。 2016/01/23(土) 10:24:26.70 0]

SCLは6系からだっけ？
既存環境壊したくなければ、chroot環境作るとか
#言ってはみたが試してはいない

[278 名無しさん＠お腹いっぱい。 2016/01/23(土) 11:35:00.08 0]

サブドメインが違うのを何個か作ったら制限でアウトになった。
この制限って、どんな時に発動して、どうやったら解除？

[279 名無しさん＠お腹いっぱい。 2016/01/23(土) 11:41:41.99 0]

俺は5個発行できたが

[280 名無しさん＠お腹いっぱい。 2016/01/23(土) 12:00:16.04 0]

python は 2.6 だと「古くてもうメンテされてないよ」って警告出るだけで
使えないわけではない

最初はいちいちうざいけど crontab に登録してしまえばどうでもよくなる
他のクライアント使ってもいいし

[281 名無しさん＠お腹いっぱい。 2016/01/23(土) 13:31:52.00 0]

domain shadowingって具体的にどういう手法なの？
ググってもよくわかんないんだけど

[282 名無しさん＠お腹いっぱい。 2016/01/23(土) 13:33:05.27 0]

下に作って上のをGET

[283 名無しさん＠お腹いっぱい。 2016/01/23(土) 13:38:21.28 0]

要するに
レジストラのアカハックしてサブドメイン作ったら
それを種に他のサブドメインの証明書も作れる
こういうこと？

[284 名無しさん＠お腹いっぱい。 2016/01/23(土) 13:42:00.40 0]

ちゃうねん
www.yahoo.co.jpがあるとするやろ
ad.yahoo.co.jpを作ってそれを自分の鯖に向けて証明書を取得
そしてそこでフィッシング詐欺みたいな感じでユーザー情報GET

[285 273 2016/01/23(土) 14:09:55.58 0]

https://github.com/lukas2511/letsencrypt.sh
↑これでいけた
centosでコケた人はお試しあれ

[286 名無しさん＠お腹いっぱい。 2016/01/23(土) 15:04:42.28 0]

>>284
> ad.yahoo.co.jpを作って
これどうやるの？

[287 名無しさん＠お腹いっぱい。 2016/01/23(土) 15:07:57.51 0]

>>283

[288 名無しさん＠お腹いっぱい。 2016/01/23(土) 15:40:34.77 0]

>>286
自分がドメイン乗っ取りやフィッシングなどの犯罪行為の方法をkwsk質問してる自覚ある？

[289 名無しさん＠お腹いっぱい。 2016/01/23(土) 15:44:03.50 0]

>>288
攻撃方法を知れば防御もできると思うぞ

[290 名無しさん＠お腹いっぱい。 2016/01/23(土) 15:49:22.14 0]

>>281
http://security.srad.jp/comments.pl?sid=676026&;cid=2947587　に書かれている
レジストラの垢をフィッシング詐欺その他で乗っ取って、DNSのAレコードを書き換える攻撃のこと

>>283
そういうこと

>>284
> ad.yahoo.co.jpを作ってそれを自分の鯖に向けて証明書を取得
その ad というサブドメインを yahoo.co.jp に追加するために、ヤフー株式会社が所持しているレジストラアカウントを乗っ取るのが
domain shadowing という攻撃方法

単なるレジストラアカウントの乗っ取りで合って、別に目新しい攻撃方法ではないけど
・メインのAレコード（@ や www）を書き換えないので、ドメイン所有者が攻撃に気が付きにくい
・ブラウザやセキュリティソフトは長年使われていた正規サイトのサブドメインのため、ヒューリスティック判定で詐欺サイトとして自動検出しない
ってだけ

その不正につくったサブドメインにLet's Encryptの証明書が使われたと大騒ぎしているのがトレンドマイクロだけど
色々ブーメランなことになったので、トレンドマイクロはそのLet's Enbcrypt批判の記事を修正した

[291 名無しさん＠お腹いっぱい。 2016/01/23(土) 16:10:54.40 0]

なるほどレジストラのアカウント乗っ取るなんて大がかりなことやるなら
Let's Encryptの証明書が使われるとか些細なことだな

[292 名無しさん＠お腹いっぱい。 2016/01/23(土) 16:21:19.63 0]

お名前みたいなDNSサービスもやってるところはそうだけど
別にレジストラじゃなくてもDNSサーバー乗っ取ればいいわけで
それ自体は昔からある手法
サブドメインをこっそり乗っ取るのが最近の流行

[293 名無しさん＠お腹いっぱい。 2016/01/23(土) 18:12:12.98 0]

DNSサーバを乗っ取るって・・・
DNSサービスではなくて？

サーバ乗っ取れるならWEBサーバ乗っ取ればいい
そうすればSSLなんて取得する必要ない
なんせ本物のサイトが弄りたい放題なのだから

[294 名無しさん＠お腹いっぱい。 2016/01/23(土) 20:42:01.55 0]

>>293
普通速攻気付かれて修正されておわりだよね。

[295 名無しさん＠お腹いっぱい。 2016/01/23(土) 21:05:00.00 0]

DNSサーバ乗っ取られるような会社なら
コンテンツイジられようが配下ディレクトリになんらかのコンテンツ設置されようが
気がつかないと思うぞ

[296 名無しさん＠お腹いっぱい。 2016/01/23(土) 21:19:51.79 0]

キャッシュ毒とかのことかな
権威サーバー乗っ取られるのは、さすがに論外な気がする

[297 名無しさん＠お腹いっぱい。 2016/01/23(土) 22:24:28.39 0]

要するにサブドメインでその上の認証がとれるってことでしょ
サブドメイン型ホスティング使ってたら同居人に証明書発行されてるかも知れないと
さすがに仕様が悪いんじゃないか

[298 名無しさん＠お腹いっぱい。 2016/01/23(土) 22:39:55.76 0]

お前は何を言ってるんだ？

[299 名無しさん＠お腹いっぱい。 2016/01/23(土) 22:47:28.32 0]

理解できなかっただけでしょほっとけよ
アホは書き込み禁止で

[300 名無しさん＠お腹いっぱい。 2016/01/23(土) 22:51:21.55 0]

>>293
だーかーらー
そーいう派手な乗っ取りをすると

>>294
の言うように気付かれやすいから

こっそりサブドメインを作って A レコードで別サイトに誘導するってのが
domain shadowing っていうのさ

これ以上反論したいならセキュリティ専門家とでも議論してくれ

[301 名無しさん＠お腹いっぱい。 2016/01/23(土) 23:37:28.88 0]

>>300
んなもん分かってる

お前がいきなり
> 別にレジストラじゃなくてもDNSサーバー乗っ取ればいいわけで
> それ自体は昔からある手法
まるでアカウント乗っ取るよりサーバ乗っ取る方が簡単みたいな事言い出したから

[302 名無しさん＠お腹いっぱい。 2016/01/23(土) 23:39:35.30 0]

日本語力たりねえなぁ・・・書き込むなよ

[303 名無しさん＠お腹いっぱい。 2016/01/24(日) 00:05:40.10 0]

ｵﾏｴﾓﾅｰ

[304 名無しさん＠お腹いっぱい。 2016/01/24(日) 00:18:26.91 0]

( ´∀｀)

[305 名無しさん＠お腹いっぱい。 2016/01/24(日) 03:30:01.76 0]

　　/;;;;;;;;;;;;;;;;:.

　　 i;;;」' 　__　__i

　　 |;;|　 '・`, '・`{
　　(6|}.　　 ・・　}　　　馬鹿は使うな！
　　　 ヽ　'ー-ソ
　　　 ノ、ヽ＿/
　　 /,　　　ヽ
　　ト,.|　　　ト|

[306 名無しさん＠お腹いっぱい。 2016/01/24(日) 13:01:09.58 0]

また2ちゃんねるでオレ様情強アピールかよ。
どんだけキチガイ多いんだよ。

[307 名無しさん＠お腹いっぱい。 2016/01/24(日) 19:12:57.94 0]

別に間違えたって良いと思うけど、逆ギレしちゃうのだけは止めた方がいいｗ

[308 名無しさん＠お腹いっぱい。 2016/01/24(日) 20:22:27.31 0]

他の発行元はサブドメイン用DV証明書の発行にも非サブドメインのドメイン所有権というか使用権を確認してるのに
LEは当該サブドメインの使用権しか確認してなくて
世間一般の認識ではサブドメイン用証明書はドメイン所有権確認してあるはずとなってるから
サブドメインへのHTTPS通信はドメイン所有者の責任があると認識されるが

[309 名無しさん＠お腹いっぱい。 2016/01/24(日) 20:23:33.84 0]

途中で送っちゃった

が
LEはそう考えてなくて考え方のギャップでTMが因縁つけてるカンジか

[310 名無しさん＠お腹いっぱい。 2016/01/24(日) 21:47:35.98 0]

そもそも暗号化するってだけで確認も何も無かろう。
これまでの考え方自体おかしいんでしょう。
存在確認とか、所有者確認とは別の仕組みにすべきって事の方が理にかなってるってのは誰にでも分かる事

[311 名無しさん＠お腹いっぱい。 2016/01/24(日) 22:01:58.66 0]

さすがトレンドマイクロ

[312 名無しさん＠お腹いっぱい。 2016/01/24(日) 22:59:35.03 0]

そもそもオレオレ証明書でド派手な警告出るようなしくみになってるのが
世間の認識を歪めることになった元凶。

[313 名無しさん＠お腹いっぱい。 2016/01/25(月) 00:09:04.16 0]

>>310
OVで始まった歴史的経緯があるからね
そこをすっ飛ばしたら議論にならない

[314 名無しさん＠お腹いっぱい。 2016/01/25(月) 00:11:16.53 0]

本当だよ。あれを誤解してる奴にどれだけ説明した事か。
あの警告出す事にオッケー出してる事にも疑問。

[315 名無しさん＠お腹いっぱい。 2016/01/25(月) 13:18:02.13 0]

>>312 >>314
オレオレ証明書は、フィンガープリントの確認をしない限り、暗号化という意味でも安全ではないから
激しい警告を出すのは当然なんだが

例えば、安全でないアクセスポイント（クラッカーが運営）で無線LANを使っている場合、
オレオレ証明書のサイトを偽のオレオレ証明書に書き換え、www.example.com のサーバーへの接続を
クラッカーが運営するサーバへの接続（オレオレ証明書）に経路を書き換えることが可能

Let's Encrypt では二経路を改ざんしない限り、そういった悪用はできない。
証明書発行時にDNSのIP見てるので、

末端ユーザー ⇔ 無線LANアクセスポイント ⇔ ISP の経路だけではなく、
Let's Encrypt 証明書発行サーバ ⇔ DNSサーバ の経路も書き換えない限り、そういった不正ができなくなる

[316 名無しさん＠お腹いっぱい。 2016/01/25(月) 14:13:21.92 0]

いやそれDNS一つでええやん

[317 名無しさん＠お腹いっぱい。 2016/01/25(月) 15:05:35.57 0]

>>315 大丈夫かぁ？

[318 名無しさん＠お腹いっぱい。 2016/01/25(月) 17:39:15.54 0]

>>316
オリジナルのDNSサーバに毒入れできたら、Let's の証明書は取得できちゃうけど、それは困難

Let's の証明書取得時には、一般のユーザーが使うような毒入れ可能なDNSキャッシュサーバではなく
権限サーバに直接つないで照会かけてるだろうし

[319 名無しさん＠お腹いっぱい。 2016/01/25(月) 20:24:56.18 0]

だから暗号化と所有者確認は切り分けろよ

[320 名無しさん＠お腹いっぱい。 2016/01/25(月) 21:42:50.21 0]

>>319
PKIの基礎学べば分かると思うけど、ユーザー（ブラウザ）が暗号化に使う公開鍵が
期待する通信相手のものであることが明らかでない限り、その暗号化自体が何の意味も持たない
つまり、ドメインの所有者・正規使用者の確認というプロセスを省略して単に暗号化だけにした場合（オレオレ証明書の場合）
その暗号化という行為自体が技術的に無意味になるのよ

何故かというと、単に暗号化するだけなら、通信を傍受・改ざんするクラッカーによって、正規の通信相手の公開鍵がクラッカーの公開鍵にすり替えられていたら
クラッカーが通信内容を傍受・改ざんできてしまう


Let's Encrypt のDV証明書は、ドメインの正規利用者の公開鍵であることを認証しているので
example.com というドメインを信用するならば、ブラウザのアドレスバーが https://example.com/ で始まっていることとと
ブラウザが警告を発しないことを確認するだけで、そのドメインの正規利用者と安全に通信できる


ってことで、「暗号化と所有者確認は切り分け」は、技術的に無意味（公開鍵のすり替えに対抗できない）のでやる意味なし
（公開鍵のフィンガープリントを電話とか郵送とか安全な方法で受け渡せば公開鍵のすり替えはできなくなるが）

Let's がやってるDNSベースでの認証は、安全な通信のために必要な最低限度の行為なので削ることはできない

[321 名無しさん＠お腹いっぱい。 2016/01/26(火) 02:11:20.74 0]

なげーから読んでねーけど、
オレオレ証明書を使ってるようなサイトをどうにかしようとなんて時間と手間の無駄だから誰もやらない
だから安全

[322 名無しさん＠お腹いっぱい。 2016/01/26(火) 12:42:01.63 0]

オレオレは自分と一部の友人しか使わんから

[323 名無しさん＠お腹いっぱい。 2016/01/26(火) 12:51:41.99 0]

だったらオレオレCA作って、
その証明書をインポートしときゃいいじゃない

[324 名無しさん＠お腹いっぱい。 2016/01/26(火) 15:11:46.21 0]

いや、そのオレオレCAをポリシーで信頼してるわ

[325 sage 2016/01/27(水) 14:35:11.67 0]

今日1カ月ぶりに更新したらできない
pip をアップグレードしろとか出てる
PIPなんて最初から入ってない。
前回は不要で今回から必要になったのか。

[326 名無しさん＠お腹いっぱい。 2016/01/27(水) 15:00:12.19 0]

は？
pip install -U pipさっさとしろよ

[327 名無しさん＠お腹いっぱい。 2016/01/27(水) 15:11:21.35 0]

試しにやってみたらそういうふうに言ってきたけど勝手にやってくれたみたいで
そのまま更新できた

[328 名無しさん＠お腹いっぱい。 2016/01/27(水) 18:33:45.43 0]

勝手にやってくれるって便利だとおもうけど、反面あぶねーからこええよｗ

[329 名無しさん＠お腹いっぱい。 2016/01/28(木) 10:33:48.28 0]

依存関係の解消ってどのインストーラーもこんな感じでは

[330 名無しさん＠お腹いっぱい。 2016/01/29(金) 08:34:41.88 0]

Let'snote のバッテリーのリコール対象が増えたぞ　Let'snote 持ってる人は要確認だ！
http://askpc.panasonic.co.jp/info/160128.html

CF-S8/S9/S10シリーズ、またはCF-N8/N9/N10シリーズ　(新たな対象機種)

かなり古い機種も含まれているので、これで数年前のバッテリーが新品に蘇るぞ
パナソニックは神対応だな

……ところで、なんでこんな板にLet'snoteスレがあるんだ？

[331 名無しさん＠お腹いっぱい。 2016/01/29(金) 11:31:43.75 0]

>>330
スレタイも読めない文盲乙

[332 名無しさん＠お腹いっぱい。 2016/01/29(金) 19:53:50.93 0]

証明書の更新が半年とかになればなー。

[333 名無しさん＠お腹いっぱい。 2016/01/29(金) 21:00:30.42 0]

自動にしてほっとけ

[334 名無しさん＠お腹いっぱい。 2016/01/30(土) 10:51:59.80 0]

言われているが、
cronなどでの自動更新前提

[335 名無しさん＠お腹いっぱい。 2016/01/31(日) 11:26:27.64 0]

レンタルサーバーだとめんどい。

[336 名無しさん＠お腹いっぱい。 2016/01/31(日) 20:52:02.43 0]

めんどいって、自動にする為のしょりがめんどいのか、自動処理出来ないから毎回めんどいのか。
レンタルサーバーだから自動処理出来ないってのなら、工夫すればできるはず。
ま、わからんならめんどい、って文句だけ言うしかないが。

[337 名無しさん＠お腹いっぱい。 2016/01/31(日) 20:54:33.92 0]

まあめんどいのは事実だしただの愚痴やろ

[338 名無しさん＠お腹いっぱい。 2016/01/31(日) 22:46:37.84 0]

こんな程度でめんどいと言っているようではおまえはうんたらかんたらって言いたいだけ

[339 名無しさん＠お腹いっぱい。 2016/02/01(月) 08:06:06.34 0]

今朝にセットしてたcron自動更新うまくいってた
これで一ヵ月毎とか２ヶ月毎に更新しとけば、短い有効期限も気にならないな

エラーになった時のリトライ考慮してないけど
まぁそん時は手動でいいや

[340 名無しさん＠お腹いっぱい。 2016/02/01(月) 16:53:41.74 0]

リトライさせるのは簡単では。
証明書の有効期限 n 日前になったら更新させる
って処理にして cron で回す周期を数日おきにすれば
エラーがあってもまた数日後、次の実行時に処理出来る。

openssl x509 -checkend
これ使うと良いね。

[341 セキュリティ証明書には問題があります 2016/02/02(火) 00:35:58.97 0]

https://api.2ch.net/

この Web サイトのセキュリティ証明書には問題があります。

https://www.virustotal.com/ja/url/3a7f1e291d79d6ada135fe19e2153d723c165bbd019b4d66f70c9f973545caca/analysis/1454339116/

[342 黒猫のルート証明書更新 2016/02/02(火) 04:45:59.07 0]

https://www.virustotal.com/ja/file/e68921ee4e47fe2a8b029df64dcd27d0cbc86e5b3fed78caf297a05a83b572c6/analysis/1454215745/

Qihoo-360 HEUR/QVM06.1.Malware.Gen

nProtect Trojan/W32.Chifrax.5

[343 名無しさん＠お腹いっぱい。 2016/02/02(火) 05:11:45.81 0]

なんなん？
キモいな

[344 名無しさん＠お腹いっぱい。 2016/02/02(火) 09:32:00.93 0]

そもそもケチつけるべきはここではなくCFだと思うんですが
SNI対応してないデバイス使うほうが悪い

[345 名無しさん＠お腹いっぱい。 2016/02/02(火) 11:38:23.78 0]

>>341 は、Let's Encrypt に対して風評被害を与えるような糞レス

まず、第一に、そのサイトの証明書を確認してみたが、サブジェクトの代替名が

DNS Name=ssl366616.cloudflaressl.com
DNS Name=*.2ch.net
DNS Name=2ch.net

となっている COMODO の DV証明書。

もう一度いうと、「COMODO」 の DV証明書なので、Let's Encrypt は無関係。
ついでに、その証明書はきちんと検証できるので、全く問題が無い。

ちなみに、その証明書自体は問題ないけど、2chはあちこちセキュリティガバガバなので全く信用できない。

例えば、jump.2ch.net は、

http://www.example.com/test.cgi?a=123&;b=456#InPageLinkTest

というリンクすらまともに処理できない

一応XSSは修正されたけど、エスケープ漏れに対して変なところで処理した結果、& を & に変換する処理が二重化されて二重エスケープでリンクが機能しなくなったり
ページ内リンクの # を処理できなかったりと、ガバガバ
そういうレベルのサイトなので、●のクレジットカード情報や個人情報漏洩したりとか、有料会員のパスワードがXSSやCSRFで漏洩したりとか、
レベルの低い問題を過去におこしまくっている

[346 345 2016/02/02(火) 11:46:53.97 0]

うわ、書き込み自体も変に文字列置換されて意図に反する内容になった

「＆ を ＆ａｍｐ； に変換する処理」とカキコしたら、HTML出力時に「＆ａｍｐ； を ＆ａｍｐ；ａｍｐ； に変換する処理」となり、
ブラウザには「＆ を ＆ａｍｐ； に変換する処理」と表示されるのが、適切なエスケープ方法だけど、2chは適切にエスケープするのではなく変な変換処理をかけているようだ

2chの有料会員になるときには、個人情報を一切渡さない方法（プリペイドカードや匿名ＶＩＳＡデビットなど）で、偽の個人情報で課金することを推奨する

[347 名無しさん＠お腹いっぱい。 2016/02/02(火) 13:23:21.44 0]

どうでも良いわ。

[348 名無しさん＠お腹いっぱい。 2016/02/02(火) 18:13:00.18 0]

>>345
荒らしはスルー

[349 名無しさん＠お腹いっぱい。 2016/02/05(金) 14:46:12.08 0]

まーたスクリプトのテストしてたら「お前たくさん発行しすぎ」ってエラーになった
なんとかしちくりー

[350 名無しさん＠お腹いっぱい。 2016/02/05(金) 15:28:21.48 0]

発行しすぎ! ってエラーが出ることを正常系としてみりゃいいんでね?

[351 名無しさん＠お腹いっぱい。 2016/02/05(金) 15:54:01.29 0]

警告が出るだけじゃなくて実際に発行を拒否されるのを正常系にしてどうする

その後（発行された証明書をApacheでロードして接続テスト）が出来ないじゃん

[352 名無しさん＠お腹いっぱい。 2016/02/05(金) 16:40:35.06 0]

>>349
ttps://community.letsencrypt.org/t/testing-against-the-lets-encrypt-staging-environment/6763

[353 名無しさん＠お腹いっぱい。 2016/02/05(金) 21:09:10.09 0]

>>351
スクリプトの動作云々でそこまで求めるなら一週間またないとな。
更新処理のみに絞れば発行しすぎだろってエラーまで行けば制限外れれば更新は出来る。
気になるならログを見れば良いだけだし。

[354 名無しさん＠お腹いっぱい。 2016/02/13(土) 12:28:23.46 0]

更新済みなのにこんなメールが来たんやけど？

"Let's Encrypt certificate expiration notice"

Hello,

Your certificate (or certificates) for the names listed below will expire in 19 days (on 03 Mar 16 04:05 +0000). Please make sure to renew your certificate before then, or visitors to your website will encounter errors.

www.example.com

For any questions or support, please visit https://community.letsencrypt.org/. Unfortunately, we can't provide support by email.

[355 名無しさん＠お腹いっぱい。 2016/02/13(土) 12:38:52.12 0]

>>354
俺にも来たけど、サブドメイン足す前の物は間もなく切れるからだった。
3ヶ月って短いな。

[356 セキュリティ証明書の問題を検出 2016/02/17(水) 04:26:38.20 0]

Internet Explorer はこの Web サイトのセキュリティ証明書の問題を検出しました


http://www.symantec.com/security_response/writeup.jsp?docid=2010-021223-0550-99


大晦日に解散ライブを行い、フィナーレで照明を落とし

バイクに乗って森が登場して、キムタコに蹴りを入れて終了。


ゲーム　 平安京エイリアン

[357 名無しさん＠お腹いっぱい。 2016/02/17(水) 15:05:27.10 0]

>>356 は、Let's Encrypt に全く関係無いカキコ
荒らしなのでスルーよろしく

[358 名無しさん＠お腹いっぱい。 2016/02/17(水) 15:22:32.54 0]

あなた以外全員スルーしてたと思うんですが・・・

[359 名無しさん＠お腹いっぱい。 2016/02/17(水) 19:46:53.13 0]

まったくだｗｗ

[360 名無しさん＠お腹いっぱい。 2016/02/19(金) 16:46:20.92 0]

>>356-359
ワロタｗ

[361 名無しさん＠お腹いっぱい。 2016/02/20(土) 18:57:23.17 0]

更新忘れないように、有効期限が短い証明書更新してないとリマインダーメール来るんだね
意外と賢い仕組みだわｗ

[362 名無しさん＠お腹いっぱい。 2016/02/24(水) 17:31:34.35 0]

.
.
板違い（？）の上に、話をさえぎってしまいゴメンナサイ！(*_ _)人
でも、この板のユーザーさんにも有意義な告知かと思うのでカキコませてください。

★ 謝礼は十分いたします ★　アメブロなどのサイト制作ができる方！！　

アメブロなどを使用してのサイト制作のできる方を早急に求めています！
私はリケジョやPC女子からはほど遠く、サイト作成にはまったく疎いのでとても不自由しています…(> <；)
そこで私に代わりサイトを作成してくださる方を求めてこの場をお借りしました。

■サイトの内容…
アダルト系、違法性、その他公序良俗に反するものではありませんのでご安心ください。

■サイト制作の仕様ベース…
アメーバブログで十分です。願わくばwordpressなどのブログ形式のサイトを希望します。
それに準ずるもので使い慣れたものがあれば別のものでも構いません。

■条件はありません…
技術さえお持ちでしたら、学歴・職歴等は一切問いません。
フリーター、ニート、高齢ニート、コミュニケーション障害をお持ちの方、引きこもりの方、中年失業者、長期無職等、歓迎！

■作業形態…
作業は在宅でやって頂くことになりますので、時間の指定は一切ありません。別のお仕事の傍らに…でもOKです。

■詳細をお知りになりたい方は…
下記メールアドレスまでご連絡ください。詳しく書いた返信文を差し上げます。

※真剣な告知です。冷やかしはご遠慮ください。

井 上
inoue1952w★gmail.com
迷惑メール対策のため＠部分を★にしてあります。
実際に送信する際には★を＠マークに変えてください。
.
.

[363 名無しさん＠お腹いっぱい。 2016/02/25(木) 01:13:16.48 0]

>>362
> inoue1952w★gmail.com
> 迷惑メール対策のため＠部分を★にしてあります。
> 実際に送信する際には★を＠マークに変えてください。

はぁ？
お前の書き込み自体が迷惑メールだろｗ

[364 名無しさん＠お腹いっぱい。 2016/02/25(木) 08:16:13.26 0]

ただの荒らしに反応する必要ないぞ

[365 名無しさん＠お腹いっぱい。 2016/02/25(木) 08:38:11.63 0]

＞フリーター、ニート、高齢ニート、コミュニケーション障害をお持ちの方、引きこもりの方、中年失業者、長期無職等、歓迎！

問わないのはいいと思う。
だが歓迎しちゃいかんと思う。

[366 名無しさん＠お腹いっぱい。 2016/02/29(月) 16:55:04.19 0]

ここっていつまでβなの
永遠にβってやつ？

[367 名無しさん＠お腹いっぱい。 2016/03/01(火) 21:09:29.50 0]

>>76
βとれてるよ

[368 名無しさん＠お腹いっぱい。 2016/03/02(水) 00:23:55.11 0]

>>367
取れてないよ
公式見てみ

https://letsencrypt.org/

「Get Started (Public Beta)」とある

パブリックβテスト中だ

[369 名無しさん＠お腹いっぱい。 2016/03/02(水) 02:31:45.69 0]

>>368
ほんとだ、おっパブリックβだったね

[370 名無しさん＠お腹いっぱい。 2016/03/02(水) 15:12:14.54 0]

くだらない質問で恐縮ですが、証明書取得時の80へのアクセスについて、アクセス元のアドレス帯とか公開されていたりしますか

[371 名無しさん＠お腹いっぱい。 2016/03/02(水) 15:15:33.75 0]

ない
ssしてれば見えるんじゃね？

[372 名無しさん＠お腹いっぱい。 2016/03/02(水) 19:07:22.16 0]

webroot指定でやった時は66.133.109.36からアクセスされた

[373 名無しさん＠お腹いっぱい。 2016/03/03(木) 09:36:02.87 0]

>>372がoutbound1.letsencrypt.orgで、outbound2も存在しているようなので、その2つを開けて様子を見てみます。
ありがとうございました。

[374 名無しさん＠お腹いっぱい。 2016/03/08(火) 21:26:45.81 0]

Let's Encryptをつかって署名された証明書を作成して、
それを、squidのssl-dumpで使うことってできるんでしょうか。
これができたら、ブラウザにオレオレルートの登録が不要になると思うので、
便利だと思ったんですが。

[375 名無しさん＠お腹いっぱい。 2016/03/09(水) 08:31:13.69 0]

>>374
ssl-dumpの場合、信頼されたCA証明書で動的にSSL証明書が発行されないとダメだし、LetsEncryptではCA証明書が払い出されるわけでは無いから無理じゃね。

[376 名無しさん＠お腹いっぱい。 2016/03/09(水) 10:52:24.19 0]

>>375
レスありがとうございます。

ssl-bumpだと動的に作成した証明書を「自分でその都度、署名して自己証明書を新たに作成」しているってことですか。
ssl-bumpの設定段階には、さきにオレオレ証明書を作成することになっています。
そして、おっしゃるとおり、動作中は接続先サーバのドメインに応じて矛盾しない証明書を動的に作成するらしいです。
だとしたら、どうして、最初にオレオレ証明書を準備したんでしょうか。

自己証明の代わりに、Let's Encryptがその都度、署名してくれればいいんだけどなあ。
そういうスクリプトが提供されているのではないのか。

[377 名無しさん＠お腹いっぱい。 2016/03/09(水) 12:09:40.83 0]

その「オレオレ証明書」がCA証明書で、サーバ証明書を発行するのに使われる
ということだろう？
「どうして」って、サーバ証明書を生成するのに必要だから作ることになっている

つーか、「LEがその都度署名」って、自分が管理しているわけでもないドメインも対象なんだろう？
そんなん無理筋過ぎる

[378 名無しさん＠お腹いっぱい。 2016/03/09(水) 20:25:21.05 0]

>>377
ちょっと、おれおれ証明書と、おれおれ認証局とを混同したように書いてしてしまっていた。

おれおれ証明書は、おれおれ認証局によって署名されたものという認識で合うかな。

ところで、squidの組織がルートの通った認証局を構築してくれればいいのかな？
googleあたりがそういうのをやってくれないかな？

[379 名無しさん＠お腹いっぱい。 2016/03/09(水) 20:26:03.22 0]

自分で作ればええやん

[380 名無しさん＠お腹いっぱい。 2016/03/09(水) 21:17:54.39 0]

とりあえずスレチになってきたので、続きはメモ帳に書いて保存せずに終了しとけ

[381 名無しさん＠お腹いっぱい。 2016/03/09(水) 23:03:18.86 0]

>>378
そんな証明書出すCAは瞬く間にCA証明書がブラウザから削除される
さようなら

[382 名無しさん＠お腹いっぱい。 2016/03/09(水) 23:07:41.47 0]

ここで証明書もらって手元のサイトSSL化してみたら
スマホもPCも問題なくSSLになって喜んでたら
ウィルコムとauのガラケーだと証明書エラーで開けんかった…orz
ガラケーは諦めるか
sslのテストでA評価もらえるように設定したのでXPの古いIEも捨ててしまってるし

[383 名無しさん＠お腹いっぱい。 2016/03/09(水) 23:28:11.07 0]

ガラケーはちょっと古いとSHA2にすら対応できんから、もう見捨てるしかあるまいて

[384 名無しさん＠お腹いっぱい。 2016/03/09(水) 23:37:11.50 0]

Let's Encryptの証明書はSHA-256なので古いガラケーだとエラーになる
他のCAも今後新規発行はSHA-256強制となるから同様にガラケーではエラー

[385 名無しさん＠お腹いっぱい。 2016/03/10(木) 00:10:31.50 0]

>>382
>ここで証明書もらって

これって、正しく言ったら、
自分で作成した公開鍵と自分情報に、ここで署名してもらって、証明書を作成してもらった。

ここで電子署名されるのは、公開鍵＋秘密鍵のハッシュ値？
それとも、公開鍵＋秘密鍵のハッシュ値＋自分情報？

[386 名無しさん＠お腹いっぱい。 2016/03/10(木) 01:39:09.26 0]

>>385
> ここで電子署名されるのは、公開鍵＋秘密鍵のハッシュ値？
> それとも、公開鍵＋秘密鍵のハッシュ値＋自分情報？

両方不正解
認証局に送信されて電子署名されるのは公開鍵とCSRだけで、秘密鍵も秘密鍵のハッシュも認証局には送信されない
https://letsencrypt.jp/faq/#SecretKey

電子署名にはCAの秘密鍵が使われる（お前の公開鍵などをCAの秘密鍵で暗号化するのが署名）ので、電子署名作業はLet's Encryptのサーバでやる

電子署名後のデータ（お前が作成した公開鍵をCAの秘密鍵で暗号化したデータ）を
ユーザーのブラウザがCAの「公開鍵」で復号できたら正しい署名だとみなされる
何故ならば、CAの秘密鍵で暗号化したデータは対応するCAの公開鍵でしか復号できないわけで
CAの公開鍵で複合できたということはCAの秘密鍵で暗号化されたということになる　＝　正規のCAによるデジタル署名ということになる

[387 名無しさん＠お腹いっぱい。 2016/03/11(金) 14:08:19.28 0]

ガラケーはもうほとんど使い物にならなくなってるから無視していいだろ

[388 名無しさん＠お腹いっぱい。 2016/03/12(土) 15:14:11.00 0]

いい加減このスレでSSL勉強会するのやめーや

[389 名無しさん＠お腹いっぱい。 2016/03/12(土) 17:11:34.21 0]

>>388
何の問題もないっしょ
1日1レスあるかどうか分からんような過疎スレなんだから

そうやって初心者排除していると、ただでさえ居ない人が更にいなくなって
便所の落書きどころか、廃墟の建物の壁の落書きになってしまうｗ

[390 名無しさん＠お腹いっぱい。 2016/03/12(土) 17:32:28.77 0]

さあ、暗号化しよう！っていうスレなんだから
SSLに初めて手を出す人も多いでしょ

[391 名無しさん＠お腹いっぱい。 2016/03/12(土) 17:41:25.87 0]

そういう人は、横着せずにちゃんと勉強しようね
ってことだろ

[392 名無しさん＠お腹いっぱい。 2016/03/12(土) 17:46:21.43 0]

Wikiでも作りますかね？
解説というより解説サイトの紹介みたいな感じで

[393 名無しさん＠お腹いっぱい。 2016/03/12(土) 18:24:37.84 0]

>>389
どうでもいいけどこのスレの勢いは3.8だ

[394 名無しさん＠お腹いっぱい。 2016/03/12(土) 19:50:36.26 0]

証明書周りは「オレオレ認証局」とか「自己認証局」でググって色んなサイトを熟読すれば
うわべ位わかるようになるだろうに。
仮想マシンでアレコレやって「証明書はこうやって作られる」とまで自分自身で
学習できないようならこのスレ来ても意味ないと思われる。

[395 名無しさん＠お腹いっぱい。 2016/03/12(土) 19:57:24.60 0]

SSLのことよーわからんけど
テキトーにletsencrypt-autoコマンド叩いたら
いつのまにか証明書類が出来上がってて
ググって出てきたのをパクってテキトーにnginxに設定したら
自分のサイトがhttpsでアクセスできるようになっていて
すごいなぁと思った

細かいこと知ってなくてもコンセプト通り誰でも気軽にSSLできるね

[396 名無しさん＠お腹いっぱい。 2016/03/13(日) 14:34:14.97 0]

Let's Encrypt で証明書を取得したドメインに対して
Netcraft を名乗る bot から集中的にSSL接続が来た

本当にあの Netcraft の調査なのか、偽者なのかはわからんが
とりあえずブロックしといた

[397 名無しさん＠お腹いっぱい。 2016/03/14(月) 13:35:12.12 0]

>>386
>認証局に送信されて電子署名されるのは公開鍵とCSRだけで、秘密鍵も秘密鍵のハッシュも認証局には送信されない

レスありがとう。

秘密鍵のハッシュもいっしょに、oreore認証局に渡されるって記事を、
WEBの記事で見たんだよなあ。ずっとさがしているけど、その記事が見つからない・・・

[398 名無しさん＠お腹いっぱい。 2016/03/14(月) 19:41:52.03 0]

脳内乙

[399 名無しさん＠お腹いっぱい。 2016/03/14(月) 22:01:58.97 0]

>認証局に送信されて電子署名されるのは公開鍵とCSRだけで、秘密鍵も秘密鍵のハッシュも認証局には送信されない
この下りは解釈の仕方だろうけど、認証局に送られて署名されるのは CSR (署名要求証明書) だけでしょ。
もちろん CSR の中には公開鍵の情報も含まれているから間違いでは無いような気もするけど誤解されそう。

[400 名無しさん＠お腹いっぱい。 2016/03/15(火) 00:44:42.69 0]

>>399
> CSR (署名要求証明書)

まぁ、解釈の仕方で技術的な話ではないけど、CSR は Certificate Signing Request つまり署名要求なわけで、
「この公開鍵に署名してくださいねー」と認証局に送るための署名要求、つまり手紙のようなもの

で、認証局がやるのは、公開鍵に署名してその公開鍵がそのドメインに属することを証明することなんだから、
「認証局に送られて署名されるのは『公開鍵』」という説明が分かりやすくて合理的なのでは？

CSRは署名してください、っていう手紙に過ぎない

[401 名無しさん＠お腹いっぱい。 2016/03/15(火) 01:10:55.18 0]

そりゃCSRに署名だったらCN以外もCSR通りに署名してくれるだろw

[402 名無しさん＠お腹いっぱい。 2016/03/15(火) 01:17:36.89 0]

>>400
CSR (署名要求証明書) ってかいた括弧の中がおかしかった。これは訂正。

言っていることは分かるし伝わる。結果として署名された公開鍵がくるわけだしね。否定する所も無い。
つまり、考え方、合理性の求め方が人それぞれ色々あるんだなと感じた。
もっとも俺がおかしいだけなのかも知れないがｗ

[403 名無しさん＠お腹いっぱい。 2016/03/15(火) 16:35:36.26 0]

>>399
CSR（含む公開鍵）が認証局に送られるけど、署名されるのは公開鍵だけっしょ

例えば、Let's EncryptのCAに下記のCSRを送ったとする

コモンネーム: 2cher-no-oresama.jp
組織名: 2cher Co LTE
部門名: BBS Service
市区町村名: Tubo-City
都道府県名: Osaka
国別番号: JP
公開鍵: 公開鍵情報グダグダと長文で列挙

すると、Let'sのCAはCSRの組織名・部門名・市区町村名・都道府県名・国別番号を全部無視（削除）して証明書を発行する
何故ならば、単なるDV証明書でドメイン名しか認証できないのでコモンネーム以外は無視・削除する（ジオトラストとかのDV証明書も同様）

ってことで、CAが署名するのはサーバの公開鍵だけだ
もしCSR全体を署名するとするならば、CSRの記載事項（組織名とか部門名）を認証局が改ざんできないことになるけど、
実際には認証局が勝手に変更したり認証していない項目を削除したりする

[404 名無しさん＠お腹いっぱい。 2016/03/15(火) 18:50:46.72 0]

CSR に署名って言うは俺の言葉足らずだったので訂正及び謝罪はしておく。

CSR に含まれる「公開鍵」に対し、DV 認証且つマルチドメイン対応だから CN 及び SAN の値以外を削除して署名する。
ということで。

大元に >>399 で俺が書いた引用部分
>認証局に送信されて電子署名されるのは公開鍵とCSRだけで
この部分への違和感は「署名されるのは公開鍵と CSR だけ」にあって、公開鍵は CSR に含まれるから
送信されるのは CSR だけでそこに含まれる公開鍵にのみ署名される
という事になる。

[405 名無しさん＠お腹いっぱい。 2016/03/16(水) 17:07:29.78 0]

もうわかったから何度も同じこと繰り返し書かなくていいよ
続きはPKI勉強会スレでも立ててそっちでやってくれ

[406 名無しさん＠お腹いっぱい。 2016/03/21(月) 12:59:37.25 0]

>>405 が怖いから、もう5日もレス無しじゃないか……

誰でもみんな最初は初心者なんだから、多めに見てあげてください

[407 名無しさん＠お腹いっぱい。 2016/03/21(月) 13:44:13.46 0]

それが正常なスレの状態だ
スレ違いは他所でやれ

[408 名無しさん＠お腹いっぱい。 2016/03/21(月) 23:04:08.48 0]

基本的なことですみませんが証明書の透明性について、
よく分かってないので質問させてください。
Google ChromeのURLの隣の鍵マークをクリックして接続タブをクリックすると、
「証明書の透明性に関する情報はサーバーから提供されませんでした。」
と表示されるんですが、解決策をぐぐるとApacheの場合はmod_ssl_ct、
nginxの場合はnginx-ctを組み込む解決策が出てくるんですが、
これは通常webサーバーのほうで対応する問題なんでしょうか？
http://news.valuessl.net/?p=1418
こういう有料のところのを見てみると証明書発行側で対応しているように見えるのですが。

[409 名無しさん＠お腹いっぱい。 2016/03/21(月) 23:16:05.58 0]

それはDV証明書以外なら出る
つまりそのサイトを作った奴が信用できるかってことだからLet's Encryptの管轄じゃない

[410 名無しさん＠お腹いっぱい。 2016/03/21(月) 23:36:53.62 0]

>>409
OV証明書やEV証明書なら出ないということですかね？
ということは、webサーバー側でモジュール組み込んだりして
対応しているのは本来の解決法ではないんですね。

[411 名無しさん＠お腹いっぱい。 2016/03/22(火) 01:15:25.14 0]

>>408
SCTのdelivery方法は3種類ある
1) CAが証明書にSCTを埋め込む(X.509v3 extension)
これならweb serverに特に何か設定する必要はない。有料証明書のCT対応は基本これ
だがLEは証明書にSCTを埋め込んでない(し、そうする予定はないと明言)
2) web serverのTLS extension
つまりmod_ssl_ctやnginx-ct
なおLEはCT Log serverにsubmitはしてるから、ct-submitは必要ない
3) OCSP stapling
CAが対応しないとNGで、LEはいずれ対応するかも知れないが現状まだ

>>409
色々間違いすぎで知識が古い

[412 名無しさん＠お腹いっぱい。 2016/03/22(火) 01:45:06.74 0]

>>411
分かりやすく説明ありがとうございました。
説明のおかげで解決策に納得できました。
現状では2)でしか対応できないということですね。

[413 名無しさん＠お腹いっぱい。 2016/03/22(火) 08:16:25.54 0]

>>411
こういうのってどこで覚えるのか、素直に教えてほしい

[414 名無しさん＠お腹いっぱい。 2016/03/22(火) 11:15:07.25 0]

TLSサーバからクライアントにSCTを渡す方法は規格上は3つある

�@ TLSサーバ証明書のemvedSCT拡張に含める
�A TLSハンドシェイクのsigned_certificate_timestamp型TLS拡張に含める
�B TLSハンドシェイクのstatus型TLS拡張のOOSP staplingに含める

ググったところ、実際に対応実装があるのは �@ のみ（それも対応ブラウザは Google ChromeだけI)で、
それ以外の方法は実装例がないそうだけど、�Aや�Bに対応している環境はあるのか？

[415 名無しさん＠お腹いっぱい。 2016/03/22(火) 12:07:34.49 0]

Chromeは2対応してる。確認済み。3はシラネ

[416 414 2016/03/22(火) 12:12:26.37 0]

>>415
貴重な情報サンクス
このスレにも神（本物のエンジニア）が居たようだ。。。

[417 名無しさん＠お腹いっぱい。 2016/03/23(水) 16:38:16.82 0]

Let's Encrypt の話じゃないが、無料SSLの StartSSL にドメイン認証不備の脆弱性があったようだ
http://blog.tokumaru.org/2016/03/startssl.html

証明書取得時のWebフォームで、認証用メールアドレスのパラメーター（下記のDOM）を書き換えることで、
任意のメールアドレスでの認証が可能だったとのこと。

<input name=

[418 名無しさん＠お腹いっぱい。 2016/03/23(水) 16:38:53.53 0]

（2chの不具合で投稿が途中で切れたので続き）

<input name="ValidateEmails" type="radio" value="[e-mail]">

こういうWebアプリケーション製作の入門書にも載っているような低レベルな脆弱性があるとか、StartSSL は信用できん
やっぱ90日ごとの更新が面倒でも Let's Encryptの方がいいね

[419 名無しさん＠お腹いっぱい。 2016/03/23(水) 21:31:47.02 0]

Let's Encrypt が面倒なのは最初だけ。
自動更新するようにシェル書いたらあと放置。

[420 名無しさん＠お腹いっぱい。 2016/03/23(水) 22:26:49.34 0]

最初の手順も、そこらのに比べれば楽だと思う。

[421 名無しさん＠お腹いっぱい。 2016/03/25(金) 03:07:50.27 0]

>>418
クライアントから送られてくるデータを信用してはいけないと、
教科書に書いてありますね。

[422 名無しさん＠お腹いっぱい。 2016/03/25(金) 21:02:38.02 0]

>>421
残業だらけで寝不足になってくるとセキュアなコーディングなんて心がける余裕はなくなってくるんだよ

時間が無いと、オブジェクト指向どころか、関数にすべきところをコピペして一部編集してコーディング、
ググって適当にでてきたコードをよく読まずに無理やりつなぎあわせて、エラーが出た場所だけとりあえず修正して間に合わせ
とにかく急いで完成させるようになるの

勿論、プロなのでできる限り穴がないようにするが、ところどころ抜けるのはやむを得ない
睡眠不足で過労死するよりはマシだろう


一番のWebアプリケーションの脆弱性対策は、教育ではなく労働環境の改善だと思う
セキュアなコーディングのやり方をプログラマーが知らないのではなく、それに気を配る時間がないというのが現実

[423 422 2016/03/25(金) 21:04:57.01 0]

その点、非営利で趣味でやっているようなオープンソースのフリーソフトってのは
「美しいコード」「オブジェクト指向」「セキュアなコーディング」といった作者が拘りたいところに
時間を気にせずとことん拘れるから、場合によってはプロよりも良い物ができる

寝不足の中納期に無理やり間に合わせるような雑なコードとは違って、趣味のプログラミングなら
自分のやりたいペースでできるからね

[424 名無しさん＠お腹いっぱい。 2016/03/25(金) 21:34:39.75 0]

おいスレタイ

[425 名無しさん＠お腹いっぱい。 2016/03/31(木) 23:33:18.91 0]

βなのにトラブルとか全然なくてスレが盛り上がらない模様

[426 名無しさん＠お腹いっぱい。 2016/04/01(金) 12:17:41.78 0]

いいことだ

[427 名無しさん＠お腹いっぱい。 2016/04/01(金) 12:47:27.45 0]

仕込んでた自動更新スクリプトが無事勝手に更新して反映してくれていた事を確認出来たのでもう放置ですわ。

[428 名無しさん＠お腹いっぱい。 2016/04/03(日) 20:48:36.40 0]

これ、期限の何日前になったらメール送られてくるのかねー
スクリプトで回すから、一ヶ月毎に強制的に更新してればメール来ないんだろうけど

[429 名無しさん＠お腹いっぱい。 2016/04/03(日) 22:52:01.98 0]

>>428
19日前と9日前にメール届いてる

[430 名無しさん＠お腹いっぱい。 2016/04/03(日) 23:55:55.83 0]

>>429
なるほど
やっぱり隔月で更新でちょうどいい感じなのね
ありがと

[431 名無しさん＠お腹いっぱい。 2016/04/05(火) 07:50:15.87 0]

0日前（1日未満）メールも届いた！

[432 名無しさん＠お腹いっぱい。 2016/04/05(火) 07:56:49.16 0]

最後通牒だぬｗ

[433 名無しさん＠お腹いっぱい。 2016/04/15(金) 22:39:46.28 0]

Windows10 + xamppで導入してみようと思ってletsencrypt.exeを落としてきて実行したんですが、

Which host do you want to get a certificate for: m
Enter a host name: hogehoge.com
Enter a site path (the web root of the host for http authentication): d:\DATA\htdocs
System.ArgumentNullException: 値を Null にすることはできません。
パラメーター名:collection
場所 System.Collections.Generic.List`1..ctor(IEnumerable`1 collection)
場所 LetsEncrypt.ACME.Simple.ManualPlugin.HandleMenuResponse(String response, List`1 targets)
場所 LetsEncrypt.ACME.Simple.Program.Main(String[] args)
Press enter to continue.

とエラーとなってしまいます。どなたか解決策が分かる方はいらっしゃるでしょうか？

[434 名無しさん＠お腹いっぱい。 2016/04/15(金) 22:58:51.13 0]

>>396
同じ事が起こった
一つ上のドメインにはアクセス来ないのに、
存在してないサブドメインに対するアクセスがあるね
とりあえず418返してるけど

[435 名無しさん＠お腹いっぱい。 2016/04/15(金) 23:21:57.68 0]

>>433
Windows以外の環境で証明書作る
わざわざやりづらいWinでやる必要はない

[436 名無しさん＠お腹いっぱい。 2016/04/15(金) 23:35:04.04 0]

>>434
毒入れ？

[437 名無しさん＠お腹いっぱい。 2016/04/16(土) 00:05:37.62 0]

>>436
なんか狙われてるって？(笑)

[438 名無しさん＠お腹いっぱい。 2016/04/16(土) 02:18:15.04 0]

>>434
418で草

[439 名無しさん＠お腹いっぱい。 2016/04/16(土) 03:15:01.02 0]

ステータスコード 418 I'm a teapot のページ探してみたらあった

https://www.google.com/teapot

てっきり無効なステータスコードとしてエラーになるかと思ったら、
RFCで定義されたステータスコードだけあって、ちゃんと主要ブラウザでエラーにならず問題なく閲覧できるんだね

[440 名無しさん＠お腹いっぱい。 2016/04/16(土) 14:03:42.05 0]

てか大半のブラウザは不明なステータスコードとしてスルーしているだけだと思う
一部IEとかで404の時ブラウザ独自のエラー画面出すことがあるっぽいけど
普通は404でも403でも500でも何でもとりあえずサーバーから返されたHTML表示してるし

[441 名無しさん＠お腹いっぱい。 2016/04/18(月) 19:02:54.08 0]

ベータ取れて正式版になったようだね

https://letsencrypt.jp/blog/2016-04-12.html

http://gigazine.net/news/20160413-lets-encrypt/

[442 名無しさん＠お腹いっぱい。 2016/04/25(月) 02:35:42.29 0]

2月の初めごろに証明書とった香具師、そろそろ更新の時期だから忘れずに更新しような！

[443 名無しさん＠お腹いっぱい。 2016/04/25(月) 09:17:39.41 0]

ふつうに注意喚起のメール飛んでくるから、そういうのいらんです

[444 名無しさん＠お腹いっぱい。 2016/04/25(月) 09:18:49.83 0]

あって困ることはない

[445 名無しさん＠お腹いっぱい。 2016/04/25(月) 10:06:36.81 0]

２回目の取得は自動スクリプトがちゃんと動いてるかどうかの確認に使うのがいい

[446 名無しさん＠お腹いっぱい。 2016/04/25(月) 10:48:07.67 0]

俺なんかスクリプトの記述を数文字間違えて、4日で更新しちまった事があるぜぃ

-ne と != は違うから気を付けような！(笑)

[447 名無しさん＠お腹いっぱい。 2016/04/27(水) 18:00:16.35 0]

!rrbuild:age

[448 名無しさん＠お腹いっぱい。 転載ダメ©2ch.net 2016/04/27(水) 18:00:30.56 0]

---

板復帰(NG!:Gather .dat file OK:NOT moving DAT 592 -> 592:Get subject.txt OK:Check subject.txt 592 -> 592:fukki NG!)1.15, 1.04, 1.00
age Maybe not broken

[449 名無しさん＠お腹いっぱい。 2016/05/08(日) 23:53:04.44 0]

証明書取得記念上げ

[450 集ストテク犯被害者必見！ 2016/05/09(月) 05:39:39.70 0]

[拡散希望！]
参考になりそうなURL送っておきます
電磁波による拷問と性犯罪
http://denjiha.main.jp/higai/archives/category/%E6%9C%AA%E5%88%86%E9%A1%9E
公共問題市民調査委員会
http://masaru-kunimoto.com/
この方たちは集団訴訟の会を立ち上げてマスコミに記事にしてもらう事を目的に集団訴訟を被害者でしようという試みを持っている方達です
訴訟は50人集めてしようという事なのですが50人で訴訟をすると記事に書けるそうです
記事には原発問題を取り上げてテク犯被害を受ける様になった大沼安史さんらが取り上げて下さるそうです
大沼安史さんがテク犯に遭っているという記事
http://ameblo.jp/hilooooooooooooo/entry-11526674165.html
大沼安史の個人新聞
http://onuma.cocolog-nifty.com/blog1/4/index.html
この方たちは電話相談等も受け付けている様で電話番号を載せている方達は電話かけ放題の契約をしていますのでこちらから電話して本人にかけ直してくれと頼むとかけ直してくれます
音声送信被害等を受けている「電磁波による拷問と性犯罪」の記事の水上さんは年金暮らしなので時間には余裕があるそうで宗教等に付随する集団ストーカー等の被害内容の話も聞いて下さいます
もう一人の電磁波犯罪には遭っていない国本さんという方は電磁波犯罪をしっかり理解されている方で年金暮らしの方なので長電話も大丈夫です
大沼さんはこちらのページからメールを受け付けておられる様です
http://onuma.cocolog-nifty.com/about.html
電話をかけたい場合は人によってはメールで電話番号を訊くと教えてくれると思います
この文章を見られた方は全文コピーをしてできるだけ多くの知り合いの被害者の方等にメールを送るなり被害者ブログに書き込むなりしていただければ大変有難いです
もし大勢の方に送る事が出来なければまだこの文章に触れていない知り合いの被害者に少しでも全文コピーで送っていただけるとその方が次の何人かの方に繋いで頂ける場合があり結果として大勢の方に見て頂く事が出来るはずです
ご協力よろしくお願い致します 👀
Rock54: Caution(BBR-MD5:f70dfdc711a7c6ae6accccb939f27fbf)

[451 名無しさん＠お腹いっぱい。 2016/05/09(月) 20:06:24.10 0]

おせわになてる
https://twitter.com/kohnosuke/status/686895442739634177

[452 名無しさん＠お腹いっぱい。 2016/05/11(水) 02:21:24.12 0]

Windowsで"sudo" is not availableってエラーが出るんだけど

[453 名無しさん＠お腹いっぱい。 2016/05/11(水) 07:27:16.99 0]

草

[454 名無しさん＠お腹いっぱい。 2016/05/11(水) 11:23:30.66 0]

sudoいらんだろうけど、その後ろのコマンドは何を動かそうとしてんの？
Windowsでやったことないけど、↓これ使ったら
https://github.com/Lone-Coder/letsencrypt-win-simple/releases

[455 名無しさん＠お腹いっぱい。 2016/05/11(水) 11:33:39.33 0]

あーあとSolarisの人はOpenCSWでいける

[456 名無しさん＠お腹いっぱい。 2016/05/11(水) 15:27:54.09 0]

☆ 総務省の、『憲法改正国民投票法』、でググってみてください。☆
日本国民の皆様方、2016年7月の『第24回 参議院選挙』で、日本人の悲願である
改憲の成就が決まります。皆様方、必ず投票に自ら足を運んでください。お願い致します。

[457 名無しさん＠お腹いっぱい。 2016/05/28(土) 12:54:37.67 0]

公式のスクリプトって毎日更新されるね
日によっては複数回

[458 名無しさん＠お腹いっぱい。 2016/06/04(土) 01:51:08.99 0]

日本語ドメイン登録しようとしたらエラー出るんだけど、どうすればいいの？

[459 名無しさん＠お腹いっぱい。 2016/06/04(土) 02:04:04.80 0]

別の蔵使ってみる

[460 名無しさん＠お腹いっぱい。 2016/06/05(日) 13:42:01.62 0]

OCSP stampingしたいときはどれを指定すればええんじゃ？

[461 名無しさん＠お腹いっぱい。 2016/06/05(日) 13:53:06.81 0]

X3に署名されてるけどこれ用の証明書が見つからん

[462 名無しさん＠お腹いっぱい。 2016/06/05(日) 14:29:12.29 0]

でけた
>>460-461は気にしないで

[463 名無しさん＠お腹いっぱい。 2016/06/10(金) 16:10:21.33 0]

みなさんどんな感じ？
https://www.ssllabs.com/ssltest/

[464 名無しさん＠お腹いっぱい。 2016/06/10(金) 21:45:22.95 0]

>>463
A+

[465 名無しさん＠お腹いっぱい。 2016/06/10(金) 23:24:57.91 0]

自分専用だーってセキュリティをガチガチにやりすぎると、
おかしな挙動として判定されてテストが完走できないｗ

[466 名無しさん＠お腹いっぱい。 2016/06/10(金) 23:34:56.25 0]

完走出来ないってそれって設定ぽしゃってるんじゃなくて?ｗ

[467 名無しさん＠お腹いっぱい。 2016/06/10(金) 23:40:50.98 0]

どうなんだろ
まず認証かけてて、一定回数以内にパスしないだけでFWでシャットアウトだから…
たまに自分も締め出されるｗｗｗ

[468 名無しさん＠お腹いっぱい。 2016/06/10(金) 23:52:00.28 0]

そら完走するわけがない

[469 名無しさん＠お腹いっぱい。 2016/06/11(土) 00:15:29.12 0]

Let's Encrypt の話じゃないけど、apacheの設定もっと簡単に出来るようにならないかなぁ

confに許可する暗号と許可しない
暗号をずらずらかくと長たらしくてしょうがない

[470 名無しさん＠お腹いっぱい。 2016/06/11(土) 00:24:48.39 0]

SSLProtocol all -SSLv2 -SSLv3
SSLCipherSuite HIGH:!aNULL:!eNULL:!MD5
SSLHonorCipherOrder on

これで十分やろ

[471 名無しさん＠お腹いっぱい。 2016/06/11(土) 00:30:03.05 0]

こんなのがあるんですな
https://mozilla.github.io/server-side-tls/ssl-config-generator/

[472 名無しさん＠お腹いっぱい。 2016/06/11(土) 03:44:27.84 0]

まあ、暗号化スイート列挙したりすると、
confの見た目が汚くてなって直感的になに書いてあるか把握しにくい
というのはわかる
そこは自動生成したものを使うのでコピペではあるのだけれど

[473 名無しさん＠お腹いっぱい。 2016/06/11(土) 11:11:56.71 0]

うちはsslの設定部分だけをどこかに書いておいてconfからそれをincludeしてる

[474 名無しさん＠お腹いっぱい。 2016/06/11(土) 11:25:51.42 0]

何このメール

[475 名無しさん＠お腹いっぱい。 2016/06/11(土) 11:27:40.39 0]

書くところミスったんかな？
メールアドレスがアホみたいに大量に書いてある

[476 名無しさん＠お腹いっぱい。 2016/06/11(土) 11:39:59.27 0]

俺のメアドもあったな
こりゃオペミスで全アドレス流出ですかねwe've

[477 名無しさん＠お腹いっぱい。 2016/06/11(土) 11:40:22.44 0]

we'veじゃなくてｗ・・・
余計な補完しなくていいのに

[478 名無しさん＠お腹いっぱい。 2016/06/11(土) 11:45:20.30 0]

なかなかやばいな
俺は晒されても問題ないアドレスでしか登録しないから別にいいけど

[479 名無しさん＠お腹いっぱい。 2016/06/11(土) 13:04:05.46 0]

今までlet's encryptからメール来たことないんだけど…
証明書の期限1日前まで放置しててもお知らせメールとかなかったし
今回のお漏らしメールも来てないし

[480 名無しさん＠お腹いっぱい。 2016/06/11(土) 13:17:03.62 0]

おま環

[481 名無しさん＠お腹いっぱい。 2016/06/11(土) 17:00:10.22 0]

これみたいですね
https://community.letsencrypt.org/t/email-address-disclosures-preliminary-report-june-11-2016/16867
前代未聞というか、だいぶまずい気がするけどどう対応するんだろう

[482 名無しさん＠お腹いっぱい。 2016/06/11(土) 17:47:20.18 0]

対応のしようがないだろ
どうするってんだ？

[483 名無しさん＠お腹いっぱい。 2016/06/11(土) 17:54:12.47 0]

ac.jpなんかで作るなよ

[484 名無しさん＠お腹いっぱい。 2016/06/11(土) 17:57:01.30 0]

俺のもぎりぎり入ってるんだなあ
別に問題はないけどどうするのかは気になる

[485 名無しさん＠お腹いっぱい。 2016/06/11(土) 18:15:36.50 0]

手違い自体はまずいだろうが……。

SSL証明書なんだからドメインはだいたい公知、
ローカルパートは postmaster とか info とかその手のものなんじゃないの、普通。

[486 名無しさん＠お腹いっぱい。 2016/06/11(土) 18:18:29.65 0]

手違いじゃなくてバグだってさ
途中で止めたから7200件くらい漏れたとか

[487 名無しさん＠お腹いっぱい。 2016/06/14(火) 06:44:42.11 0]

ここから漏れるとは想定してなかったわ。
どうやってアドレス変更するんだ。

[488 名無しさん＠お腹いっぱい。 2016/06/14(火) 08:00:54.79 0]

スレチ

[489 名無しさん＠お腹いっぱい。 2016/06/14(火) 08:16:30.03 0]

適当なgmailを取ってた俺が勝ち栗

[490 名無しさん＠お腹いっぱい。 2016/06/14(火) 09:42:13.87 0]

10minutemail使ってたから無問題

[491 名無しさん＠お腹いっぱい。 2016/06/14(火) 09:42:52.40 0]

>>490
むしろそれは問題だ

[492 名無しさん＠お腹いっぱい。 2016/06/14(火) 09:51:54.50 0]

>>491
期限過ぎても仕様書が上がってこなかったせいで、程なくして企画ごとなくなったからへーきへーき

[493 名無しさん＠お腹いっぱい。 2016/06/14(火) 10:40:48.35 0]

>>463
Ｆ

sudo yum update openssll 実行して sudo service httpd restart したら A+ になったわ

OpenVZのVPSだから、全体的にyum updateできないのよね

助かったわー n ∧＿∧
　 　 (ﾖ（´∀｀　） Thanks!
　 　 　Y 　　　つ

[494 名無しさん＠お腹いっぱい。 2016/06/14(火) 10:43:38.41 0]

うちはA+だなあ
どのドメインをメインにしてどれをSNIにするか選べないのかしら

[495 名無しさん＠お腹いっぱい。 2016/06/14(火) 11:46:14.77 0]

HSTSを有効にしなければAが限界
HSTSを有効にすれば多分A+になる

[496 名無しさん＠お腹いっぱい。 2016/06/14(火) 11:52:01.89 0]

有効にしないメリットって？

[497 名無しさん＠お腹いっぱい。 2016/06/14(火) 12:26:43.19 0]

>>496
httpとhttpsで違うものが表示されるようにしてたらHSTSで酷い目にあったことならある。
今では反省してる

[498 名無しさん＠お腹いっぱい。 2016/06/14(火) 12:27:58.91 0]

リダイレクトしとけよ・・・

[499 名無しさん＠お腹いっぱい。 2016/06/14(火) 12:36:16.68 0]

期限切れ直前のドメインにアホみたいに長い時間指定したら嫌がらせできそうだな

[500 名無しさん＠お腹いっぱい。 2016/06/14(火) 13:08:54.28 0]

してどうすんの？

[501 名無しさん＠お腹いっぱい。 2016/06/14(火) 13:09:36.31 0]

別のサイトが使った時にhttpで繋いでくれなくなる

[502 名無しさん＠お腹いっぱい。 2016/06/14(火) 13:45:46.12 0]

捨てるようなドメインにアクセスしてるヤツなんていない

[503 名無しさん＠お腹いっぱい。 2016/06/14(火) 13:49:40.63 0]

アフィサイトとかが失効したドメイン買い漁ってるじゃん
それに嫌がらせできる

[504 名無しさん＠お腹いっぱい。 2016/06/14(火) 14:51:31.13 0]

>>503
そうそうそう言うこと
良さげなドメインゲット！→接続来ない(；´Д｀)

[505 名無しさん＠お腹いっぱい。 2016/06/14(火) 15:06:19.00 0]

ただ単にHSTS設定しても失効する前にアクセスしたブラウザにしか効果ない
現役時代のアクセス層と跡地のアフィサイトのアクセス層が被る可能性は低い

ってことでpreload HSTSに登録しよう
そしたら全世界のChromeやFirefoxに効く

[506 名無しさん＠お腹いっぱい。 2016/06/14(火) 18:57:11.04 0]

preload は全てのサブドメインを HTTPS にするのが面倒くさいから放置してる俺。

[507 名無しさん＠お腹いっぱい。 2016/06/16(木) 19:38:53.35 0]

HSTSにしちゃうと、部分的にHTTPなページ作れなくなるじゃん？

月極広告の広告主がリファラ取りたいと言ってきたときとか（HTTPS→HTTPはIEだと飛ばない）、
A8.net とかのSSL非対応のASP使いたいときとかに困る

結構リスク高いのでHSTSには慎重になった方がいいと思う、もちろんセキュリティ上は重要なんだけどね

[508 名無しさん＠お腹いっぱい。 2016/06/16(木) 19:46:51.55 0]

いつでもやめられるでしょ
時間0に設定すればいいだけ
アクセスするたびに時間更新されるしあくせすしないならそいつは相手する必要ないんだし

[509 名無しさん＠お腹いっぱい。 2016/06/17(金) 17:29:20.70 0]

スラドでも記事になった模様

【Let's Encrypt、ほかのユーザーのメールアドレスを記載したメールをユーザーに送信】
http://security.srad.jp/story/16/06/16/0626258/

[510 名無しさん＠お腹いっぱい。 2016/06/17(金) 17:57:54.07 0]

まぁメールアドレスをミスで漏えいさせたぐらいでたたくまくるのもかわいそうな気がする

どっかの馬鹿CAみたいに秘密鍵漏えいさせたわけじゃないんだしｗ

[511 名無しさん＠お腹いっぱい。 2016/06/17(金) 18:04:32.52 0]

http://tdrparkbgm.web.fc2.com/index.html

[512 名無しさん＠お腹いっぱい。 2016/06/17(金) 18:15:44.25 0]

>>511 はスパム行為 (Let's Encryptに無関係なサイト)
クリックせずにスルーよろ

[513 名無しさん＠お腹いっぱい。 2016/06/17(金) 18:47:33.18 0]

>>511
「東京ディズニーリゾートの音楽情報サイト|Tokyo Disney Resort PARK BGM Lists」
明らかに全く無関係

>>512
ただ単にクリックせず〜って言われると本当に関係ないのか逆に気になっちゃうじゃないかｗ

[514 名無しさん＠お腹いっぱい。 2016/07/01(金) 14:53:46.96 0]

エックスサーバー、レンタルサーバー全プランで「Let's Encrypt」の無料SSL証明書が利用可能に
ttp://internet.watch.impress.co.jp/docs/news/1008164.html

> 今回の機能追加により、利用者はサーバー設定画面の
> 「SSL設定」から手軽にLet's Encryptの証明書を申請し、
> 発行および設定までを完了させることができる。

レンタルサーバー会社で初めてってわけではないみたいだが、
SSL対応の流れは止められないだろうし、管理者権限のない
レンタルサーバーでも導入できる環境が増えていくかな。

[515 名無しさん＠お腹いっぱい。 2016/07/02(土) 21:26:18.76 0]

Let's Encryptは互換性の観点からいうとダメ過ぎる
8割対応するけど、ごく一部のアンドロイドやSHA-2に対応したニンテンドー3DS
はIdenTrustのルート証明書がないが故にエラーが出るからなぁ
たかが3DSに対応する必要はあるんかというと、結構なアクセス数なんだよなぁ

ジオトラストのルート証明書を使用するRapidSSLのような有料証明書の方が3DSも対応するし
互換性でいうとほぼ完璧だから使い分けがいいと思う

[516 名無しさん＠お腹いっぱい。 2016/07/02(土) 23:33:52.15 0]

3DS相手にするコンテンツ載っけてるヤツなんてごくごくごく一部だけだろｗ

[517 名無しさん＠お腹いっぱい。 2016/07/03(日) 00:17:05.93 0]

>>516
それがだな、ゲーム系扱ってるせいか3DSからも結構アクセスしてくる
Let's Encrypt導入して4日後New 3DSで閲覧したら「証明書が見つかりませんでした」とエラー
吐いたから調べたらそもそも対応してなかったと聞いて、SSL化は断念したわ

[518 名無しさん＠お腹いっぱい。 2016/07/03(日) 00:58:01.47 0]

対応できていない古いものは無視しろよ

[519 名無しさん＠お腹いっぱい。 2016/07/03(日) 01:05:22.52 0]

>>517
あれ？理解してもらえなかった
お前みたいなヤツは世の中的には極少数だ
だから、一般人は気にせず導入して良い

[520 名無しさん＠お腹いっぱい。 2016/07/03(日) 03:36:18.49 0]

確かに RapidSSL の方が IdenTrust より対応環境多い気がする
ただ、「有料証明書の方が対応」というのは間違いで IdenTrust は有料証明書を販売しているかなり大手の認証局

あと、高い証明書の方が対応率が高いというわけでもなくて、クレジットカード業界の3Dセキュア認証ページなんかは、
古いブラウザの対応率が下がるのを懸念して EV SSL（アドレスバー緑のやつ）じゃなくてセキュリティレベルの低いOV証明書を使い続けたりもしている

調べたら3DSはルート認証局にかなり偏りがあってしかも少なく有料でも対応していないとこも多いね
ルート証明書のアップデートも事実上行われなくて放置だし、これは任天堂が悪いとしか言いようがない

任天堂は DS / DSi で 脆弱なWEP暗号を強要して世界中のWi-Fiのセキュリティレベルを下げたりと、問題が多すぎる
はっきり言って、任天堂の問題

数年後には3DSに入っているルート証明書の有効期限があちこち切れるので、弾かれる認証局はどんどん増えてくよ、任天堂はルート証明書のアップデートの面倒も見る気なさそうだから

[521 520 2016/07/03(日) 03:38:37.46 0]

あと、ゲーム系サイト運営なら >>517 の判断は正解
3DSのゲーム攻略系サイトで、3DSのブラウザからアクセスできないとかは、ユーザビリティからして論外だろう

何よりもターゲットとなる環境でアクセスできる証明書を選ぶことが最重要
任天堂の糞ブラウザに合わせるしかない

[522 名無しさん＠お腹いっぱい。 2016/07/03(日) 03:47:21.58 0]

おまえ



さくらの長文野郎だろ！

[523 名無しさん＠お腹いっぱい。 2016/07/03(日) 11:39:02.75 0]

ゲーム系サイト見ないから単に疑問なだけなんだけど、
3DSの攻略情報をスマホやPCじゃなくて3DSで見るの？

[524 名無しさん＠お腹いっぱい。 2016/07/03(日) 12:50:58.39 0]

スマフォとか持てなかったりする子供が、って前置きじゃないの？
勿論大人も楽しむだろうけど、子供向けゲームソフトだってたくさん出てるし

[525 名無しさん＠お腹いっぱい。 2016/07/03(日) 13:18:03.98 0]

全端末対応のサイトなんてのもないでしょう
普通は切り捨てると思うけどなぁ

[526 名無しさん＠お腹いっぱい。 2016/07/03(日) 13:28:19.83 0]

>>525
ゲーム系で3DS切り捨ては有り得ない選択

（Google アナルティクスアクセス解析結果）
Chrome … 30%
Safari … 25%
IE … 10%
Android 標準ブラウザ … 8%
Nintendo 3DS Browser … 6%
Nintendo Browser … 6%
Firefox … 5%
Edge … 4%
Playstation Vita Browser … 2%
Safari (in-app) … 2%

任天堂系のブラウザが 1割以上を占めてるんだけど、これ切り捨てろと？
流石にそれは頭悪いと思う

[527 名無しさん＠お腹いっぱい。 2016/07/03(日) 13:34:12.59 0]

アフィで儲かってるんだから、有料のちゃんとした証明書買え。

[528 526 2016/07/03(日) 14:04:45.24 0]

>>527
そうですね
対応状況調べたりとか悩んだりとか格安業者探すのに無駄な時間を使うのもバカバカしいので、
明確に3DS対応している ジオトラスト クイックSSL プレミアムを3年分買いました
78,200円しましたが1カ月あたりにするとせいぜい2000円程度、AdSense+アフィ収入は月70万ぐらいあるのでこれぐらい痛くも痒くもないです

[529 名無しさん＠お腹いっぱい。 2016/07/03(日) 14:07:43.44 0]

技術系ブログはこう
1. Chrome 65%
2. Internet Explorer 15%
3. Firefox 14%
4. Edge 2%
5. Safari 1%

3DS？何それ美味しいの？

[530 名無しさん＠お腹いっぱい。 2016/07/03(日) 14:08:51.73 0]

一瞬未対応かと

[531 526 2016/07/03(日) 14:16:00.12 0]

買ったのはいいけど、メールで来た説明が専門用語書き並べてよくわからない

　続いて、以下より2つの中間CA証明書の（-----BEGIN CERTIFICATE-----）　から　（-----END CERTIFICATE-----）までをそれぞれコピーし、
　3階層目を上に2階層目を下にテキストエディタに貼り付け、中間CA証明書ファイルとして任意のファイル名で保存します。

テキストエディタとか貼り付けとか言われても、専用サーバにTera Termで接続だと文字書き換えは簡単でもマウス使えないからコピペムズイ
テキストエディタがどうとか、Windowsサーバを前提にしてるのか？

どうやってインストールしたらいいかサポートに電話したら平日9:30-17:30じゃないと対応できないとか言われるし最悪
土日電話対応しないとかサービス業としてなってない
Let's Encrypt関係なくなるのでそろそろ退場しますがみなさん、ジオトラ○トはわけのやめたほうがいいです

[532 名無しさん＠お腹いっぱい。 2016/07/03(日) 14:18:29.21 0]

調べてみたらうちも今月は一件もないな
Google Chrome 207,634
Firefox 24,388
Internet Explorer 6,042
Android Browser 4,572
Opera 4,313
Mobile Safari 945
Dolphin(Android) 411
Safari 751
UCBrowser(Nokia) 210

サポートに電話して聞かなきゃいけないほど無能だって自覚があるならそんなことやらなきゃいいのに・・・

[533 名無しさん＠お腹いっぱい。 2016/07/03(日) 14:20:39.58 0]

>>531
これはひどいｗ
こんなヤツがSSL買う時代なんだね・・・
てかこいつはなんでSSLを導入しようとしてんだ？
GoogleのSEO対策のためだけか？

[534 526 2016/07/03(日) 14:41:27.49 0]

>>532
サイトによってそこまでブラウザが違うのか！

> サポートに電話して聞かなきゃいけないほど無能だって自覚があるならそんなことやらなきゃいいのに・・・
そんなにいうほど無能？
そりゃ、お前らみたいなパソコンオタクには勝てないだろうけど、文系の中ではパソコンできる方だよ
これでも専用サーバへのapache+php+mySQL+ワードプレスの構築は、Mysqlのインストール時にエラー出て鯖屋に遠隔でやってもらったのを除けば自分でできたんだよ

ただviはコピペが難しくて行数調べて 5yy みたいにうってpで貼り付けなきゃいけないんだけど
そのとき上書きされたり1行ずれたりしてなかなかうまくいかないしし、中間証明書の階層がどうとかと言われてもどっちが上からわからない
ジオトラ○トは、証明書の統合が必要なら最初からくっつけたのを送ってくれればいいし、コマンド1つで導入できるアプリとかを用意してほしかった

>>533
うん
IT系コンサルやってる知人に聞いた話ではPCからの検索だと順位への影響は1%程度だけど
スマホからの検索だともっと影響するらしい（Googleは広告強制注入したりする悪質なフリーWi-Fiスポットだらけの海外が基準でSSL推進らしい）
SSLだとA8のアフィ貼れなくなるけど、収入の大半がAdSense,Amazonアフィ,月極広告だからデメリットは少ないと考えた
リピーターよりも検索経由のアクセスの方が圧倒的に広告クリック率も広告クリック単価も高いしね

[535 名無しさん＠お腹いっぱい。 2016/07/03(日) 14:43:33.81 0]

まあ導入しようとする意欲があるのはいいことだ
ゲーム機だとうちは一昔前PSPからのアクセスが結構あったな

[536 名無しさん＠お腹いっぱい。 2016/07/03(日) 14:47:34.05 0]

>>534
viが難しいなら他のを使えばいいのですよ
Linux慣れてないならコンソール複数開いてnanoがいいんじゃないの？

[537 名無しさん＠お腹いっぱい。 2016/07/03(日) 14:59:54.84 0]

ローカルで編集してからうぷすれば良いだけ

[538 名無しさん＠お腹いっぱい。 2016/07/03(日) 16:58:28.71 0]

うちはktai.example.comみたいなドメインにガラケー用ページを全部まとめて置いて3DSも(対応するとしたら)そこにおく方向で考えてる

[539 名無しさん＠お腹いっぱい。 2016/07/03(日) 17:13:23.67 0]

>>538
ガラケーからのアクセスはどんなジャンルのサイトだろうと1%未満っしょ？
もう対応しなくていいと思う

あと3DSはどちらかと言えばスマホサイトに近いつくりで問題なく表示できるので
ガラケー向けよりスマホ向けコンテンツ（普通のレスポンシブデザイン）を配信するのが合理的

[540 名無しさん＠お腹いっぱい。 2016/07/03(日) 17:32:16.70 0]

え、IdenTrust非対応のシステムなんて今どきあったのか…
まあ、アクセスするユーザ数がふえるまではこのままでいいかな

[541 名無しさん＠お腹いっぱい。 2016/07/03(日) 17:41:10.71 0]

>>540
実際、IdenTrustな環境なんてのは、3DS ・ Android 2 ・ Blackberry OS 10以下、ぐらいしか存在しない
XPのSP2以下で非対応なのはSHA-256非対応が原因だから別問題

https://community.letsencrypt.org/t/which-browsers-and-operating-systems-support-lets-encrypt/4394

Known not to work (based on https://groups.google.com/a/letsencrypt.org/d/msg/client-dev/I-iFKihZ4Vo/kyw2EuaNlB0J1.4k)

　Blackberry OS 10, 7, & 6
　Android 2.3.5 (HTC Wildfire S, Stock Browser)
　Nintendo 3DS
　Windows XP-pre SP3 - cannot handle SHA256 signed certificates

[542 名無しさん＠お腹いっぱい。 2016/07/03(日) 17:41:38.02 0]

非対応が抜けた

IdenTrustな環境　⇒　IdenTrust非対応な環境

[543 名無しさん＠お腹いっぱい。 2016/07/03(日) 17:43:24.36 0]

DSのときのWEP暗号強要に続いてSSLでも問題を起こす任天堂
皆に迷惑なのでインターネットに繋がる機器を二度と作らないでいただきたいものだ

[544 名無しさん＠お腹いっぱい。 2016/07/03(日) 20:38:15.45 0]

ゴキブリが湧いてきたなｗｗ
PSは新しい機種のくせに古いプロトコルバージョンしか対応しない欠陥品じゃんｗ

>>520
DSiはWEPじゃねーよｗｗ

[545 名無しさん＠お腹いっぱい。 2016/07/03(日) 20:39:40.43 0]

スレチ
な？

[546 名無しさん＠お腹いっぱい。 2016/07/03(日) 20:59:16.92 0]

少しでも叩ける要素があるとゴキちゃん湧いてくるからなｗｗｗｗｗｗｗｗｗ

[547 名無しさん＠お腹いっぱい。 2016/07/03(日) 21:10:32.86 0]

>>544
実質的にWEP強制だよ

【DSiのWPA対応がまるで意味を成していない件】
http://blog.goo.ne.jp/impreza98/e/b17140b653c27ac61366a134ab6c9262

うごくメモとブラウザのみの目的でDSiをWi-Fiに接続する人がどんだけいんの？
ゲームをネット接続しようとするとエラーが出るのでWEPにせざるを得なかった

[548 名無しさん＠お腹いっぱい。 2016/07/03(日) 21:14:07.86 0]

ゲハことハゲ民死ね

[549 名無しさん＠お腹いっぱい。 2016/07/03(日) 21:17:08.71 0]

いや、これは重要な問題だよ
Let's Encrypt の証明書と3DSのブラウザに互換性が無いというのは極めて重大な問題
Nintendoにルート証明書のアップデートを呼びかける必要がある

[550 名無しさん＠お腹いっぱい。 2016/07/03(日) 21:23:38.79 0]

インターネットブラウザー　対応している認証局（CA）
https://www.nintendo.co.jp/3ds/hardware/internetbrowser/list_pem_3ds.html

任天堂はルートCAの一覧をWeb上で公開していることだけは評価できるな

しかしIdenTrustは北米ではシェア結構あるのに、どうしてるんだろうか
大人は3DSのブラウザに期待していないし子供は何が原因だか判別できないからクレーム少なくてスルーなのか？

[551 名無しさん＠お腹いっぱい。 2016/07/03(日) 23:56:46.62 0]

Let's encryptを使ってAPIを公開した場合に、Javaからアクセスすると認証に失敗して接続できないというのも地味に不便

[552 名無しさん＠お腹いっぱい。 2016/07/04(月) 00:52:54.36 0]

>>551
わかる。

[553 名無しさん＠お腹いっぱい。 2016/07/04(月) 01:06:32.52 0]

javaのcaに追加すれば済むだろ

[554 名無しさん＠お腹いっぱい。 2016/07/04(月) 02:00:31.74 0]

>>553
だから「地味に」不便
相手側にやらせなきゃいけないしね……

[555 名無しさん＠お腹いっぱい。 2016/07/04(月) 02:03:42.17 0]

ちなみにLet's Encryptを否定したり責めたりしているわけじゃないからね(わかるだろうけど念のため
JDKはバージョンアップ続けているんだから対応して欲しい

[556 名無しさん＠お腹いっぱい。 2016/07/04(月) 02:38:55.22 0]

javaのcaに入ってないせいでLINEのapi鯖からletsencの鯖へのコールバックができなくて
LINEのAPI試した人たちが阿鼻叫喚してた

[557 名無しさん＠お腹いっぱい。 2016/07/04(月) 06:55:15.80 0]

ゲーム機なんて切りの一択でしょ
そのためにごちゃごちゃやらなきゃいけない方がデメリットだ
というか、そんな一般的なこと言われて頭悪いとか反論してるバカさってどうよ

[558 名無しさん＠お腹いっぱい。 2016/07/04(月) 07:56:21.14 0]

一般的には無視する一手だろう
どうしてもそれが出来ない特定用途だというなら、そうかがんばれ、としか

[559 名無しさん＠お腹いっぱい。 2016/07/04(月) 15:47:00.41 0]

サイトの内容によって客層・年齢層が違いアクセスの傾向なんて千差万別。
未だに「一般的」でない古いIEへの対応どうするかなんて言ってるのに
個々のサイト運営を「一般的」かどうかで判断してもしょうがない。

1000万台以上普及してるんだから趣味のサイトならともかく
ゲーム以外の一般向けサイトでも影響について気にかけるのが当然だろう。

[560 名無しさん＠お腹いっぱい。 2016/07/04(月) 16:11:05.31 0]

いいえ
完全に無視してOKです

[561 名無しさん＠お腹いっぱい。 2016/07/04(月) 16:59:20.02 0]

スレチな

[562 名無しさん＠お腹いっぱい。 2016/07/04(月) 18:05:19.62 0]

>>559
IE6サポートし続けろよ

[563 名無しさん＠お腹いっぱい。 2016/07/04(月) 18:17:59.85 0]

>>562
ゲーム系じゃなくてもIE6ユーザーより3DSからのアクセスの方が圧倒的に多いんだけどね……

UserAgentだけ見るとIE6のアクセス結構あるけど、実態は単なるボット（メールアドレス収集とか掲示板にスパム投稿するボットとか）であることが多い
その証拠に、Apacheの生ログでは結構あるIE6のアクセスが、JavaScriptによるアクセス解析だと皆無になる

実際に仮想マシンにIE6入れて使ってみればわかるけど、GoogleやYahooを含めて大半のサイトがまともに表示されないから使い続けている人なんて現実的に存在するわけがない
勿論、ツイッターやフェイスブックもまともに動作せず
YahooもGoogleもフェイスブックもツイッターも見れないブラウザじゃあ実用上意味使い物にならないでしょ？

上記のサイトは3DSなら見れるので、IE6対応よりも3DS対応が優先なのは明らか

[564 名無しさん＠お腹いっぱい。 2016/07/04(月) 18:20:46.56 0]

ガラケー用サイトを作って古いIEやスマホ用に対応できないゲーム機などはそこに飛ばす
スマホ版やPC版はリッチでモダンなブラウザでないとダメだけどテキストベースのサイトは全てのブラウザで見れるので自サイトへの最低限のアクセス手段を確保

ガラケーサイトといってもテキストベースで超軽量なだけで普通のUTF-8なページだけど(UTF-8非対応なガラケーはさすがに捨てていいだろう)

let's encryptやモダンなTSL通信に対応してない端末も申し訳ないけどガラケーサイトで我慢していただく

[565 名無しさん＠お腹いっぱい。 2016/07/04(月) 18:22:10.95 0]

以前IE6のUAでtwitter開いたらモバイル向けに飛ばされてたな

[566 名無しさん＠お腹いっぱい。 2016/07/04(月) 20:24:35.19 0]

参考までに15名限定セミナーらしいです

SSLサーバー証明書の重要性と適切な証明書の選び方について
http://pub.sakura.ad.jp/event/160708/

[567 名無しさん＠お腹いっぱい。 2016/07/04(月) 23:44:57.69 0]

>>566
さくらのセミナーはお菓子のおみやげくれたりクラウドクーポンくれるからお得感あるよな？

[568 名無しさん＠お腹いっぱい。 2016/07/04(月) 23:49:09.91 0]

対象者がな・・・

[569 名無しさん＠お腹いっぱい。 2016/07/05(火) 00:13:55.01 0]

「SSL初心者向けセミナー」

ってのは　>>531　よりも更にレベルの低い人がターゲットだからな
root権限があるサーバの管理はもちろん、レンタルサーバすら自分で使ったことのない経営・営業関係の人が対象

このスレにいるような人は、間違いなく行っても退屈するだけだからやめた方が良い

たぶん、「アドレスバー緑だと安心感がありますね〜　やっぱ EV がいいですよ〜」とか言われるだけだろうな

[570 名無しさん＠お腹いっぱい。 2016/07/05(火) 01:51:14.26 0]

なんでDV証明書プレゼントじゃないの？ｗ
EVとか銀行か政党くらいしか見たことないぞ。

[571 名無しさん＠お腹いっぱい。 2016/07/05(火) 02:18:20.11 0]

>>570
> EVとか銀行か政党くらいしか見たことないぞ。

よっぽど観察力無いんだな。

お前らがアクセスしそうなところだと、
https://www.sakura.ad.jp/
https://twitter.com/?lang=ja
とかもEV

某不倫サイトもEV　https://www.ashleymadison.com/app/public/index-jp2.p

さくらのSSLなら、年5万円でEV取れるんで、商用サイトな取るのがお勧め　https://ssl.sakura.ad.jp/

[572 名無しさん＠お腹いっぱい。 2016/07/05(火) 11:14:50.92 0]

いつの間にかnginxとStrongSwanがLet's Encryptになっとった。
githubはEVか。

[573 名無しさん＠お腹いっぱい。 2016/07/05(火) 22:01:41.12 0]

>>550
任天堂への呼びかけはこちらへ
https://www.nintendo.co.jp/support/inquiry/inq01.html

[574 531 2016/07/07(木) 13:43:10.51 0]

証明書販売会社の電話サポートと >>536 >>537 を参考に、なんとか自力で SSLの設定ができました！
導入までにかかった時間は、普段のサイト更新をやりながらの作業でしたが1日3時間×日曜日から木曜日までの5日間＝15時間 ＋ 電話かけて質問したりする時間　でした
>>536 >>537 さん、ありがとう


後で知ったのですが、認証局のサポートセンターではなく、専用サーバ業者の方に電話すれば、たいていのサーバ屋さんで1時間当たり1万円ぐらいでコンソール作業を代行してくれたようです
私の場合、自力で導入するのに15時間かかりましたが、プロなら1時間以内で通常インストールできるので1万円で証明書導入が可能だそうです

有効期限が3年の業者だったら、1万円払ってインストールしてもらえば3年使えるのでお得なので、最初から自力でやろうとせずにサーバ屋さんに依頼した方が手間がかからずよかったかもしれません

サーバ管理のプロではない一般人の場合、
　・証明書は3年の業者から買う
　・サーバ屋さんにコンソール代行でインストールしてもらう
というのが良さそうです

[575 名無しさん＠お腹いっぱい。 2016/07/07(木) 23:22:29.82 0]

>>574
作業代行と証明書代って別じゃないの？

[576 名無しさん＠お腹いっぱい。 2016/07/08(金) 00:36:36.87 0]

> なんとか自力で
どこが自力なのかと小一時間

[577 名無しさん＠お腹いっぱい。 2016/07/08(金) 10:30:55.12 0]

そもそもこういうレベルで設定されたサーバーが安心なのか？って意見は無いのか？

[578 名無しさん＠お腹いっぱい。 2016/07/08(金) 10:33:10.89 0]

その用途なら安心である必要はないでしょ

[579 名無しさん＠お腹いっぱい。 2016/07/08(金) 13:42:08.86 0]

いや、だから、だったら証明書も要らんだろ。

[580 名無しさん＠お腹いっぱい。 2016/07/08(金) 13:46:09.83 0]

>>579
SSLの方がグーグルで上位表示されやすいんですよ
これはグーグルが公式で発表していることなので間違いありません

[581 名無しさん＠お腹いっぱい。 2016/07/08(金) 13:54:28.29 0]

>>579
証明書がほしいのではなくhttpsやh2やりたい場合が多いでしょ
特にこんなサービスではね

[582 名無しさん＠お腹いっぱい。 2016/07/08(金) 14:01:22.68 0]

きちんとした証明書がほしいならEV一択だわ
それが不要なら格安系やLet'sのDVで十分

一般人は証明書の検証方法を知らないんだから（知っている人は1%も居ないだろうね、IE6のシェアより低いかも）、
今のブラウザのUI的にOVなんて中途半端で無意味

[583 名無しさん＠お腹いっぱい。 2016/07/08(金) 14:18:43.49 0]

無料で証明書取れるのは良いけど、最低限勉強しとけ話しだな。

[584 名無しさん＠お腹いっぱい。 2016/07/09(土) 03:54:40.52 0]

先月30日までにIPv6完全対応化するってアナウンスしてたのが8月31日まで延期に
その他、日本語ドメインのサポートは8月31日までが11月30日まで、ECDSA中韓証明書サポートも年度末まで延期
https://letsencrypt.org/upcoming-features/

サボってるんじゃね？
このままドロンとか

[585 名無しさん＠お腹いっぱい。 2016/07/09(土) 09:00:43.66 0]

お前がそう思うならそうなんだろうな
お前の中ではな

[586 名無しさん＠お腹いっぱい。 2016/07/09(土) 09:30:57.40 0]

Let's Encrypt Subscriber Agreement updateされるそうかんだが
まだ頭が眠ってるようで頭に入ってこない
結局何が変わるの？

[587 名無しさん＠お腹いっぱい。 2016/07/12(火) 21:09:30.85 0]

Let’s EncryptのSSL証明書で、安全なウェブサイトを公開
ttp://knowledge.sakura.ad.jp/knowledge/5573/

Web鯖導入、ポート開放、証明書生成・参照、自動更新および
設定のバックアップまでの流れ。

エンジニア向けで10〜20分の作業を想定しているので難易度は
低くはないだろうが、うまくはまれば15時間＋αの苦労を
せずに済むはず。

[588 名無しさん＠お腹いっぱい。 2016/07/13(水) 02:47:17.84 0]

15時間かける阿呆とか現実にはいないから

[589 名無しさん＠お腹いっぱい。 2016/07/13(水) 10:01:00.32 0]

>>587
わざわざそんな手間暇かけて自分でやるとか、社会人からすると考えられん
そういう作業を自分でやるやつって、パソコン買うときも完成品買わずにBTOとか自作とかやるんだろうな

さくらなら、たった2万で「apache」や「Microsoft IIS」の
・SSL通信の利用に関するmod_sslのインストール
・CSR/秘密鍵の生成、
・証明書のインストール
を全部やってくれる

https://ssl.sakura.ad.jp/setup.html

勉強時間まで考えると外注に出した方が合理的だ

[590 名無しさん＠お腹いっぱい。 2016/07/13(水) 10:12:45.49 0]

スレチ

[591 名無しさん＠お腹いっぱい。 2016/07/13(水) 10:44:22.86 0]

>>590
他にSSLのスレ無いんだしちょっとぐらいのすれ違いはやむを得ないんじゃね

この過疎板でSSL総合スレとか別スレ立てても殆どレスが付かず板汚しになるだけだしｗ

[592 名無しさん＠お腹いっぱい。 2016/07/13(水) 10:52:04.05 0]

SSLやりたいけど、サーバーの知識ほとんど無いからなーって人結構ここにいるんだね
見てる人、みんな何かしらApacheとかphpとかある程度触った事あるイメージなんだけど

下手したらターミナル叩いたことない人もいるんじゃ・・・

[593 名無しさん＠お腹いっぱい。 2016/07/13(水) 11:02:52.14 0]

俺も大昔は自宅ローカルにapache+php+mysql環境作ってたけどここ数年はレンタルサーバOnlyでターミナルの叩き方とか忘れたｗ
昔はPerlとかphpとかでプログラミングする際にはローカルに実行環境用意する必要あったけど　今は普通にレンタルサーバでデバッグできるからね

現にVALUE SERVERとかさくらとかロリポとかで、cgi実行→エラー→修正→実行を数百回繰り返してもサーバ会社からクレームが来たりしないのでレンタルサーバとテキストエディタでphpプログラミングができる
プログラムが間違って無限ループしてプロセスが暴走したりしても、CPU使用率などがアカウントごとにきちんと制限・制御されているから他のユーザーに迷惑もかからんし、30秒とかで勝手にkillしてくれる

ちなみに10年ちょっと昔はそういうのは許されず、「他の利用者の迷惑になるので、開発段階のプログラムのテスト実行などにレンタルサーバを使用するな」とサーバ会社から警告メールが届いたりアカウントBANされた
当時はアカウントごとの負荷制御どころかSuEcecの導入すらままならず他のユーザのファイルにcgi経由でアクセスできるのが当たり前で、cgiが暴走したらサーバ全体のload average急上昇で大変なことになってた

[594 名無しさん＠お腹いっぱい。 2016/07/13(水) 11:04:17.29 0]

誰も聞いてねえよ

[595 名無しさん＠お腹いっぱい。 2016/07/13(水) 12:10:02.81 0]

アフィ野郎まだいるのかよ
その貴重なお時間を割いてまでこんなスレでレスバトルして下さるとは

[596 名無しさん＠お腹いっぱい。 2016/07/13(水) 16:44:37.48 0]

>>591
>他にSSLのスレ無いんだしちょっとぐらいのすれ違いはやむを得ないんじゃね
自宅鯖板にあるからそっちでやれ

[597 名無しさん＠お腹いっぱい。 2016/07/13(水) 17:49:14.05 0]

>>596
自作鯖板で専用サーバとかVPSにSSL入れる話とか、スレ違いではなくても板違いだろｗ
スレ違いも板違いも団栗の背比べだよ

[598 名無しさん＠お腹いっぱい。 2016/07/13(水) 18:24:58.91 0]

アフォは専鯖借りてサポートに聞け
自分で出来る奴はググってわからないところだけ2chで聞け

[599 名無しさん＠お腹いっぱい。 2016/07/13(水) 19:10:35.92 0]

>>589
自作PCとか1時間も無くて作れるが？

[600 名無しさん＠お腹いっぱい。 2016/07/13(水) 20:01:19.89 0]

>>599
お前はツクモとかドスパラとかの社員か？
何百台作ったらそんな早くなるんだ？

[601 名無しさん＠お腹いっぱい。 2016/07/13(水) 20:32:02.11 0]

自作PCとかスレチ
TLSの導入がhttpdの設定を含めて1時間でできるかどうかの方が重要

[602 名無しさん＠お腹いっぱい。 2016/07/13(水) 20:52:49.86 0]

httpd()
鯖とまともなネット回線とドメインくれれば一時間で終わらせられるわ

[603 名無しさん＠お腹いっぱい。 2016/07/13(水) 21:09:51.65 0]

CSR送って帰ってくるのも早くなったしな。

[604 名無しさん＠お腹いっぱい。 2016/07/13(水) 21:46:28.12 0]

んなもん五分もかからんだろ。

[605 名無しさん＠お腹いっぱい。 2016/07/13(水) 21:59:14.96 0]

1時間かかるとかいったい何をやってるんだ？ 理解に苦しむ

[606 名無しさん＠お腹いっぱい。 2016/07/13(水) 22:18:59.84 0]

きっとyumのアップデートで50分くらい掛かるんだろう

[607 名無しさん＠お腹いっぱい。 2016/07/13(水) 22:21:59.28 0]

なんの話してんのや
自己満足に浸りたのか？

[608 名無しさん＠お腹いっぱい。 2016/07/13(水) 22:29:50.18 0]

>>606
確かにうちの鯖はCentOS入れてyum updateしたら1時間じゃ足りない・・・
意外な盲点だった

[609 名無しさん＠お腹いっぱい。 2016/07/13(水) 22:36:04.01 0]

更新スクリプトなんで標準環境で動かないようなpython使ってるんだろう

[610 名無しさん＠お腹いっぱい。 2016/07/13(水) 22:40:29.51 0]

>>609
サードパーティ製のがいくらでもあるでしょ

[611 名無しさん＠お腹いっぱい。 2016/07/14(木) 08:04:53.60 0]

yumで一時間て、お前らどんなサーバー使ってんの？自宅でダイヤルアップって時代じゃねーだろ

[612 名無しさん＠お腹いっぱい。 2016/07/14(木) 17:01:42.05 0]

カーネルのカスタムまでやり始めるとビルドが1時間じゃ終わんねえな

[613 名無しさん＠お腹いっぱい。 2016/07/14(木) 17:02:42.63 0]

>>611
CelM@1.46Ghz+256Mでつ

[614 名無しさん＠お腹いっぱい。 2016/07/14(木) 18:13:19.49 0]

>>613
メモリ256MBって……
今時スマホですら3GBが当たり前だぞ？
サーバならCPUはXeon、メモリは最低32GB（普通は64GB）積むのが常識だろ

極限までデータベースをチューニングするよりも、DBとクエリキャッシュを丸ごと物理メモリに入れる設計の方が
開発人件費も節約できて合理的だわ

[615 名無しさん＠お腹いっぱい。 2016/07/14(木) 18:16:04.32 0]

>>614
常識ってなんだろうな
スレチだからさっさと帰れよ

[616 名無しさん＠お腹いっぱい。 2016/07/14(木) 18:25:22.78 0]

>>614
> 今時スマホですら3GBが当たり前だぞ？
一部のハイエンド機以外は2GBが一般的だしローエンド機では1GBもちょくちょくある
> サーバならCPUはXeon、メモリは最低32GB（普通は64GB）積むのが常識だろ
let's encrypt使う層とそんな化け物マシン使う業務層とはあんまかぶらないと思う
個人層の多いさくらVPSやconohaの1GBプラン同等が普及帯だと思うんですが
ラズパイや古いPCで自宅鯖もあるでしょうに
(釣られた?)

まあラズパイでもアップデートに1時間もかからんしメモリー256MBはさすがに卒業しないときつそう

[617 614 2016/07/14(木) 18:28:36.05 0]

>>615
> 常識ってなんだろうな
俺は社内でSEとして自社サーバの管理やってるし、転職3回もしたから広く業界全体のことを知っている
換言すると業界の「常識」を知っているのよ
そのうえで、ここ最近でメモリ32GB未満のサーバなんて見たことも無いので、メモリ32GB以上が常識だと書いているわけ

[618 名無しさん＠お腹いっぱい。 2016/07/14(木) 18:29:05.52 0]

http://i.imgur.com/9CC0vpb.jpg

[619 名無しさん＠お腹いっぱい。 2016/07/14(木) 18:29:33.77 0]

>>617
はいはいそうですか
誰が業界なんて言ったんですかね

[620 614 2016/07/14(木) 18:32:04.77 0]

>>616
> let's encrypt使う層とそんな化け物マシン使う業務層とはあんまかぶらないと思う
> 個人層の多いさくらVPSやconohaの1GBプラン同等が普及帯だと思うんですが
なるほど、個人で使っている人もいるのか
弊社の場合、本システムの開発段階や、バックエンド鯖に導入してシステムの通信に使う証明書として使ってたから
個人が使う用途というのは想定してなかったわｽﾏﾝ

[621 名無しさん＠お腹いっぱい。 2016/07/14(木) 18:33:32.92 0]

逆にあのスペックを企業が使ってるわけ無いでしょ
わかってて言ってるんだから相手する必要ない

[622 名無しさん＠お腹いっぱい。 2016/07/14(木) 18:34:39.47 0]

>>617
自称業界人はすっこんでろって話です
今時物理サーバなんて流行らない
IIJですら専用サーバサービス終了するってよ

[623 名無しさん＠お腹いっぱい。 2016/07/14(木) 18:37:42.04 0]

わざわざ2chまで来て自分自慢しちゃう時点で自称が天皇だろうとニートだろうと同じだわ
さっさと帰れアホ

[624 名無しさん＠お腹いっぱい。 2016/07/14(木) 18:38:03.98 0]

メモリ256MでLet'sのpythonクライアントが動かないと文句つけるとか、ただのクレーマーだろ

お前は知らんかもしれないが、鍵ペアの生成とか検証にはある程度負荷がかかるもんだし
その過程の処理データはセキュリティ上の都合でSSD/HDDには保存不可（キャッシュやスワップ禁止）、揮発性メモリにのみおかれるように設計されているんだよ
一時的にでもHDDにスワップしちゃったら残留磁気などにより情報が漏れる可能性があるからね

勿論、完成した秘密鍵はSSD/HDDに設置されるわけだけど、それは話が別
おかれた秘密鍵はファイル単位で安全にワイプ消去が可能だけど、その鍵を生成する過程のデータの残骸をHDDにまき散らすのは不適切な設計なの

ってことで、Let'sのpythonクライアントがメモリが少ない環境で動かないのはやむを得ない

[625 613 2016/07/14(木) 18:38:49.73 0]

>>624
ん？俺は文句なんぞ言ってないぞ
こんな環境もあるって話をしただけでその話だした本人ではないし

[626 名無しさん＠お腹いっぱい。 2016/07/15(金) 01:00:07.07 0]

勉強のために個人で使ってます
最初はXAMPPのオレオレ証明書からはじめて、
この前EC2で初めてLet's~をいれてみた

俺環境の時にググりながら作った鍵ファイルとかと、手法が結構違うなーと思った

[627 名無しさん＠お腹いっぱい。 2016/07/18(月) 00:22:40.36 0]

>>622
専鯖ユーザはラック借りるほどの規模じゃないんだからクラウドに巻き取るのもアリ
物理鯖が流行らないとまで言い切るのはおつむが足りない

[628 名無しさん＠お腹いっぱい。 2016/07/18(月) 01:41:19.40 0]

>>627
一般人ごときが「アリ」だっておｗ
儲からない（流行らない）からサービス終了するんだよ
物理サーバはどんどん減ってる
現実を知らずに妄想も甚だしいわｗ

[629 名無しさん＠お腹いっぱい。 2016/07/18(月) 02:24:45.08 0]

let's encryptでCSR使うのってどんな時が考えられるんだろうか。
秘密鍵自作したい時ぐらい？

[630 名無しさん＠お腹いっぱい。 2016/07/18(月) 02:42:52.32 0]

物理鯖減ってるかなぁ。
俺の客だと、ラックごと借りて、物理3台ストレージ2台で、その上に仮想4台が標準だから、
DCか現地に納品じゃなくて、仮想マシンだけ鯖屋から借りるって選択肢自体がありえないくらいだが。
鯖屋から同じ構成の物理サーバ借りる事は稀にあるけど。
ウェブなんかの安いシステムは知らんが。

[631 名無しさん＠お腹いっぱい。 2016/07/18(月) 07:18:15.25 0]

うちも両方使うことの方が多いな
物理鯖がなくなるなんて言われてたけど用途によると思う

[632 名無しさん＠お腹いっぱい。 2016/07/18(月) 07:35:12.54 0]

>>629
?
秘密鍵は自分の側で作ってるだろ。CSRを送って署名されて返ってくる。
ぜんぶスクリプトがやってくれるが。

[633 名無しさん＠お腹いっぱい。 2016/07/18(月) 07:54:56.97 0]

>>629
LetsでCSRを使う機会はないよ

[634 名無しさん＠お腹いっぱい。 2016/07/18(月) 08:19:20.02 0]

今のところ，楕円曲線暗号な証明書を作るとき．
http://qiita.com/TsutomuNakamura/items/e2e7be7c1f4d1638454d

[635 629 2016/07/18(月) 13:59:18.42 0]

>>634
やっぱり今の所それぐらいですかね〜。
ありがとうございました。

[636 名無しさん＠お腹いっぱい。 2016/07/19(火) 14:48:00.39 0]

まぁそんなとこだな

[637 名無しさん＠お腹いっぱい。 2016/07/22(金) 16:10:48.08 0]

ですです

[638 名無しさん＠お腹いっぱい。 2016/07/27(水) 20:38:12.62 0]

IPv6対応記念age

[639 名無しさん＠お腹いっぱい。 2016/07/28(木) 13:03:04.51 0]

日本語TLDって対応してたっけ？

[640 名無しさん＠お腹いっぱい。 2016/07/28(木) 13:17:13.81 0]

少なくとも公式蔵じゃだめだったな
Internationalized domain names are not presently supported: example.コム

[641 名無しさん＠お腹いっぱい。 2016/07/28(木) 16:20:06.52 0]

わかりきってたけど一応やってみた
Punycode domains are not presently supported: example.xn--tckwe

[642 名無しさん＠お腹いっぱい。 2016/07/31(日) 15:49:31.76 0]

ここは優しいスレであることを願って助けを求めに来ました。
質問スレを見つけることができず、ここへ投下させていただきました。ダメならすいません。

いくつかのデータセンターの専用サーバー(Debian/CentOS)には導入できたのですが、自宅サーバーで導入できず悩んでます。
他の質問サイトに投稿したのですが、回答がつかず、見かねた人が声をかけてくれたのですが現在お手上げ状態です。
ドメイン認証なので動的IPでも行けると思ってますが、固定IP必須ならその時点でアウトです。

●トラブル内容：自動でこけてるのでmanualでやっています。
# ./letsencrypt-auto certonly --manual --manual-public-ip-logging-ok -d #MyDomain# --server HTTPS://acme-v01.api.letsencrypt.org/directory
とりま、これで新規認証？を作りました。キーファイルを書き込めと出るので、ドキュメントルートに移動して
# printf "%s" sWwMGNwLSim# Keys here #TNWLCDSq67TvE > .well-known/acme-challenge/sWwMGN#Filename Here#Bi5yJhdTI
としました。その後、VPNで外部の環境からや、4G環境のスマートフォンなどから
# http://#MyDomain#/.well-known/acme-challenge/sWwMGN#Filename Here#Bi5yJhdTI
letsencryptで指示されているここへアクセスし、問題なく
中身である「sWwMGNwLSim# Keys here #TNWLCDSq67TvE」が表示されていることを複数の環境で確認しました。
しかしエラーで接続ができないといわれてしまいました。
「Failed authorization procedure. #MyDomain# (http-01): urn:acme:error:connection :: The server could not connect to the client to verify the domain :: Could not connect to」

しかし、ルーターのファイヤーウォール記録にも、これへのリクエストと思われる記録はなく、(ファイヤーウォール切っても変わらず)
またサーバー側のアクセス記録、エラー記録にもこのファイルにも、アクセスしようとした記録がありませんでした。
このサーバーのIPは動的ですが記録上半年以上変わっていないので、DNSが反映されていないとも考えにくいなというところです。
何か思い当たる原因有りませんでしょうか。よろしくお願いします。

[643 名無しさん＠お腹いっぱい。 2016/07/31(日) 16:12:04.63 0]

https://letsencrypt.org/getting-started/
熟読しましょう
自宅鯖のOSくらい書きましょう
インストール
CentOSの場合
https://certbot.eff.org/#centosrhel7-other
Debianの場合
https://certbot.eff.org/#debianjessie-other
証明書の取得
動いてるウェブサーバー止めて80と443が開いてることを確認したら
#certbot certonly --standalone -d example.com -d www.example.com

[644 名無しさん＠お腹いっぱい。 2016/07/31(日) 16:15:06.16 0]

あとstackoverflowに書いてる数々のくだらない質問は無意味だしわけわからんのでさっさと消しときなさい

[645 名無しさん＠お腹いっぱい。 2016/07/31(日) 16:19:54.94 0]

>>643
すいません、それで解決できればおそらく悩んでないです・・・ほんとすいません。
VPS(CentOS/Debian)や専用サーバー(WindowsServer/Debian/CentOS)で、同じドメインのサブドメインをいくつか登録していますが、そちらは何も問題なくLetsencryptのSSLを使えています。
なので違いは動的IPであり、ルーターを介している事、ぐらいかと思うのですが、ルーターにもサーバーにもアクセス記録は無く、
このドメインのDNS情報が正しく伝わっていないのではないか、と思うのが正直なところですが、他の監視サービスは問題なく監視されていて、それらのログは残っています。

OSはDebianです。

[646 名無しさん＠お腹いっぱい。 2016/07/31(日) 16:24:33.12 0]

動的IPでも関係ない
そのときにドメインがそのIPに繋がればいい
上位のルーターに何か問題があるのでは？

[647 名無しさん＠お腹いっぱい。 2016/07/31(日) 16:38:11.27 0]

>>646
ルーターの設定をもう一度再確認してみます。

元々はGeoTrustのSSL証明書でSSL(443)でも平文(80)でもアクセスできる環境でして、
特にトラブルなく動いているためポート開放等も問題ないはずなのですが。。
原因不明すぎて悩みます。とりまもう一度ルーターの設定見直します。

[648 名無しさん＠お腹いっぱい。 2016/07/31(日) 17:19:53.97 0]

馬鹿だって喧伝したいだけだろ

[649 名無しさん＠お腹いっぱい。 2016/07/31(日) 17:24:45.21 0]

>>648
すいません、煽りたいのは分かりますが、真剣に謎で困ってます。
Type: connection
Detail: Could not connect to http://mydomain.com/.well-known/acme-challenge/#KEY FILE#
と言われるが、外部接続テストサービスを使っても、私所有の他サーバーからcurlなどしても正常に開くことができるのです。
しかし、certbotは上記エラーを返すため、原因が分からない状況なのです。

[650 名無しさん＠お腹いっぱい。 2016/07/31(日) 17:28:51.12 0]

例示にそんなドメインを使う時点でRFCも読んでない常識無しだってわかるし

[651 名無しさん＠お腹いっぱい。 2016/07/31(日) 17:37:44.97 0]

そもそもなんでマニュアルでやらず自動でコケるところを直して自動でやったほうが

[652 名無しさん＠お腹いっぱい。 2016/07/31(日) 17:58:50.18 0]

>>651
日本語でOK

[653 名無しさん＠お腹いっぱい。 2016/07/31(日) 18:08:09.76 0]

>>650
色々すいません、確かにそのドメインは相応しくなかったです
http://i.imgur.com/6MQH7CC.png (外部サーバーではOKの様子備考)
とりあえずあまり一人で占有するのもよくないので一旦引こうと思います。
似たような事があれば経験されている方の俺もあった談が出てきてもおかしくないのですが、
出てこないという事は私の環境の問題で、何が悪いか見つけられていないだけ、のようなので、私宛の書き込みがなければROMります。
私宛になにか書かれていればすいません、書き込みます。
解決した際にはその油脂だけ投下しにきます。色々と申し訳ないです。

>>651
何故だめなのかトレース踏まえ手動にしたところ今に至ります。
自動も手動でも同じエラーが出て「Detail: Could not connect to (URL)」となるので
そのURLに外部サービス含めていろんな手段でアクセスを試みますが、どれも200 OKなので詰んでる状況ですね。

[654 名無しさん＠お腹いっぱい。 2016/07/31(日) 18:37:40.24 0]

スマホや外部からはサーバーにアクセスできてるのにLEからはアクセスできてない(LEからのアクセスはログにも残ってない)ってことか

ところでドメインはIPv6のIP設定してる?(AAAAレコードある?)あったら外部からIPv6でもサーバーにアクセスできてる?

[655 名無しさん＠お腹いっぱい。 2016/07/31(日) 22:54:35.66 0]

この板で質問者を認識しやすくするために臨時トリつけようとかぐらい思わんのかね
名前欄に数字突っ込むだけでもだいぶ整理つくのに

他の質問場所とマルチしてるくさいしいやだいやだ

[656 名無しさん＠お腹いっぱい。 2016/07/31(日) 23:21:57.80 0]

誰が質問者かとか判別できるでしょそんなに問題がたくさん出てきてるわけじゃないんだし
やったほうがいいかもしれないがやらなくても全く問題ない

[657 名無しさん＠お腹いっぱい。 2016/08/01(月) 08:57:17.74 0]

動的IPってことだから同じダイナミックDNS使ってる人が証明書取りまくってて
rate limitに引っかかってるのかなあ……

[658 名無しさん＠お腹いっぱい。 2016/08/01(月) 11:01:38.30 0]

そりゃ、そう言うエラーメッセージでるだろ。

[659 名無しさん＠お腹いっぱい。 2016/08/01(月) 13:46:54.20 0]

中から外に送ってるIPアドレスがプライベートなんだろ

[660 名無しさん＠お腹いっぱい。 2016/08/02(火) 15:50:20.84 0]

ここでSSLテストすると証明書が駄目だという
ttps://www.cman.jp/network/support/nslookup.html

[661 名無しさん＠お腹いっぱい。 2016/08/02(火) 16:09:37.34 0]

そこは中身化石だから気にしなくていい
ssllabで見とけ

[662 名無しさん＠お腹いっぱい。 2016/08/02(火) 16:09:42.25 0]

そこは中身化石だから気にしなくていい
ssllabで見とけ

[663 名無しさん＠お腹いっぱい。 2016/08/02(火) 16:09:59.07 0]

失礼、連投してしまった

[664 名無しさん＠お腹いっぱい。 2016/08/02(火) 16:11:55.33 0]

ssl化すると
ノートンとverisignのマークが出るん？

[665 名無しさん＠お腹いっぱい。 2016/08/02(火) 16:37:11.58 0]

EV-SSLならね
こことは関係ない話

[666 名無しさん＠お腹いっぱい。 2016/08/02(火) 17:59:49.15 0]

>>665
ここのssl入れると何がいいのさ？
も少し教えてくれよ。

[667 名無しさん＠お腹いっぱい。 2016/08/02(火) 18:10:48.59 0]

自分で調べて
別に俺はLet'sEncryptの営業マンでもなんでもないから
使いたくなきゃ使わなくていい

[668 名無しさん＠お腹いっぱい。 2016/08/02(火) 22:40:30.81 0]

EV-SSLって、実際どうなのかね。
最近は社内LANアクセスだとSSLデコードかましてる企業が多くて、緑色バー(笑)の表示されないところも多いしびみょいような。
個人向けは依然として有効かもしれないけど。

[669 名無しさん＠お腹いっぱい。 2016/08/03(水) 16:13:44.08 0]

>>660
シーマンのチェッカー、問題点が多すぎて迷惑なゴミチェッカーだから使わない方がいい
1つや2つじゃなくて、書ききれないぐらい問題があるゴミチェッカーで信頼性も低い
脆弱な暗号スイートの判定とかもおかしすぎる

悪いこと言わないから　https://www.ssllabs.com/ssltest/　使え

[670 名無しさん＠お腹いっぱい。 2016/08/03(水) 16:25:11.04 0]

あの会社のサービス自体IP返してくれるやつ以外まともに使えない

[671 名無しさん＠お腹いっぱい。 2016/08/08(月) 20:52:09.14 0]

EV証明書が個人や個人事業主でも取れるようにしてくれ
確認方法は銀行に口座作る時みたいな感じでいいから

[672 名無しさん＠お腹いっぱい。 2016/08/08(月) 20:53:05.07 0]

それができないからこそEVSSLの価値が出る
ホイホイ取れたらそれはそれで困る
本物というだけでなくEVSSLを取得できているという点の評価もあるわけだから

[673 名無しさん＠お腹いっぱい。 2016/08/08(月) 21:12:40.91 0]

エセ左翼の目的は、わざと突っ込みどころが多い主張をすることで自分たちへ注意を向けさせ、
カルトへ向かう非難の矛先を逸らすこと。
国益に反することを言ったり、主張が食い違うもの同士の対立を煽ろうとするので放置し難いが、
主義思想についての洗脳を受けているわけではなく、フリをしているだけなので、
言い負かされてもダメージを負った様子もなく、論点をすり替えられるかスルーされる。
まともに相手をしてはならない。

[674 名無しさん＠お腹いっぱい。 2016/08/08(月) 22:35:04.18 0]

取れるもんなら取ってみたくはあるが
まあどうせ大半の人は南京錠すら確認しないからいいかなとも思う

[675 名無しさん＠お腹いっぱい。 2016/08/09(火) 03:43:13.27 0]

個人でも政治に絡むもののみ（国会・市町村議会議員、政治団体など）でいいんじゃね？
緑アドレスバーに「政治結社○○○○會[JP]」か…

逆にEV証明書は理論上暴力団でも取れる方が問題だと思うが

「六代目山口組[JP]」
「神戸山口組[JP]」
「稲川会[JP]」
「住吉会[JP]」
「五代目工藤會[JP]」

[676 名無しさん＠お腹いっぱい。 2016/08/09(火) 07:57:04.91 0]

理論上取れても実際に取れないので全く問題ない

[677 名無しさん＠お腹いっぱい。 2016/08/09(火) 13:36:56.94 0]

>>676
EVの審査はマニュアル通りに行われるから、取れるんじゃない？
それにEV証明書の目的は実在の組織とWebサイトの運営者を明確に関連付けることだから問題無し

[678 名無しさん＠お腹いっぱい。 2016/08/09(火) 13:37:54.09 0]

EVだとブラウザのアドレスバーに組織名・団体名が表示されるんだから
ユーザーがその組織・団体を自分が信頼するかどうかを考えれば良いだけ

[679 名無しさん＠お腹いっぱい。 2016/08/09(火) 15:26:12.49 0]

EV証明書は個人でも国会議員や候補者だけは認めてほしい
なりすまし対策に有効じゃん

[680 名無しさん＠お腹いっぱい。 2016/08/09(火) 17:05:20.04 0]

政治団体で取れば良いじゃん

[681 名無しさん＠お腹いっぱい。 2016/08/10(水) 19:27:35.69 0]

国会や地方議会議員とそれらの候補者ってのは重い責任負ってるんだから

「○○党○○県第○区選出衆議院議員　○○○○[JP]」
「○○党○○県比例選出衆議院議員　○○○○[JP]」
「○○党○○県選出参議院議員　○○○○[JP]」
「○○党全国比例選出参議院議員　○○○○[JP]」

「東京都知事　小池百合子[JP]」
「おおさか維新の会所属大阪府知事　松井一郎[JP]」

「東京都知事候補者　マック赤坂[JP]」

の方が理想的

確かEVは違った表示名は認められてないよね？
政治絡みはなりすまし防止の観点から個人でも認めた方がいい。

[682 名無しさん＠お腹いっぱい。 2016/08/11(木) 23:23:10.42 0]

そうですか。

[683 名無しさん＠お腹いっぱい。 2016/08/15(月) 23:25:56.26 0]

Let's Encryptの証明書使ったサイトをHSTS preloadに登録しようとしたら、
https://hogehoge.com uses an incomplete or invalid certificate chain. Check out your site at https://www.ssllabs.com/ssltest/
オレオレ証明書使うなｗｗ 嘘と思うならssltestしてこい

と怒られたんだけど(´・ω・`)
やっぱ互換性糞杉

[684 名無しさん＠お腹いっぱい。 2016/08/15(月) 23:44:00.59 0]

俺は問題ナス

[685 名無しさん＠お腹いっぱい。 2016/08/16(火) 00:21:18.94 0]

>>683
https://hogehoge.com は不正な証明書を使ってるってどのブラウザでも表示されるぞ。

[686 名無しさん＠お腹いっぱい。 2016/08/16(火) 12:16:55.17 0]

設定が間違ってるだけだろ。

[687 名無しさん＠お腹いっぱい。 2016/08/16(火) 13:29:59.32 0]

hogehoge.comってのは、ここに実ドメイン書きたくないから書いた例で、たまたまそのドメインがあっただけじゃね？
本当のドメイン書いたら低脳バレるし

[688 名無しさん＠お腹いっぱい。 2016/08/16(火) 13:32:30.05 0]

と、低能が申しておりますｗｗｗ

[689 名無しさん＠お腹いっぱい。 2016/08/16(火) 13:44:22.06 0]

じゃけん例示はexample.comを使いましょうね〜

[690 名無しさん＠お腹いっぱい。 2016/08/16(火) 18:02:41.25 0]

hogehoge.comを例だと思わない奴がここに居るのか？

[691 名無しさん＠お腹いっぱい。 2016/08/16(火) 18:06:36.43 0]

誰もいないだろう
そういうこと言ってるやつは質問者で遊んでるだけ
>>687は良う分からんが

[692 名無しさん＠お腹いっぱい。 2016/08/16(火) 18:32:32.53 0]

RFC読めない奴なら大丈夫

[693 名無しさん＠お腹いっぱい。 2016/08/16(火) 20:12:05.74 0]

例だと思わない奴は居ないだろうが、例に使っちゃう奴もそうそう居ない。

[694 名無しさん＠お腹いっぱい。 2016/08/16(火) 21:15:10.38 0]

なんだ? hogehoge 憶えたての新人さんか?
ケツの力抜けよとりあえずな。
例示には example.com 使う用にしような。

[695 名無しさん＠お腹いっぱい。 2016/08/17(水) 08:43:21.22 0]

>>685 は初心者だったのか。
そもそも >>683 実際どうなのよ？

[696 名無しさん＠お腹いっぱい。 2016/08/18(木) 00:05:37.96 0]

リダイレクト書けばいいだけやん

[697 名無しさん＠お腹いっぱい。 2016/08/20(土) 17:13:41.98 0]

ちょっと検証していてつまずいてるのでご教示下さい。
現在opensslのs_clientを使用してクロスルートの検証をしています。
クロスルートが必要な古いルート証明書とクロスルートが不要な新しいルート証明書をそれぞれ別ディレクトリに格納してます。
それをCApathで指定してs_clientを実行すると、クロスルート利用はうまくいきますが、クロスルート無しはうまくいきません。
対象のサーバにはクロスルートと中間証明書両方入っている状態となります。
なお、同じディレクトリに新旧のルート証明書両方入れると、旧ルート証明書の方にchainされてしまいます。
opensslはバージョン1.0.1e Feb 2013を使ってます。
宜しくお願いします。

[698 名無しさん＠お腹いっぱい。 2016/08/21(日) 19:04:49.15 0]

Let's Encryptで格安系SSLがヤバイとか言うけど、無くならないだろ

格安系SSLでもよっぽどいい加減な業者じゃなければ会員登録時に個人情報を求められるし、
支払が必要≒支払者の銀行口座・クレジット番号で明細に残る
提出用CSRにもチェック入る業者もある。内容が少しでも違ってたら発行しませんとかよくある。
格安系SSLでも悪用するには大きなハードルがある。

Let's Encryptはどうか？
発行枚数実質無制限、仲介業者なし、個人情報の提供なし、CSR不要（ファイル認証かDNS認証のみ）、
そもそも無料なため本人確認のしようがない。etc...
＋Torを使えば悪用し放題じゃね？

既に悪用されたケースがちらほらある。
http://security.srad.jp/story/16/01/10/1837213/

そのうち、Googlebotも証明書の種類で判定して、このサイトはそれ使ってるからダメだってなりそうな気もする。

>>697
その前にOpenSSLバージョンアップしろよ

[699 名無しさん＠お腹いっぱい。 2016/08/21(日) 19:47:24.79 0]

>>698

> 格安系SSLでもよっぽどいい加減な業者じゃなければ会員登録時に個人情報を求められるし、
> 支払が必要≒支払者の銀行口座・クレジット番号で明細に残る

何言ってるんだか
その個人情報は全部出鱈目でも取得可能

「よっぽどいい加減な業者」がどこかは知らんけど、さくらのSSLのラピッドSSLすら実質匿名で取れるのを知らんのか
支払いも10万円以下なら、ATMから口座持ってなくても銀行振り込みできるし、振り込み名義は「ヤマダタロウ」とかいい加減に入力すれば弾かれない

[700 名無しさん＠お腹いっぱい。 2016/08/21(日) 19:59:54.83 0]

何言ってんだお前
誰が運営してるかがバレた時点でアウトなサイトでも取れるって話だろ

[701 名無しさん＠お腹いっぱい。 2016/08/21(日) 20:26:33.64 0]

>>698
バージョンアップできないのよ。

[702 名無しさん＠お腹いっぱい。 2016/08/21(日) 21:31:47.19 0]

>>698
認識が間違ってるわ
ドメイン認証の証明書は有料だろうが本人確認がない時点でLet'sEncryptと同じだよ
ドメイン認証は間違いなく消えてなくなる方向だよ

[703 名無しさん＠お腹いっぱい。 2016/08/21(日) 22:19:47.56 0]

だろうなぁ。
でも、同じように、高額のシマンテックの証明書とかは無くならないけど値段が下がるって事にはなるだろうね。

[704 名無しさん＠お腹いっぱい。 2016/08/21(日) 22:27:39.78 0]

どっちも見当はずれだろｗ

[705 犯罪者御用達ｗｗｗｗｗｗｗｗ 2016/08/21(日) 23:13:01.56 0]

http://thehackernews.com/2016/01/free-ssl-certificate-malware.html

For a long time, malware authors purchased stolen SSL certificates
from the underground market and deployed them in their malvertising campaigns.
Fortunately, these certificates are eventually caught up and invalidate
by their legitimate owners.
However, with the launch of Let's Encrypt free SSL certificates,
malware authors don't even have to pay for SSL certificates anymore,
and can request one for free instead.

従来、ウイルス作者は不正な方法でSSL証明書を購入し、トロイの木馬付き広告を配布したがいずれも所有者によって無効化されている。
しかし、Let's Encryptのサービス開始でウイルスの作者はSSL証明書に金払う必要なくなり、更に自由に発行できるようになった。


犯罪者御用達SSL証明書、Let's Encryptｗｗｗｗｗ
こんな糞サービスやめた方がいい。絶対ｗ

>>702
有料証明書だと金銭的にやり難いだろ？ｗ

[706 犯罪者御用達 ぱよぱよちーん©2ch.net 2016/08/21(日) 23:13:46.97 0]

http://thehackernews.com/2016/01/free-ssl-certificate-malware.html

For a long time, malware authors purchased stolen SSL certificates
from the underground market and deployed them in their malvertising campaigns.
Fortunately, these certificates are eventually caught up and invalidate
by their legitimate owners.
However, with the launch of Let's Encrypt free SSL certificates,
malware authors don't even have to pay for SSL certificates anymore,
and can request one for free instead.

従来、ウイルス作者は不正な方法でSSL証明書を購入し、トロイの木馬付き広告を配布したがいずれも所有者によって無効化されている。
しかし、Let's Encryptのサービス開始でウイルスの作者はSSL証明書に金払う必要なくなり、更に自由に発行できるようになった。


犯罪者御用達SSL証明書、Let's Encryptｗｗｗｗｗ
こんな糞サービスやめた方がいい。絶対ｗ

>>702
有料証明書だと金銭的にやり難いだろ？

[707 名無しさん＠お腹いっぱい。 2016/08/21(日) 23:28:48.68 0]

よっぽど儲からなくて困ってるんだろうな。
ごく小さな代理店は。

SSLかかってたら安全なんて時代もとっくに終わってんだから、
無料だから濫用される、無料のがあるからうちのが売れない、とか言い訳探してないで、売る方法考えりゃいいのに。

[708 名無しさん＠お腹いっぱい。 2016/08/21(日) 23:38:24.16 0]

荒らしはスルー

[709 名無しさん＠お腹いっぱい。 2016/08/21(日) 23:39:18.21 0]

広告とかで出てくるSSLでセキュリティ対策できますみたいなのってなんなんだろな

[710 犯罪者御用達SSL証明書、その名はLet's Encrypt ぱよぱよちーん©2ch.net 2016/08/21(日) 23:55:45.15 0]

・シールなし（藁）
・日本語ドメイン非対応（藁）
・たったの90日（藁）
・不正証明書作り放題（糞藁）
・不正利用されても無効化不可能（禿藁）
・ルート証明書はI'den Trustという無名認証局（禿藁）
・大手認証局が参入しないのは100%不正利用されるから（禿藁）
・犯罪の温床（寺藁）
・犯罪者御用達証明書（与太藁）

>>707
無料だからじゃなくて犯罪に利用されても無効化できない、
脆弱性だらけ、数十秒で作成可能とか
もはや外部攻撃された認証局と同じｗｗｗｗ

[711 名無しさん＠お腹いっぱい。 2016/08/22(月) 00:04:53.76 0]

>>710
犯罪に利用されても、と言われてもなぁ。
そもそも認証じゃなくて、その名の通り、Encryptがメインだから。
そういう意味では認証局ですら無いだろ。

大手認証局がこう言う事しないのは、文字通り認証局だからだろ。
そら推せば良いだけなのに。

だから売れる物も売ることが出来ねえんだよなぁ、ボンクラって。

[712 名無しさん＠お腹いっぱい。 2016/08/22(月) 01:27:55.54 0]

臭い名前からして前も政治コピペ貼って荒らしてた奴と同じだろ

[713 名無しさん＠お腹いっぱい。 2016/08/22(月) 10:05:58.28 0]

>>705-706
StartSSLでも同じようにできることなんだが、何言ってるんだこいつは

[714 367 2016/08/25(木) 12:59:27.19 0]

質問させてください。
Let's EncryptでSSLを取得しようと思って何回か試したのですが、以下のようなエラーが出てしまい前にすすめません。
Detail: DNS problem: NXDOMAIN looking up A for hogehoge.mydsn.jp

DDNSのmydsn設定欄に何かしら設定をすればよいのでしょうか？

ちなみSSL化したい対象このサーバーはapacheリバースプロキシサーバーのバックエンドのサーバーです。
リバースプロキシサーバーに問題があるのでしょうか？

ご存じの方いらっしゃいましたらアドバイス頂けないでしょうか。
どうか宜しくお願い申し上げます。

[715 名無しさん＠お腹いっぱい。 2016/08/25(木) 13:04:16.47 0]

取りあえずそのddnsやめてfreenom+cloudflareでラクチン管理&apiで自動化し放題にしようぜ

難しいことせずに一旦80と443を取りたい鯖に向けちゃうのが早いよ

[716 名無しさん＠お腹いっぱい。 2016/08/25(木) 13:06:04.30 0]

マルチすんな死ね

[717 名無しさん＠お腹いっぱい。 2016/08/25(木) 13:25:22.16 0]

ドメインの例示に hogehoge 使う奴は総じて無能。

[718 名無しさん＠お腹いっぱい。 2016/08/25(木) 13:27:32.68 0]

しかも
> mydsn.jp
とか夏の暑さで頭が逝っているのではないかと

[719 367改め714 2016/08/25(木) 14:19:06.11 0]

すみません、私の確認違いで別のスレにマルチしてしまっていました。
向こうのスレの方には経緯をお伝えし、こちらで改めて質問させて頂きます。

[720 名無しさん＠お腹いっぱい。 2016/08/25(木) 14:35:29.00 0]

まず取得しようとした環境と操作内容は？
DNS側でやることは何もないよ
普通にそのドメインでwebブラウザでページひらけるんだよね？

[721 714 2016/08/25(木) 14:56:13.39 0]

http://qiita.com/TsutomuNakamura/items/4166423699061e38d296
上記のサイトを参考に、順当に操作をつづけ
最後に
sudo certbot-auto certonly --webroot -w /var/www/html/owncloud -d hogehoge.mydsn.jp --email メールアドレス
のコマンドを打ちました。


環境としては、Windows2012R2のhyper-vで
・apacheでのリバースプロキシサーバー
・その配下に、apacheのwebサーバーを動かしています。
このwebサーバーをSSL化したいのです。

ちなみに、715さんがレスくれたように一旦、ルーターのポート80と443をwebサーバーに向けて、上記の操作を行ったのですが、
結果は同じでした。

またmydsn.jpってDDNSはあまりよろしくないんでしょうか？
何かご存じでしたら教えて頂けませんでしょうか。

>>freenom+cloudflareでラクチン管理&apiで自動化
ってちょっと調べてみたのですが、cloudflareがSSLを発行してくれると言うことはわかりましたがapiで管理と言う部分が
わかりません。
もう少し突っ込んでお話聞かせて頂ければ幸いです。

[722 714 2016/08/25(木) 15:09:31.57 0]

連レス失礼します。
実際にサーバーを動かしているOSは両方ともCentos7になります。

[723 名無しさん＠お腹いっぱい。 2016/08/25(木) 15:40:52.39 0]

その http://hogehoge.mydsn.jp/ にアクセスして
/var/www/html/owncloud/ の index読みに行ってる？
ログに残ると思うけど

[724 名無しさん＠お腹いっぱい。 2016/08/25(木) 16:47:44.17 0]

apiとかはやりたきゃってことよ
cloudflareのDNS部分だけ使う
freenomで無料のまともなドメイン(example.tk等)がもらえるからそのネームサーバーをcloudflareにする
間違いなく操作しやすいからね
ddnsだとドメインごとの発行制限引っかかったりいろいろめんどくさいのでこの方法の方がいい
IP変わってもcloudflareのwebサイトで変えたら数分で切り替わってるし俺はそれがめんどくさいからその作業自動化してる

[725 名無しさん＠お腹いっぱい。 2016/08/25(木) 17:53:29.98 0]

>>721
なあいい加減
mydsn.jp
に疑問を抱かないのか？
目見えてる？

[726 名無しさん＠お腹いっぱい。 2016/08/25(木) 19:26:27.28 0]

そこはサンプルのためにあえて存在しない例でも書いてるのかと
思ったけど、それそのままなのかよ、まさかねえ

[727 名無しさん＠お腹いっぱい。 2016/08/28(日) 00:23:18.94 0]

ドスン

[728 名無しさん＠お腹いっぱい。 2016/08/28(日) 15:25:15.52 0]

まあデータソースネームに釣られたんじゃないかｗ

[729 名無しさん＠お腹いっぱい。 2016/09/07(水) 17:06:35.71 0]

新参＆質問です
他の鯖ではうまくいったんですが、*****.mydns.jpのサイトだけ
Too many certificates already issued が出て証明書がもらえません
やはりダイナミックDNSでは使えないということでFAですかね？ぐぐってもわからなかった（取れてる人もいる）のですが
事実上無理ですよね、何度も試し続けて運良く取れてもまともに更新できないだろうし…

[730 名無しさん＠お腹いっぱい。 2016/09/07(水) 18:27:23.51 0]

だからもう書いだだろそれ
>>724みたいにすればいい

[731 名無しさん＠お腹いっぱい。 2016/09/07(水) 19:11:12.80 0]

https://publicsuffix.org/list/

[732 名無しさん＠お腹いっぱい。 2016/09/07(水) 21:25:49.66 0]

>>729
発行しない理由も明示され、あなたがそこに貼っているとおりなんだが…
DDNSで使えないのではない
1ドメインにつき発行する数に制限があり、mydns.jpはすでに上限に達しているということ
別途ドメインとって、それをDDNSで運用すればいいだけ

[733 名無しさん＠お腹いっぱい。 2016/09/08(木) 11:28:20.25 0]

>>729
ベータの頃は、7日間に5回取得したらそれ以上取れなくなる制限あったけど
その上限未だあるんじゃないの
何回も取りなおしてない？
まあ数日経てばとれると思うよ

[734 名無しさん＠お腹いっぱい。 2016/09/10(土) 22:28:40.52 0]

Issuer: CN=Let's Encrypt Authority X3 The certificate is not issued by a trusted authority.
と環境によっては出てしまうけど、これはこういうもの？仕方ないのでしょうか

[735 名無しさん＠お腹いっぱい。 2016/09/11(日) 03:11:27.72 0]

>>734
クライアントからアクセス時にそのエラーが出るってこと？

それはサーバソフトでの中間証明書の設定ミス以外考えられない
Let's Encrypt Authority X3 は IdenTrust からチェーンされてるはずだから、
「IdenTrust が信用できない」というエラーが出るならともかく「Let's Encrypt Authority X3 が信用できない」
なんていうエラーは出ないはず

[736 名無しさん＠お腹いっぱい。 2016/09/11(日) 08:07:04.84 0]

まともな環境なら普通に全部ストアに入ってるはずだがな

[737 名無しさん＠お腹いっぱい。 2016/09/11(日) 10:36:59.23 0]

そうなのですか、おかしいな
ある一つのクライアントを除いて出ていないので、そのクライアントがおかしいのかなと思ったのですが
それもおかしいよな
でも鯖は普通にcert.pem, privkey.pem, chain.pemをApacheに読み込ませてるだけなので間違いようもないし

[738 名無しさん＠お腹いっぱい。 2016/09/11(日) 13:22:54.51 0]

>>737
chain.pem を読み込ませているなら問題ないっぽいね

中間証明書を読み込ませないと、クライアントによってはエラーが出たりでなかったり不安定になるが

[739 名無しさん＠お腹いっぱい。 2016/09/11(日) 13:42:20.49 0]

>>737
https://www.ssllabs.com/ssltest/
ここの結果どう？

[740 名無しさん＠お腹いっぱい。 2016/09/11(日) 19:45:10.43 0]

>>739
Bになりました
特に致命的な問題はなさそうに見えますが

[741 名無しさん＠お腹いっぱい。 2016/09/11(日) 19:50:35.17 0]

評価というより上の証明書あたりのところね
エラー出てないなら問題ない
クライアントがクソなんだろう

[742 名無しさん＠お腹いっぱい。 2016/09/11(日) 20:01:27.44 0]

・Chrome49＋chainあり：OK
・Chrome49＋chainなし：証明書エラー
・Chrome52＋chainなし：OK
こんな感じだった

[743 名無しさん＠お腹いっぱい。 2016/09/11(日) 20:49:02.08 0]

FORTIGATE かなんか入れてない？

[744 名無しさん＠お腹いっぱい。 2016/09/12(月) 01:43:20.60 0]

Windowsの証明書ストア（＋キャッシュ）の影響を受けてるだけじゃね？

[745 名無しさん＠お腹いっぱい。 2016/09/12(月) 19:30:26.61 0]

もう、どうでもよくね？

[746 名無しさん＠お腹いっぱい。 2016/09/13(火) 11:49:53.04 0]

そうだな。

[747 名無しさん＠お腹いっぱい。 2016/09/15(木) 21:25:48.40 0]

openssl s_client -connect
で調べれば？

[748 名無しさん＠お腹いっぱい。 2016/09/20(火) 16:18:53.89 0]

更新のたびに、ファイルが作られていくけど古いのって自動的には消えないの

[749 名無しさん＠お腹いっぱい。 2016/09/20(火) 16:43:31.02 0]

消されたら困るじゃんよ
新しいの作ってweb鯖側の設定まだ変えてなかったらエラー出てweb鯖起動できなくなったりする

[750 名無しさん＠お腹いっぱい。 2016/09/20(火) 20:12:59.20 0]

SANに登録できるドメインの数の上限は何個だろう
上限まで使い切りたい

[751 名無しさん＠お腹いっぱい。 2016/10/07(金) 13:53:51.31 0]

なーんかまたスクリプトの更新頻度が上がってるな
日に何度もアップデートあったし

[752 名無しさん＠お腹いっぱい。 2016/10/20(木) 15:59:35.63 0]

検証され信頼できる運営者情報はありません
EV証明のないサイトなんて

[753 名無しさん＠お腹いっぱい。 2016/10/20(木) 16:02:37.26 0]

オレオレよりよっぽどマシ、スマホにCA証明書追加しなくても使えるからな
使う顧客は自分と関係者だけだからEV証明もいらん

[754 名無しさん＠お腹いっぱい。 2016/10/20(木) 16:02:54.37 0]

ﾌｰﾝ

[755 名無しさん＠お腹いっぱい。 2016/10/20(木) 16:03:12.20 0]

>>753
いや、それはないだろ

[756 名無しさん＠お腹いっぱい。 2016/10/20(木) 16:05:59.73 0]

暗号化したいだけなんだよ
それなのに余計な警告出されるのがクソウザイ

[757 名無しさん＠お腹いっぱい。 2016/10/23(日) 23:07:59.91 0]

Mozilla、Firefox 52のデフォルトでTLS 1.3を有効にする計画
http://security.srad.jp/story/16/10/22/2318250/

[758 名無しさん＠お腹いっぱい。 2016/10/25(火) 03:14:18.00 0]

Letsencryptが普及しようが格安SSLはまだまだ需要はある。
互換性の観点から言うと格安系より少ないし、特に法人向けでは需要がある。

[759 名無しさん＠お腹いっぱい。 2016/10/26(水) 08:05:50.29 0]

法人がほしいのはサポートだからな
その格安でサポートが受けれるかという疑問もあるがｗ

[760 名無しさん＠お腹いっぱい。 2016/10/26(水) 17:39:05.40 0]

>>759
私の職場ではローカルアドレスのサーバーがあってこれのSSL証明書はブラウザで警告でなきゃ何でもとい。
Ｌｅｔｓは公開サーバー建てないと取れないから1000円程度の格安使っているよ。

[761 名無しさん＠お腹いっぱい。 2016/10/26(水) 18:27:50.71 0]

普通に適当なドメイン使って外部公開してる鯖でssl証明書手に入れてそいつをローカルの鯖にコピーしてきてhostsなり社内のDNSなりでドメインその鯖に向ければいいじゃん

[762 名無しさん＠お腹いっぱい。 2016/10/26(水) 18:50:07.55 0]

完全なローカル環境でのサーバ運用ってアップデートとかしないの？
つかローカルならSSL使う必要性すら無い気もするが、
社内のネットワークを管理してる人間すら信用ならないって事なのか？

[763 名無しさん＠お腹いっぱい。 2016/10/26(水) 18:53:58.78 0]

>>762
社内にミラー鯖立てててそっから更新するんじゃね
テスト環境だけと本番と同じようにSSLで通信させたいとか色々あるだろ

[764 名無しさん＠お腹いっぱい。 2016/10/26(水) 19:20:28.62 0]

ミラー鯖あるならそこで証明書更新出来るんじゃねーの？

[765 名無しさん＠お腹いっぱい。 2016/10/26(水) 19:27:16.14 0]

俺は本人じゃないよ
推測で言っただけですはい

[766 名無しさん＠お腹いっぱい。 2016/10/27(木) 08:34:16.32 0]

>>760
社内向けのドメインなら格安で取れば簡単か。
なるほど！

[767 名無しさん＠お腹いっぱい。 2016/10/27(木) 17:24:06.05 0]

公開って取るときだけ80あけりゃいいじゃん

[768 名無しさん＠お腹いっぱい。 2016/10/27(木) 17:31:35.92 0]

そもそも同じ鯖である必要すらないだろ

[769 名無しさん＠お腹いっぱい。 2016/10/31(月) 16:55:02.50 0]

2016/10/31、
yahoo検索が常時SSL(常時HTTPS)となった模様

http://fast-uploader.com/transfer/7033455998374.PNG?key=

[770 名無しさん＠お腹いっぱい。 2016/11/01(火) 08:42:56.06 0]

ファイル認証でhttpの鯖とhttpsの鯖が異なるとき、htttpsにリダイレクトしても取りに来てくれたよ。

[771 名無しさん＠お腹いっぱい。 2016/11/02(水) 19:37:06.57 0]

>>770
新しいプロトコル作ったのかよ

[772 名無しさん＠お腹いっぱい。 2016/11/03(木) 19:56:39.93 0]

お茶吹いたぞコノヤロー

[773 名無しさん＠お腹いっぱい。 2016/11/06(日) 19:31:18.05 0]

メジャースポンサー見てたら、英語圏以外では中華系しかない件
中華系は共産党の検閲絡みだからか？
一方、セキュリティ？何それおいしいの？の日本や韓国はスポンサーにならないだろう多分ｗ

[774 名無しさん＠お腹いっぱい。 2016/11/08(火) 22:54:37.81 0]

Tシャツもらえるぜ
ttps://www.generosity.com/community-fundraising/make-a-more-secure-web-with-let-s-encrypt

[775 名無しさん＠お腹いっぱい。 2016/11/12(土) 21:34:10.16 0]

日本語ドメイン名まだー？

[776 名無しさん＠お腹いっぱい。 2016/11/12(土) 21:35:50.17 0]

とっくに

[777 名無しさん＠お腹いっぱい。 2016/11/12(土) 21:52:24.46 0]

>>776
できるの?
できんのだけど。。。

[778 名無しさん＠お腹いっぱい。 2016/11/13(日) 13:10:23.59 0]

punycodeでやってる?

[779 名無しさん＠お腹いっぱい。 2016/11/13(日) 19:14:05.77 0]

>>776
>>778
開発版インストールでできました。
ありがとう！

[780 名無しさん＠お腹いっぱい。 2016/12/01(木) 17:44:11.41 0]

http://upup.bz/j/my44020gUjYtVhx-H5xOfQw.jpg

今年の11月からNEVERまとめが常時SSL(常時https)化

https://matome.na-ver.jp/odai/2147927345093318201
「Neverまとめ」が常時SSL化（WebサイトのHTTPS化）に対応へ - NAVER まとめ

[781 名無しさん＠お腹いっぱい。 2016/12/01(木) 17:51:18.48 0]

サイト全体がHTTPSに！ 常時SSL化のメリットとデメリット | コラム | Web制作 株式会社ワンゴジュウゴ WAN55 （東京・千代田区）
https://www.wan55.co.jp/column/detail/id=390

[782 名無しさん＠お腹いっぱい。 2016/12/01(木) 18:03:54.87 0]

http://hayabusa3.2ch.net/test/read.cgi/news/1434201149?v=pc
Wikipedia「政府の検閲に対抗しデフォルトをHTTPSにする・・・特に中国、貴様だ」 [転載禁止]©2ch.net
1 : ネックハンギングツリー(家)@転載は禁止:2015/06/13(土) 22:12:29.34 ID:+n0FFgyp0 ?PLT(12345) ポイント特典

WikipediaなどWikimedia FoundationのサイトがデフォルトでHTTPSを採用…政府機関による検閲などを抑止へ
http://jp.techcrunch.com/2015/06/13/20150612the-wikimedia-foundation-turns-on-https-by-default-across-all-sites-including-wikipedia/

Wikipediaなどの重要なwikiプロジェクトをホストしているWikimedia Foundationが今朝(米国時間6/12)、
今後はすべてのサイトのトラフィックをHTTPSにより暗号化する、と発表した。同団体によると、
これにより各国の政府などがユーザトラフィックをモニタすることが困難になり、
またISPがWikipediaなどの記事を検閲することも難しくなる。

同団体は2013年に、サイトのアカウントを持つログインユーザのトラフィックに関してはHTTPSを実装したが、
そのとき、中国やイランなどトラフィックのHTTPS化が難しい国に関しては、
ログインユーザに対しても従来どおりのアクセスを認めた。

しかし今日のWikimedia Foundation(WF)の報告では、同団体はHTTP Strict Transport Security(HSTS)を
使用して、トラフィックをHTTPS破りから保護する、と言っている。
(略)
今日WFが発表した談話によると、"中国ではここ数週間、中国語WikipediaはHTTPとHTTPSの両方で、
多くのユーザにとってアクセス不能になっている。しかし、香港や台湾など一部の、
アクセスできているユーザにとっては、HTTPSがセキュリティの向上に資すると思われる。
また、中国でも英語版Wikipediaにはアクセスできるので、英語版の利用に関しては、
ユーザはHTTPSのセキュリティ効果に浴することができる"、ということだ。
(略)

[783 名無しさん＠お腹いっぱい。 2016/12/01(木) 18:08:20.75 0]

http://echo.2ch.net/test/read.cgi/hp/1461051817?v=pc
【HTTP/2】常時SSL化について語ろう【TLS1.3】©2ch.net

[784 名無しさん＠お腹いっぱい。 2016/12/01(木) 18:13:21.56 0]

ログ速が今日から常時SSL化

[785 名無しさん＠お腹いっぱい。 2016/12/02(金) 16:51:16.35 0]

>>780
https://matome.na-ver.jp/odai/2147714935661573701
https://matome.na-ver.jp/odai/2147565496820672501/2147565617221932203

[786 名無しさん＠お腹いっぱい。 2016/12/02(金) 16:53:13.76 0]

>>784
itest.2ch.netもSSL化

[787 名無しさん＠お腹いっぱい。 2016/12/02(金) 17:03:36.06 0]

http://echo.2ch.net/test/read.cgi/esite/1452760205/?v=pc
【アットウィキ/atwiki】@wikiについて語る Part 16 [無断転載禁止]©2ch.net

[788 名無しさん＠お腹いっぱい。 2016/12/04(日) 12:51:28.14 0]

SSLのデメリットってあるの？

[789 名無しさん＠お腹いっぱい。 2016/12/04(日) 12:56:52.57 0]

パフォーマンスの低下
証明書の更新などの作業の増加
ページ内で読み込めるスクリプトとか画像に多少制限がかかる(安全じゃない接続のは読み込めない)

[790 名無しさん＠お腹いっぱい。 2016/12/06(火) 13:48:21.74 0]

SolarisのOpenCSWで最新だとletsencrypt途中でコケてたのが治った、、よかった
一部のライブラリを古いのに入れ直すの面倒でギリギリまで待ったかいがあったｗ

[791 名無しさん＠お腹いっぱい。 2016/12/07(水) 03:53:58.52 0]

個人：Let's Encrypt（0円）
個人＋高い互換性：RapidSSLとコモド(1.5千円)かFujiSSL

法人・団体：RapidSSL・ジオトラストクイックSSLプレミアム・OV証明書全般
法人（金融取引・通販以外）：EV証明書全般
法人（金融取引・通販等）：シマンテックEV証明書
こんな感じかなぁ

クイックSSLベーシックなるものはRapidSSLは値段は5倍以上する上、機能面では全く同じでメリット皆無
ttps://www.ssl-store.jp/geotrust-quick-ssl-basic/
SSL証明書によって検索結果が優遇されることってあるなら話は別だけど

>>788-789
今に限っては古いブラウザから閲覧できなくなるのと、HTTP接続のは読み込めないくらいじゃね。
SHA-1しか対応しないかSSL3.0まで対応するブラウザは全滅（特に2kとかサポート切れのOSはほぼ全滅）
そのうちTLS1.0も使用禁止になって、ガラケー全滅するかもしれない
パフォーマンスの低下もAES-NIやECDSAのお陰で殆ど感じないし、HTTP/2を使えばむしろ速いほう。

[792 名無しさん＠お腹いっぱい。 2016/12/07(水) 04:52:31.72 0]

昔ながらのアクセスランキングサイトにgetパラメータが渡らなくなっちゃったくらいやね

[793 名無しさん＠お腹いっぱい。 2016/12/07(水) 09:40:38.28 0]

今はそんなの自前で解析するだろ
外部がいいならGoogleで十分だわ

[794 名無しさん＠お腹いっぱい。 2016/12/07(水) 11:44:50.65 0]

昔ながらのアクセスランキングサイトって、アクセス解析じゃなくてWebリングみたいなものの事じゃない？

[795 名無しさん＠お腹いっぱい。 2016/12/07(水) 17:02:28.91 0]

明日切れちゃう＆自動化してないので、手動で./certbot-auto renewしてみたんだけど
No renewals were attempted. と出て更新されない。何がおかしいのでしょうか？
CentOS6です。ログにはDEBUG:certbot.renewal:no renewal failuresと出てます。

[796 名無しさん＠お腹いっぱい。 2016/12/07(水) 19:02:00.94 0]

>>794
確かにHTTPS→HTTPではRefererが送られないけど、今時アクセスランキングのようなAPIがHTTPS非対応ってほとんどなくない？
だって、そのランキングシステムがHTTPSなサイトでまともに機能しないわけで、そんな状況放置するのは普通じゃない

一応、htmlに

<meta name=

[797 796 2016/12/07(水) 19:03:37.37 0]

ほんと2chって投稿が途中で切れたりバグがらけのゴミコードだな

<meta name="referrer" content="unsafe-url" />

って書いとくと、FirefoxとChromeだと HTTPS→HTTP でもReferer送られるようになるよ
IEには効果ないけど

[798 名無しさん＠お腹いっぱい。 2016/12/07(水) 19:07:40.07 0]

コマンドインジェクション対策だったりするんじゃないの

>昔ながらの
って書いてるんだからhttpsなサイトなんて対象外なんだろ

[799 名無しさん＠お腹いっぱい。 2016/12/07(水) 21:02:40.62 0]

逆の言い方するとさ、
HTTPSに対応することで、アクセス解析したときにHTTPSなサイトからのリンクされたことが分かるってメリットがあるよ

もしHTTPだとHTTPSなサイトからリンクされた場合に、Google アナリティクスとかのアクセス解析でも表示されなくなり、
ブックマークとかからの直接アクセス扱いにされるよ

[800 名無しさん＠お腹いっぱい。 2016/12/07(水) 21:15:47.84 0]

ブログランキングで対応している所はにほんブログ村のみ
with2.netなど他の所は非対応のまま

[801 名無しさん＠お腹いっぱい。 2016/12/08(木) 01:57:56.62 0]

httpsサイトは検索エンジンからの流入キーワード全部取れるようにしてほすい…サーチコンソールだけじゃ分からん
ランキングは投票URLが touhyo.cgi?siteno=000 みたいになってると?以降が暗号化されてカウントされないね

[802 名無しさん＠お腹いっぱい。 2016/12/08(木) 03:35:22.55 0]

>>801
たまたま検索結果画面のHTTPS化とタイミングが重なったから誤解している人多いけど、
Google検索のRefererがとれなくなったのは、Google側がプライバシーにかかわるキーワードをサイト側に送らないように対策したから

技術的には検索結果をクリックした際に、特殊なスクリプトを含むリダイレクタを経由するようにして、そのリダイレクタのURLしか取得できないように対策した

キーワードはGoogle Search Console からとるしかなく、数の極端に少ないキーワードや個人情報を含む恐れのあるキーワードは取得できないようになっている

[803 名無しさん＠お腹いっぱい。 2016/12/08(木) 17:14:45.37 0]

Google検索結果のリンクから飛ぶときにHTTPSでないクッションを経由するのが嫌で、Don't track me Google入れてる。

[804 名無しさん＠お腹いっぱい。 2017/01/02(月) 19:41:13.31 0]

https://github.com/analogic/lescript
このスクリプト使ってるんだけどちゃんとtoken見に来てくれない
ブラウザでアクセスすれば普通に見えるがアクセスログに自分とGoogleのBot以外出ておらずアクセス制限なんかもしてない
何か原因思い当たるのありますか？
それと他にphpだけで認証できるようなのありませんか？

[805 名無しさん＠お腹いっぱい。 2017/01/02(月) 19:53:07.61 0]

certbot使ってmanualでできました

[806 名無しさん＠お腹いっぱい。 2017/01/17(火) 18:33:40.22 0]

中間証明書入れないと、Androidブラウザだけ信用してくれないんだな
何ヶ月も気付かなかったわ

[807 名無しさん＠お腹いっぱい。 2017/01/17(火) 19:04:33.00 0]

ディスコンのサポ切れブラウザで信用してくれないと申されましても

[808 名無しさん＠お腹いっぱい。 2017/01/17(火) 19:37:14.63 0]

最近のAndroidのブラウザはChromeだぞ
終わったのは標準ブラウザってやつ

[809 名無しさん＠お腹いっぱい。 2017/01/17(火) 20:25:58.33 0]

それ、Chromeでも起きるよ

[810 名無しさん＠お腹いっぱい。 2017/01/17(火) 21:56:03.53 0]

俺は入れた覚えはないけど
古いバージョンか？

[811 名無しさん＠お腹いっぱい。 2017/01/17(火) 23:30:16.01 0]

この年末に証明書の更新をやって、中間証明書は有効期限内だから入れ替えなくていいかなって。
Win7＋IE11,Chrome、Win10＋IE,Edge,Chrome、iOS＋Safari,Chromeは問題なかったが、
Android 7.1(Nexus5X)＋Chromeの55かな？で「このサイトは信頼できません）になった。

最新の中間証明書に入れ替えたら問題なくなったから、そういうもんだと思ってたんだけど。
ググるとAndroidでだけ証明書エラーってのが何件か引っかかったし。

[812 名無しさん＠お腹いっぱい。 2017/01/18(水) 00:05:13.44 0]

>>811
https://letsencrypt.jp/faq/#Browser の

> 過去に使用されていた中間証明書「Let's Encrypt Authority X1」と、予備の中間証明書「Let's Encrypt Authority X2」は Windows XP との互換性がありませんでした。
> 2016年03月25日以降は、Windows XP との互換性が高い中間証明書「Let's Encrypt Authority X3」、および予備の中間証明書「Let's Encrypt Authority X4」が使用されています。

あたりが影響してるんじゃない？
2016年3月25日に中間証明書が変わったらしいので、3月25日以降に取得した証明書は、それより古い中間証明書だとエラーになるかもしれん

中間証明書はブラウザによっては勝手にキャッシュする（証明書ストアに勝手に入る？）から、自分がエラーでなくても他の人がエラー出たりと検証が困難

なので、https://www.ssllabs.com/ssltest/　でエラーが出ないか確認した方が良い

[813 名無しさん＠お腹いっぱい。 2017/01/18(水) 00:51:24.95 0]

>>812
ありがとう。XP云々との関連は分かんないけど、時期的には同じ感じなので何か関係あるのかな。

検証するにも環境に限りがあるから、そういうサイトも活用する方がいいね。
自分はSymantec Encryptなんちゃらいう検証サイトで見てみたわ。

[814 名無しさん＠お腹いっぱい。 2017/01/18(水) 05:58:18.49 0]

>>812
sslabs.comでエラー無いんだけど、スマホでクロムで警告画面でて使えねーという
ひとが複数出ちゃう。
さてどうしたものか

[815 名無しさん＠お腹いっぱい。 2017/01/18(水) 09:14:20.52 0]

結構前からX3一緒に渡して運用してるけどそんなことになった試しは一度もないなぁ

[816 名無しさん＠お腹いっぱい。 2017/01/18(水) 10:04:49.51 0]

https://youtu.be/quIHgwuF6r4

[817 名無しさん＠お腹いっぱい。 2017/01/19(木) 17:38:08.41 0]

日本国民のために命をかけて悪と戦っている警察の方に
おしっこを出せと命令されたのにかわりに茶をだしたASKA

与党議員を盗聴している、本省の課長級以上の国家公務員の私邸を盗撮している、と言って
日蓮上人の正法を護持し、日本の真の国主であり平和の王者である池田先生と創価学会をネットで誹謗中傷していた奴ら、
おまえらは、全員ASKAと同じ精神障害ということで警察官に逆らう詐欺師と言う事にこれではっきりとなった。

警察官の３割強はわたくし達創価会員で占められている。
ASKAは必ず再逮捕され、拘置所内で自殺と言う事で間違いなく処理される。
おれたちは絶対負けない。
創価の敵対者達も必ず仏法の力で破滅する事になる。

[818 名無しさん＠お腹いっぱい。 2017/01/19(木) 17:38:25.62 0]

警察では池田先生から仏法の教えを受けた警官が日々身命を惜しまず働いている。
ASKAの味方をする奴は全員統合失調の薬物中毒者と言う事にもうすでにもうなったんだから、
おとなしく観念しろ。

創価が与党議員を盗聴している、本省の課長級以上の国家公務員の私邸を盗撮している、
という疑惑を流している奴らも同罪ということになる。

池田先生は魂の指導者で日本の国主なのだということは、
全世界が認めていることなのだから、
もし仮に公務員や一般国民の生活をご照覧になって指導されたとしても
それは当たり前のことだ。

このスレにそんな馬鹿は居ないと思うがASKAに肩入れして警官や盗撮の悪口を言ってるやつは
IPアドレスから住居を突き止めて六道地獄を永久に廻る仏罰をくだしてやる。

[819 名無しさん＠お腹いっぱい。 2017/01/20(金) 03:25:19.93 0]

>>816-818
内容はともかく、ここは Let's Encrypt のスレなんで、無関係な政治や宗教の主張はやめてくれないかな？
他にSSL/TLSのスレはないんで、他の認証局の話題ぐらいならいいけど、流石に政治はスレチすぎる

表現の自由が保証されているとか思ってるかもしれないけど、無関係なスレッドでの主張は反感を買って逆効果になるだけだよ

[820 名無しさん＠お腹いっぱい。 2017/01/20(金) 03:51:45.41 0]

荒らしにマジレスかっこいい

[821 名無しさん＠お腹いっぱい。 2017/01/20(金) 07:57:19.35 0]

IPアドレスとか関係なしの個人特定から仏罰とやらの執行、
そしてそれらの内容を全世界に夢か何かで知らせるくらいできないと本物じゃないよね
こんなスレに書き込んでる時点で(笑)

[822 名無しさん＠お腹いっぱい。 2017/01/20(金) 13:44:19.64 0]

ゴミレスは無視するしかないよ。

[823 名無しさん＠お腹いっぱい。 2017/01/20(金) 15:40:51.56 0]

昔からニュー速とかから定期的にタチ悪いコピペ貼られてたじゃん
ある程度年齢層の高い板は大体そうだよ

[824 名無しさん＠お腹いっぱい。 2017/01/20(金) 16:38:58.23 0]

年代関係なくおかしいやつはおかしいって

[825 名無しさん＠お腹いっぱい。 2017/01/20(金) 16:51:20.35 0]

板とか関係なく電波入ってるコピペは貼られるだろ
なぜスルーできないの？

[826 名無しさん＠お腹いっぱい。 2017/01/27(金) 00:04:04.61 0]

今、話題のグルメンピックの騒動でそのHP見てみたらLet's Encrypt使っててワロタ
Let's Encrypt使ってる商用サイトは詐欺と思えでおｋ？

https://www.gourmetmpic.com

[827 名無しさん＠お腹いっぱい。 2017/01/27(金) 00:44:15.02 0]

短絡的思考過ぎてなんとも。

[828 名無しさん＠お腹いっぱい。 2017/01/27(金) 01:19:59.41 0]

昔からドメインとか証明書に関してはいろいろ言われてるけどね
10年じゃないとダメだのCOMODOはありえないだの
気にするからお前次第だ

[829 名無しさん＠お腹いっぱい。 2017/01/28(土) 03:00:24.59 0]

>>826
お前の考え方が糞過ぎ

[830 名無しさん＠お腹いっぱい。 2017/01/28(土) 05:25:00.98 0]

>>826
全然おkじゃねーよ
もっと勉強してこい

[831 名無しさん＠お腹いっぱい。 2017/01/28(土) 09:34:19.36 0]

>>826
むしろDV証明に何万も出しているサイトの方が情弱で怪しいのでないか

[832 名無しさん＠お腹いっぱい。 2017/01/28(土) 10:14:15.28 0]

>>826
そういうところを見て「怪しいな」って思う人はそもそも相手にしてないから大丈夫

[833 名無しさん＠お腹いっぱい。 2017/01/28(土) 19:36:32.05 0]

Let's Encrypt はSSL/TLSの証明書であって運営内容とは関係なよな
それで使ってるサイトがとか言うのはアホかとしか思えない

[834 名無しさん＠お腹いっぱい。 2017/01/28(土) 19:43:33.55 0]

あるよ？
だって高いところは単純な証明書ではなく信用を売ってるんだもの

[835 名無しさん＠お腹いっぱい。 2017/01/28(土) 19:46:38.95 0]

信頼は証明書の金で買えるものじゃないよ？

[836 名無しさん＠お腹いっぱい。 2017/01/28(土) 19:54:13.69 0]

>>826はそう考えるんだろ

[837 名無しさん＠お腹いっぱい。 2017/01/28(土) 21:22:28.85 0]

まあ>826の信用なんて無いんですけどね

[838 名無しさん＠お腹いっぱい。 2017/01/29(日) 03:49:49.09 0]

>>834
その認識が正しくないから袋叩きにあっているんだと自覚しようか

[839 名無しさん＠お腹いっぱい。 2017/01/29(日) 04:20:28.00 0]

http://echo.2ch.net//test/read.cgi/esite/1485225798/?v=pc
http://echo.2ch.net//test/read.cgi/esite/1485225798/3-n?v=pc
【アットウィキ/atwiki】@wikiについて語る Part 17 [無断転載禁止]©2ch.net

3 : 名無しさん@お腹いっぱい。2017/01/25(水) 02:08:31.60
https://atwiki.jp/news/116
いつも@WIKIをご利用いただき誠にありがとうございます。
@WIKIサポートです。

以前より、https対応につきましては、お知らせさせていただいてますが、
@WIKIはhttps化を完了し、現在、http/httpsいずれも接続が可能になっております。

この度、さらなるセキュリティ強化対策として、
2017年1月30日午前10時を持ちまして
常時SSL化 (httpsのみによる接続) を適用させていただきます。


〜〜〜〜〜〜〜〜〜〜中略〜〜〜〜〜〜〜〜〜〜

なお、本件実施に伴い、現行のhttpsに非対応である一部の古いバージョンのブラウザやサポート終了のOS、
フィーチャーフォン(いわゆるガラケー)等につきましては、ご利用いただくことができなくなります。
大変恐縮ではございますが、現行のスマートフォン・OS・ブラウザ等をご利用いただくようお願い致します。

[840 名無しさん＠お腹いっぱい。 2017/01/29(日) 08:50:40.12 0]

他所でやってくれないか

[841 名無しさん＠お腹いっぱい。 2017/01/30(月) 15:46:24.82 0]

>>834
信用のためならDVじゃなくEVにしとけよ

[842 新潟野郎 2017/02/14(火) 08:02:32.86 0]

http://ameblo.jp/staff/entry-12247397187.html
アメーバブログの常時SSL化に伴う仕様変更について ...
ameblo.jp › staff › entry-12247397187
14 時間前 - 常時SSL化以降、ご利用可能なプラグインについて ... のハッシュタグ入力とテーマ設定の変更について · 【おしらせ】PCの最新版エディタにて一部改善のお知らせ · 【おしらせ】絵文字を追加いたしました。

[843 名無しさん＠お腹いっぱい。 2017/02/17(金) 07:53:29.84 0]

let's encrypt 使い始めました。
webroot で、証明書ゲットして、apache, postfix, dovecot にインストール。うまく動いている模様。
あとは自動更新なんだけど、cron に
certbot renew --quiet --post-hook "service apache24 reload ; service postfix reload ; service dovecot reload"
で、いいのかな？
いちおう、--dry-run と --force-renewal でテストしたらうまくいっているみたいですが、

よく分かんないのが証明書の取得回数制限。
https://letsencrypt.org/docs/rate-limits/

１．１週間に２０ドメインまで
２．１週間にサブドメインは１００まで
３．同じドメインの更新は１週間に５回まで
４．あと、ひとつのIP からは証明書５００枚まで。
５．保留中（これよく分からない）のは３００枚まで
６．制限がかかった時は、１週間たつと解除される。

私は４つのドメインをSANを使ってひとつの証明書にまとめてます。
私の理解では例えば毎週日曜日に --force-renewal 使って更新しても制限にひっかからないと
思うんですが合ってますか？（勿論、決してお薦めでは無いだろうけど）

教えて下さい、エロい人

[844 名無しさん＠お腹いっぱい。 2017/02/17(金) 10:17:27.84 0]

毎週強制更新する必要はどこにもないのだから根本から考え直せ

[845 名無しさん＠お腹いっぱい。 2017/02/19(日) 06:57:01.43 0]

--force-renewal って通常更新に使っちゃいけないのかなぁ？
マニュアルには、毎日２回 renew がリコメンドされてるみたいだけど、
毎週はやりすぎにしても、毎月１回、 --force-renewal するほうが let's のサーバー負荷少ないんじゃね？
殆どの人は回数制限にひっかからないでしょうし。

[846 名無しさん＠お腹いっぱい。 2017/02/19(日) 08:25:51.56 0]

certbot になる以前は自前でスクリプト書いて、証明書の有効期限一ヶ月前にならないと
更新しないようにしてたわ。それを cron で二日毎に回す感じで。
今は certbot がよろしくやってくれてるから force-renewal とかしなくても済んでるよ。

[847 名無しさん＠お腹いっぱい。 2017/02/19(日) 10:14:27.73 0]

>>845
renewならローカルに保存されている証明書の有効期限が30日を切っていない限り
サーバには一切アクセスしないのです。

[848 名無しさん＠お腹いっぱい。 2017/02/19(日) 16:27:19.49 0]

30日前って、更新しろメールが来るタイミングではないの？
期限まで45日を切ったら強制更新するスクリプトを4日に一度cronで回してたけど
もう少しタイミングを後ろにずらせるのかな

[849 名無しさん＠お腹いっぱい。 2017/02/19(日) 17:17:30.74 0]

メールが来るのは19日だろ

[850 名無しさん＠お腹いっぱい。 2017/02/22(水) 12:36:01.87 0]

renewじゃなく強制更新してる人は一体なにが目的なの？

[851 名無しさん＠お腹いっぱい。 2017/02/22(水) 14:08:24.10 0]

すみません

サーバー１でSAN使って www www2 www3
と証明書を取得したとします。

後に
サーバー２で www2
とした場合は証明書は取得可能でしょうか？
サーバー１で取得したものが無効になったりするのでしょうか？

[852 名無しさん＠お腹いっぱい。 2017/02/22(水) 14:19:22.40 0]

取得可能だけどなんでそんなことする必要あるの。
同じ証明書を使えばいいじゃない。

[853 名無しさん＠お腹いっぱい。 2017/02/22(水) 14:30:21.17 0]

１つの証明書に複数ドメインが入ってるか、その複数の中でも先頭のドメインじゃない場合に自己署名証明書扱いされることがあるからじゃね？

[854 名無しさん＠お腹いっぱい。 2017/02/23(木) 12:36:26.95 0]

おいらの renew の cron 遍歴。certbot を使い、webroot で認証してる。

certbot renew --post-hook"なんちゃら"

を --dry-run や --force-renewal でテストして動作確認。
よくわかんないまま、毎日２回 cron で実行するようにした。

毎日、２回、メールがうざい。ので、--quiet を追加。

今度は、本当に期限切れ１ヶ月前にちゃんと動作してくれるんだろうか？と不安になる。
で、毎週１回 cron にして、--quiet を削除。
（今ここ）

みんな、どうしてるの？

p.s.

ところで cron で６０日に１回とか、７５日に１回ってどうやるの？
やろうと思ったんだけど、あり？どうやるんだろうと考え込んでしまった。ｗ

[855 名無しさん＠お腹いっぱい。 2017/02/23(木) 13:08:29.79 0]

cronでスクリプトを毎日動かすようにしてスクリプト側でどっかのファイルに書くなりして日付数えればいいじゃん

[856 名無しさん＠お腹いっぱい。 2017/02/23(木) 13:12:16.22 0]

奇数月の15日に実行とかにすらばええやろ

[857 名無しさん＠お腹いっぱい。 2017/02/23(木) 13:40:08.91 0]

てか更新切れの案内メール届くか不安なんだけど
確認方法ある？

[858 名無しさん＠お腹いっぱい。 2017/02/23(木) 15:30:51.91 0]

自宅で運用してるとcronで回す場合に色んな原因で失敗が有り得るのが怖いから
スクリプトで期限までの残りをチェックして閾値以下になったら強制更新
これを数日に一度実行するのが気持ち的に楽なんだよ
その時に強制更新かけて、通知メールが来る前に処理しちゃう
サブドメインの分をSANS使わずにやってると、メールがウザいでしょ

[859 名無しさん＠お腹いっぱい。 2017/02/23(木) 17:04:21.79 0]

強制更新ばかりするスパマーの証明書は無効化するようにしないといけないな

[860 名無しさん＠お腹いっぱい。 2017/02/24(金) 05:46:14.04 0]

楽しそうだなみんな
ドメイン持ってない漏れには関係ないけど、趣味で試行錯誤するのは楽しい
仕事となると期限が発生するからゴメンだけどね

[861 名無しさん＠お腹いっぱい。 2017/02/24(金) 11:19:29.03 0]

>>860
30円くらいでドメイン取得できるぜ

[862 名無しさん＠お腹いっぱい。 2017/02/24(金) 11:22:25.41 0]

その程度なら無料のでいいだろ
どうせその30円のは一年しか使えないんだから

[863 名無しさん＠お腹いっぱい。 2017/02/24(金) 12:41:49.86 0]

無料ドメインで回ってるならそれでいいだろ

[864 名無しさん＠お腹いっぱい。 2017/02/27(月) 08:31:05.21 0]

なんでサーバーにわざわざ負荷を掛けるのかわからないな。
どうせDonateもしてないんだろうし。

[865 名無しさん＠お腹いっぱい。 2017/02/27(月) 11:06:37.66 0]

無料だから何してもいい、という考えじゃないかな？
スーパーの試食も無料だから全部食うようなヤツらだろうな

[866 名無しさん＠お腹いっぱい。 2017/02/27(月) 13:23:11.81 0]

どの書き込みの事を言ってるんだ？？？

[867 名無しさん＠お腹いっぱい。 2017/02/27(月) 21:23:29.89 0]

cronなどでcertbot実行時に--force-renewalつけてる迷惑な方々

[868 名無しさん＠お腹いっぱい。 2017/02/27(月) 23:24:42.98 0]

なんだ日本語読めないんだな(笑)

[869 名無しさん＠お腹いっぱい。 2017/03/03(金) 15:38:21.43 0]

cron で certbot renew を毎日動かしてるんだけど、
/var/log/letsencrypt/ 以下のログって黙っていると無限増殖するんですよね？

[870 名無しさん＠お腹いっぱい。 2017/03/03(金) 19:48:18.17 0]

つまりお前さんが喋り続けるとログが増えないとか
すごい才能だな

[871 名無しさん＠お腹いっぱい。 2017/03/03(金) 22:53:35.30 0]

linuxでもBSDでもログをローテーションする機能あるだろう

[872 名無しさん＠お腹いっぱい。 2017/03/04(土) 03:01:52.11 0]

>>871
certbot使ってない？
certbotがでローテーションはやるが古い世代の削除をやらないだけ。

[873 名無しさん＠お腹いっぱい。 2017/03/04(土) 06:34:24.52 0]

>>872

そうなんですよね。みなさん、ログのお掃除してます？

[874 名無しさん＠お腹いっぱい。 2017/03/07(火) 16:24:50.60 0]

1日1回ぐらいしか書き出されないログを掃除する必要なんて全くないんだが……
昭和生まれでフロッピーディスクとか使ったことある世代の人間なのか？

参考までに、俺の VPS のApache が吐いているログファイル "www.example.com-ssl_access_log" は、1日200万PVで、1日あたり 2.7GB にもなる (UserAgent名も書き出しているから容量多いっぽい)
だけど、パフォーマンス上の問題は全くおきていないぞ

/var/log/letsencrypt/ のログを見たところ、1日あたり 50KB 程度だった
毎日cronで回して、1年で 18.25MB、10年そのサーバを運用しても 182.5MB にしかならない

つまり、certbot のログは、一生貯め込んでも全く問題がないと言える
10年ため込んでも200MBにもならないログの容量の心配をするのは、老害もいいとこである

[875 名無しさん＠お腹いっぱい。 2017/03/07(火) 17:26:39.34 0]

必要ないログ貯めてどうするｗ
せいぜ次の更新までぐらいでOKだろう

[876 名無しさん＠お腹いっぱい。 2017/03/07(火) 17:36:19.55 0]

>>875
なんか「必要のないメール貯めてどうする。要らないメールは見たら消せば良い」と言ってる老害みたいだな
俺のGmailアカウントは1度もメール消したことないし、今チェックしたら34万通貯まってたが、これから一生メールを削除することはないだろう

過去のメールやログは、何かに役立つときが来るかもしれないから念のため取っておくというのが今主流の考え方だと思う

[877 名無しさん＠お腹いっぱい。 2017/03/07(火) 18:18:03.66 0]

ローテートで保持数指定出来るんだから、必要な分以外は無いのが普通だろ
容量の問題じゃないからメールとの比較も的外れだ
サーバ管理者には向かない性格してそうだな

[878 名無しさん＠お腹いっぱい。 2017/03/07(火) 18:21:21.60 0]

実際のとこ気にする必要があるかって言われたら無いよね

[879 名無しさん＠お腹いっぱい。 2017/03/07(火) 18:42:05.04 0]

>>877
ログを安易に消しちゃう方がサーバ管理者に向いてないよ

例えば、正常に動いているように見えて実は不具合が発生していたことに気が付いた場合（ログにもエラーが記録されていない）ようなとき、
過去にも同様の問題が発生していたのかどうかの情報が役に経つこともある
ログ全検索で、5年ぐらい前にも同じエラーが発生していたことが分かり、そっちのログがヒントになって問題が解決したこともある

[880 879 2017/03/07(火) 18:46:24.66 0]

「ログにもエラーが記録されていない」というのはエラーログだけ随時チェックしていても気が付かないけど
生ログには問題を解決するのに役立つ情報が含まれている場合ね

今回初めて発生した問題なのか、過去に気が付かなかっただけで同じ問題が発生したことがあったのかが重要になることもあるから、
やはりログは原則削除すべきではない

例外は、WebサービスのPOSTデータの生ログなど、容量が膨大になり保管が困難な場合
勿論、役に立たないデータというわけではなく、例えば数年ぶりにログインしたユーザーからデータが損傷しているというクレームがあったとき、
数年前のPOST生ログがあれば復旧可能なこともあって役には立つわけだけど、容量が膨大になるときは保管コストが高いので消さざるを得ない

[881 名無しさん＠お腹いっぱい。 2017/03/07(火) 20:13:22.17 0]

certbotが吐くログに１年前がどうとかってアホかと

POSTデータの生ログで復旧するようなシステムってデータベースで設計しろよとｗ
保管コスト以前に膨大な量のログから異常見つけるコスト考えろって

[882 名無しさん＠お腹いっぱい。 2017/03/07(火) 20:16:41.88 0]

Let's Encryptで数年前のログが必要になると？
アホか
過去のログなんてのはいつから問題が発生していたか程度分かれば問題ない
証明書の期間が3ヶ月なんだからそれ以上は残しても無駄

[883 名無しさん＠お腹いっぱい。 2017/03/07(火) 20:22:29.35 0]

こんなことで怒るなよ。
仲良くしようぜ。

[884 名無しさん＠お腹いっぱい。 2017/03/07(火) 20:32:04.05 0]

>>882
> 証明書の期間が3ヶ月なんだからそれ以上は残しても無駄

いや、証明書の期間過ぎてもログは使い道あるだろ

例えば、Certbotって仕様が色々複雑でSANのエリア拡張がどれにかかるのかとか
サブドメイン列挙したときにどれがメインのドメイン名でどれがSAN扱いなのかとか
色々よくわからない点あるじゃん
過去のログとっとくと、昔ああいうコマンド打った時こういう証明書が発行されたな、とか色々わかって便利

「無駄」がどうのと言い出すのなら、1日数十キロバイト程度のログをどうするのかをいちいち考える時間が一番無駄
気にせず放置してログはそのまま保存しとけばいいだけ

ログが万が一漏えいしたときのリスクとか的外れなことは言い出すなよｗ
root権限でしかアクセスできないログが漏えいする時には、もっと重要な秘密鍵もとっくに漏えいしてるわｗ

[885 名無しさん＠お腹いっぱい。 2017/03/07(火) 20:43:13.54 0]

どうでもいいけどrootでしか弄れないログをどうこうするスクリプト書くのはコマンドミスったとき致命傷になるぞ
大した必要もないのに下らんこと気にする方がリスクが高いな

[886 名無しさん＠お腹いっぱい。 2017/03/07(火) 20:52:26.65 0]

>過去のログとっとくと、昔ああいうコマンド打った時こういう証明書が発行されたな、とか色々わかって便利
メモれよ
馬鹿か

[887 名無しさん＠お腹いっぱい。 2017/03/07(火) 21:54:42.44 0]

過去のログなんて見る事自体ないつーの
そんなに暇なんか

[888 名無しさん＠お腹いっぱい。 2017/03/07(火) 22:01:19.81 0]

証明書の更新に失敗してたとして、当日分はわかるが過去ログまで見るか？
どうせ同じエラーしか出力されていないだろうし、エラー内容ググればすぐに解決するだろ

[889 名無しさん＠お腹いっぱい。 2017/03/08(水) 19:31:52.67 0]

鯖缶に向かない人だね

[890 名無しさん＠お腹いっぱい。 2017/03/08(水) 19:58:20.90 0]

わけあってIPアドレス表記の証明書が欲しい…
レアすぎる要求なんだろうな。

[891 名無しさん＠お腹いっぱい。 2017/03/08(水) 23:57:20.06 0]

有料のところでコモンネームがグローバルIPのSSL証明書とればいいんじゃね。

[892 名無しさん＠お腹いっぱい。 2017/03/12(日) 21:15:47.98 0]

パイソン2.4でも動くようにしてくれ。

[893 名無しさん＠お腹いっぱい。 2017/03/12(日) 22:20:32.88 0]

ほんとそれ

[894 名無しさん＠お腹いっぱい。 2017/03/12(日) 23:48:18.84 0]

必要なら自分でフォークして作ればいいじゃないよ
そうじゃなくたって公式以外の実装はいくらでもあるのに

[895 名無しさん＠お腹いっぱい。 2017/03/13(月) 00:23:37.15 0]

python2.4とか骨董品OS使用で踏み台メーカーにしか見えない

[896 名無しさん＠お腹いっぱい。 2017/03/13(月) 05:05:51.71 0]

しょうがねーなー
/usr/local/にpython2.6一時期入れてみるよ。
年季の入ったＣｅｎｔOS5管理者を舐めるなよ！

[897 名無しさん＠お腹いっぱい。 2017/03/13(月) 09:04:05.39 0]

>>896
今月でサポート終了だよね＞CentOS5

[898 名無しさん＠お腹いっぱい。 2017/03/13(月) 12:28:25.50 0]

べつ

[899 名無しさん＠お腹いっぱい。 2017/03/13(月) 12:29:16.82 0]

別に自分で管理できるからいいよ。
さい

[900 名無しさん＠お腹いっぱい。 2017/03/13(月) 12:30:08.35 0]

最急的にrpmほとんどなくなっちゃうかも。

[901 名無しさん＠お腹いっぱい。 2017/03/13(月) 14:55:39.14 0]

落ち着けよｗ

[902 名無しさん＠お腹いっぱい。 2017/03/13(月) 19:40:35.57 0]

>>899
踏み台にされたときの言い訳も用意した方が良いよ
俺のせいじゃないって

[903 名無しさん＠お腹いっぱい。 2017/03/13(月) 20:44:05.33 0]

kernelは2.6でかなり完成されてて、
内部に自分以外のログインユーザーがいたりしなきゃ問題ない。
kernelより上のサーバー周りはほとんどソースからビルドしてるし。
CentOSといいつつ、その機能はほとんど使ってない…

[904 名無しさん＠お腹いっぱい。 2017/03/13(月) 23:33:48.30 0]

スタンドアローンならそれでいいんじゃない

[905 名無しさん＠お腹いっぱい。 2017/03/14(火) 00:42:27.07 0]

Slackware

[906 名無しさん＠お腹いっぱい。 2017/03/18(土) 08:33:12.30 0]

FTPサーバーに入れたんだけど
ffftp ではオレオレ証明と同じ扱いになる。
3ヶ月で証明書は変わるし使えないって事？

[907 名無しさん＠お腹いっぱい。 2017/03/18(土) 11:00:52.11 0]

そもそもなぜSFTPではなくFTPSに行こうとするのかが目が見えてるのかなと思わされるくらい

[908 名無しさん＠お腹いっぱい。 2017/03/18(土) 16:44:51.22 0]

>>907
じゃ sftp でも良いからあらかじめ証明書をダウンロードなどしないで本当に相手なのか確認できる方法があるの。

[909 名無しさん＠お腹いっぱい。 2017/03/18(土) 17:46:29.23 0]

IPで繋いで信用できないなら話にならないだろJK

[910 名無しさん＠お腹いっぱい。 2017/03/18(土) 22:47:49.01 0]

最近の素人はこのレベルなのか…

[911 名無しさん＠お腹いっぱい。 2017/03/19(日) 02:23:05.70 0]

・SFTP じゃなくて FTPS (File Transfer Protocol over SSL/TLS) を使ってる？

・FTPSクライアントのホスト名にはIPアドレスじゃなくて、ドメイン名で入れてる？
　Let's Encrypt は IPアドレス に対する証明書じゃないのでIP入力ならオレオレ扱いになるのは当然

・FFFTPがFTPS対応かはつかってないので知らんけど、仮に対応だとしても小規模のフリーソフトレベルのソフトが
　Mozillaのように独自の証明書ストアを持っているとは思えない
　Chromeとかと同じようにOSの証明書ストア（IEとかEdgeと共通）を使ってると考えるのが自然

　ってことでLet's の証明書でエラーでるならベリサインとかシマンテックとかジオトラストの証明書でも
　同じエラーが出ると思う

[912 名無しさん＠お腹いっぱい。 2017/03/19(日) 15:06:24.99 0]

>>909
それを言ったらhttpsでもIPでアドレスでつなげばオレオレで良いって話じゃないか。

[913 名無しさん＠お腹いっぱい。 2017/03/19(日) 17:14:55.26 0]

安全性の話ならipアドレスが信用できないなら証明書があろうとあまり意味ないし

ブラウザの警告の話なら確かに出るけど
そもそもどうしたいの？

ただ警告消したいの？

[914 名無しさん＠お腹いっぱい。 2017/03/20(月) 10:05:21.29 0]

そもそもSSLってのはパケットやURIの暗号化もあるけど、DNSやドメインが乗っ取られたとしても検知して証明書に記載された正しいIPホストへの接続を保障するものであってIPアドレスそのものに付けても意味ないだろ

[915 名無しさん＠お腹いっぱい。 2017/03/20(月) 11:29:49.36 0]

DNS乗っ取り前提だとLet's Encryptの証明性はゴミ以下だぞ

[916 名無しさん＠お腹いっぱい。 2017/03/20(月) 15:28:47.96 0]

>>915
その通りだな

証明書を新規取得時に、下記の3つを全て確認してくるEV証明書こそまともな証明書だよ

・登記全部事項証明書（登記簿謄本）の原本の確認
・帝国データバンクの情報の確認
・タウンページ記載の電話番号への架電

Let's Encrypt をはじめとした各種DV証明書はほんとゴミ
認証作業が機械化されている DV証明書で金をとる糞業者は滅びるべき

DVは「平文」で通信されるDNSとか、「平文」のHTTPに認証用ファイルを乗せるとかを担保にしているので、
信頼性が全くない

[917 名無しさん＠お腹いっぱい。 2017/03/22(水) 12:29:35.77 0]

>>916
ゴミというかそれらを省いてるからでしょ。
どれを使うかはホストした人が選べばいいだけ。

[918 名無しさん＠お腹いっぱい。 2017/03/29(水) 18:05:05.09 0]

Symantec発行のSSL/TLS証明書、Google Chromeで段階的な期限短縮案
http://internet.watch.impress.co.jp/docs/news/1051510.html
https://security.srad.jp/story/17/03/26/064241/

「Chrome 64で279日以内の証明書しか受け入れないようにするとの提案を行った」模様

GeoTrust、Thawte、Verisign、Equifax も Symantec
使っている人が多い RapidSSL も GeoTrust なので、Symantec発行の証明書扱い

Google Chrome だと、大手認証局の証明書の有効期間も約9か月までに制限されそうなので、
自動更新が容易な Let's Encrypt の方が有利になるな

有償の証明書よりも利便性が高まるという皮肉な事態

[919 名無しさん＠お腹いっぱい。 2017/03/29(水) 18:37:35.72 0]

Let'sEncryptはある意味Googleの身内みたいなもんだし

[920 ich1 2017/04/01(土) 14:49:25.73 0]

https://goo.gl/8by4rX
これは嫌だなー。。本当なの？

[921 名無しさん＠お腹いっぱい。 2017/04/09(日) 08:16:35.02 0]

自宅鯖にこれ入れて泥タブで見ると「証明書が見つかりません」とか出てだめなんだけど、
なんでかわかりますか？
Windowsのクロムでみるとちゃんとアドレスが緑になってくれるのに。
もし入れるとしたら、何をどう入れれば

[922 名無しさん＠お腹いっぱい。 2017/04/09(日) 10:03:19.23 0]

国産の化石タブは窓から投げ捨てるに限る

[923 名無しさん＠お腹いっぱい。 2017/04/09(日) 10:09:02.65 0]

「キャンセル」押してしばらく放っておいたら見れるようになった。
なんかわからんけど解決。

[924 名無しさん＠お腹いっぱい。 2017/04/09(日) 23:25:55.06 0]

ページキャッシュしてただけじゃね？

[925 名無しさん＠お腹いっぱい。 2017/04/10(月) 23:58:40.25 0]

ダメなのはその端末で最初に表示するときだから、キャッシュはないはずなんだよね
危険の警告じゃなくて、証明書インストールしますか？というダイアログが出る
端末は去年買った3台とも。

[926 名無しさん＠お腹いっぱい。 2017/04/11(火) 02:14:38.68 0]

真面目に解決する気があるならそれなりの書き込みをしろよ
ここはお前の日記帳じゃない

[927 名無しさん＠お腹いっぱい。 2017/04/11(火) 07:10:58.99 0]

情報がないなら別に書き込まなくていい

[928 名無しさん＠お腹いっぱい。 2017/04/11(火) 09:06:39.67 0]

単にサーバー証明書と秘密鍵だけ指定して、中間証明書(chain)指定し忘れてるとかいうオチかと。

[929 名無しさん＠お腹いっぱい。 2017/04/11(火) 09:59:45.00 0]

だな

[930 名無しさん＠お腹いっぱい。 2017/04/11(火) 12:12:55.70 0]

921はIISなのですが、証明書の発行とインストール（letsencrypt-win-simple.V1.9.3で自動）
をやり直して、現在はエラーが出ていません。

中間証明書は自動でインストールされる xxx.xxxxx.com-all.pfx に含まれているのでしょうか。
.pemのほうはいくつか生成されていて、-chainというやつがそれっぽいですが、.pfxは一個しか
ないけれど、上のファイルとほぼ同じ大きさのファイル。

[931 名無しさん＠お腹いっぱい。 2017/05/15(月) 07:35:27.64 0]

毎日 cron で動いている certbot が下記のエラー。

An unexpected error occurred:
AttributeError: 'tuple' object has no attribute 'add'
Please see the logfile 'certbot.log' for more details.

指示に従って、certbot.log なんかを見たりして、ググったところ

py-configargparse

が、11 だと certbot は動くけど、12 になるとエラーとなることが分かった。
調べると、確かに昨日 12 にアップデートしてたので、とりあえず、１１に戻したら
動くようになった。

まぁ、certbot 側か configargparse 側のどちらか（あるいは両方）が近いうちに対処すると思うけど
とりあえず、これで１時間ほど使ったので、メモ代わりに残しておこうｗ

[932 名無しさん＠お腹いっぱい。 2017/06/28(水) 09:07:51.36 0]

ここ生きてますか？

[933 名無しさん＠お腹いっぱい。 2017/06/28(水) 10:13:21.69 0]

は

[934 名無しさん＠お腹いっぱい。 2017/06/28(水) 12:59:14.59 0]

何も無いって事は、問題ないって事の証でしたかｗ

[935 名無しさん＠お腹いっぱい。 2017/07/11(火) 07:09:39.57 0]

ワイルドカードの証明書が発行できるようになるっぽい

[936 名無しさん＠お腹いっぱい。 2017/07/11(火) 09:49:11.03 0]

来年か
https://letsencrypt.org/2017/07/06/wildcard-certificates-coming-jan-2018.html

[937 名無しさん＠お腹いっぱい。 2017/07/12(水) 11:41:49.71 0]

まじか
これでサブドメイン毎に証明書を分けなくても、
証明書から他のサブドメインがバレるって事はなくなるな

[938 名無しさん＠お腹いっぱい。 2017/07/14(金) 23:05:26.53 0]

でもどうやって申請者の正当性を確かめるんだろう
今みたいな「そのドメインを管理している証明」の方式が使えるのだろうか。
あるドメインでアクセスできる場所に申請者がミシルシを置けるなら、そのサブドメインは
どれでもOKみたいな？

[939 名無しさん＠お腹いっぱい。 2017/07/14(金) 23:14:24.38 0]

hoge.tdlが承認できれば*.hoge.tdlもおkじゃ無いのか？

[940 名無しさん＠お腹いっぱい。 2017/07/15(土) 12:41:20.33 0]

*.example.comが登録できるだけで
*.sub.example.comが登録できるわけではないだろ

[941 名無しさん＠お腹いっぱい。 2017/07/15(土) 12:42:48.07 0]

ワイルドカードってそういうもの？

[942 名無しさん＠お腹いっぱい。 2017/07/15(土) 12:57:00.20 0]

>>941
少なくともSSLのワイルドカードの扱いはそういうものです。

[943 名無しさん＠お腹いっぱい。 2017/07/15(土) 13:06:12.88 0]

有料でやってる所はDVがなくなってOV、EVになるだろうな

[944 名無しさん＠お腹いっぱい。 2017/07/15(土) 13:24:03.38 0]

>>942
なるほど、じゃあワイルドカードｷﾀｰって人はそこまで多くなさそう

[945 名無しさん＠お腹いっぱい。 2017/07/15(土) 13:53:37.25 0]

このRFCだった。
https://tools.ietf.org/html/rfc6125#page-27
6.4.3. Checking of Wildcard Certificates

[946 名無しさん＠お腹いっぱい。 2017/07/15(土) 15:39:24.77 0]

>>944
え？？本当に理解してるか？
サブドメインごとに登録が必要なのがドメインにつき一つでいいんだぞ？

[947 名無しさん＠お腹いっぱい。 2017/07/15(土) 16:05:38.03 0]

>>946
自分でドメインとってる人は嬉しいだろうけどね
別にddnsのサブドメインでいいやって人には恩恵なさそうな流れだったからね

[948 名無しさん＠お腹いっぱい。 2017/07/15(土) 16:06:52.48 0]

馬鹿にわざわざ説明してまで使っていただく必要はございませぬ

[949 名無しさん＠お腹いっぱい。 2017/07/15(土) 16:22:55.44 0]

>>947
> 別にddnsのサブドメインでいいや
ああそんな人がいることを考えてなかった

[950 名無しさん＠お腹いっぱい。 2017/07/15(土) 21:39:46.50 0]

少数派なのは間違いないだろうな

[951 名無しさん＠お腹いっぱい。 2017/08/04(金) 15:23:49.33 0]

そうだな

[952 名無しさん＠お腹いっぱい。 2017/08/06(日) 00:53:10.28 0]

メジャースポンサーの中に日本の企業も入ったな

[953 名無しさん＠お腹いっぱい。 2017/08/22(火) 14:42:15.78 0]

証明書の有効期限が物凄く短くて
Rootで動くクライアントソフトを定期的に回さないといけない仕様ぽいんだけど
ほんとに、こいつ信用しちゃって大丈夫なん？

やや怖い

[954 名無しさん＠お腹いっぱい。 2017/08/22(火) 14:49:12.05 0]

インターネットの権利を守る非営利では一番歴史と実績の多い電子フロンティア財団を信用するか否かってところやな

[955 名無しさん＠お腹いっぱい。 2017/08/22(火) 15:04:40.61 0]

CSRを送信したら1年か2年分のCRTが戻ってくる
っていうシンプルな仕組みにしなかった理由が知りたいところ

[956 名無しさん＠お腹いっぱい。 2017/08/22(火) 15:34:03.42 0]

セキュリティリスクは放置されているか否かが割と重要

[957 名無しさん＠お腹いっぱい。 2017/08/22(火) 19:48:35.56 0]

>>955
クズがサイト作って放置するからだよ

[958 名無しさん＠お腹いっぱい。 2017/08/23(水) 12:00:18.07 0]

でもcertbot入れたらcron回してるだけで放置しても更新されるんだよな

[959 名無しさん＠お腹いっぱい。 2017/08/23(水) 12:59:40.54 0]

固定IPアドレス割り当てのプロバイダのドメイン名の証明書も取得してたのだがエラーで更新できなくなった。
1ドメインあたりの数の制限ではなく、Googleのunsafeドメインに引っかかってるのかな。
The client lacks sufficient authorization :: Error creating new authz :: "xxx.example.jp" was considered an unsafe domain by a third-party API. Skipping.

[960 名無しさん＠お腹いっぱい。 2017/08/24(木) 22:20:16.11 0]

>>959
悪意あるサイトだと判明したらcert revoke できるから

[961 名無しさん＠お腹いっぱい。 2017/09/23(土) 04:42:10.89 0]

そろそろ、次スレ、誰か作って。

[962 名無しさん＠お腹いっぱい。 2017/09/23(土) 07:45:19.80 0]

>>961
過疎ってるからまだ大丈夫

来週初めての更新だ
期限前に更新バッチ叩いてもなにも起こらないのツラい。

[963 名無しさん＠お腹いっぱい。 2017/09/23(土) 13:39:01.81 0]

何も起こらない……？
更新スクリプトテストしていたときは普通に変わったよ。
長いこと放置している(自動更新させている)間に仕様変わったのか、
そもそも使っているスクリプトが違うのか。

[964 名無しさん＠お腹いっぱい。 2017/09/23(土) 22:53:02.57 0]

仕様変わったよ
期限近くないと何もしない

[965 名無しさん＠お腹いっぱい。 2017/09/25(月) 09:49:17.39 0]

近くってどれくらいなん？

[966 名無しさん＠お腹いっぱい。 2017/09/27(水) 06:33:48.44 0]

>> 965

９月に更新の奴、

Your certificate (or certificates) for the names listed below will expire in 19 days

って注意喚起メールが来てたから、２０日位なんじゃないかな？

[967 名無しさん＠お腹いっぱい。 2017/09/27(水) 12:17:01.39 0]

Windowsのバッチ、renewalで動かなくない？
IISのサーバー証明書が更新されず…
結局、手動で更新したけど、この先不安だなぁ

[968 名無しさん＠お腹いっぱい。 2017/09/29(金) 07:51:51.20 0]

動かないね。 まあメールが来たらこれ打てばいいだけだから、困ってはいないけど。
letsencrypt.exe --accepttos --manualhost host.example.com --webroot C:\wwwroot

[969 名無しさん＠お腹いっぱい。 2017/09/29(金) 21:12:11.54 0]

>>968
それだとIIS側の証明書参照先が更新されないので、手動で切り替えが必要だった
Chromeの仕様変更を期にRapidから乗り換えようと思ったのに…

[970 名無しさん＠お腹いっぱい。 2017/09/29(金) 23:37:37.18 0]

WSLでできんの？

[971 名無しさん＠お腹いっぱい。 2017/10/01(日) 20:04:25.02 0]

SSL化したら画像の読み込みが遅くなりました
サーバーはHTTP/2に対応していて、遅くなるのはネット回線が混雑する時間帯だけSSLだとしょうがないものでしょうか？

[972 名無しさん＠お腹いっぱい。 2017/10/01(日) 21:46:43.22 0]

遅くなったと言うのは具体的にはどの程度
明確な数値でお願いします

[973 名無しさん＠お腹いっぱい。 2017/10/01(日) 22:56:49.48 0]

>>972
レスありがとうございます
画像20枚程度1.3MBのページでテスト
httpだと1.5秒、httpsだと3〜4秒くらいの読み込み
夜の回線が混雑する時間帯以外は両方とも1.5秒程度です
chromeのツールだと画像のcontent downloadというところが速度低下の原因のようです

[974 名無しさん＠お腹いっぱい。 2017/10/01(日) 23:03:39.58 0]

>>972
すいません訂正です

混雑する時間帯は
httpだと2秒、httpsだと3〜4秒くらいの読み込みでした
httpでも多少遅くなりますが、httpsの方が回線の影響を受けやすいようです
申し訳ないです

[975 名無しさん＠お腹いっぱい。 2017/10/01(日) 23:37:08.93 0]

それは回線というより鯖に詰め込みすぎでCPU負荷かかってるんじゃないの？
SSLは一応CPU食うからね

[976 名無しさん＠お腹いっぱい。 2017/10/02(月) 00:13:58.48 0]

>>975
ありがとうございます
サーバーはそれなりのスペックなんで大丈夫だと思います(たぶん)

色々調べたところHTTP/2が原因のようでした
非対応のブラウザだとSSLでも速度低下はみられませんでした

[977 名無しさん＠お腹いっぱい。 2017/10/02(月) 12:23:01.82 0]

作りが酷いウェブアプリ（結果の返答に長時間かかる処理を非同期ではなく同期でロードさせるとか）
だとそれに引っ張られて読み込みがロックされてしばらく画面真っ白になることはある。

ワイルドカード証明書使ってると他のサブドメインにも波及するので怖い。
Let's Encrypt では無縁だけど。

[978 名無しさん＠お腹いっぱい。 2017/10/02(月) 12:56:05.02 0]

>>977
来年 1 月から Let's Encrypt もワイルドカードの証明書発行するっしょ

[979 名無しさん＠お腹いっぱい。 2017/10/16(月) 07:10:26.63 0]

ssl通信初心者です

・サーバ側はIISを利用、クライアント側はcURLを利用
・サーバ側で自己署名証明書を作成してFTPにバインドした
・FTPS通信をクライアントPCからやってみたら警告さえ無視したら(証明書の不正に関する)暗号化もできた通信ができている

この警告を無くすために次の手段としてはこのレッツエンクリプトを導入になるのかな？
公的な機関でなくて良いので(閉じたネットワーク上なため)、この警告をなくす方法を知りたいです

そもそもIISに何かしら(pem?cer?pfx)発行させてクライアントpcにファイルを持っていく必要はない？？
勉強してた限りだとサーバが発行する証明書が真であると判断するために、
何かしらクライアントpcに取り込まなくてはいけないのかな？と思っていたので
何もクライアントに取り込まずに出来ていて戸惑ってます

[980 名無しさん＠お腹いっぱい。 2017/10/16(月) 14:23:36.68 0]

>>979
CA証明書がクライアントPCの信頼されたルート証明機関にあれば、そのCAが発行した証明書で警告が出ない
これが基本

自己署名なら自分のCA証明書をクライアントに入れればいい
Let's Encryptはdomain validationだから閉じたネットワークに使うものではない
したがってスレチ

[981 名無しさん＠お腹いっぱい。 2017/10/16(月) 16:27:12.39 0]

>>979
IISの鯖に証明機関サービス入れてIISのサーバで署名して
そこのCA証明書を信頼させればいいし
台数多くてActiveDirectry入れてるならポリシーに信頼する項目入れりゃいい

Let's Encrypt利用するなら一時的にでも外向きにドメインとサーバ設定して
証明書貰うのが楽だけど90日ごとにそれやらんとならんよ

[982 名無しさん＠お腹いっぱい。 2017/10/16(月) 16:35:11.10 0]

IPv4でLet's Encryptの証明書をとって、東西NTTのNGNのIPv6網上で使うことは可能だった。
IPv6でインターネット繋がってなくても、東同士、西同士だったら通信できる。

[983 名無しさん＠お腹いっぱい。 2017/10/16(月) 16:53:15.92 0]

プライベートIPを指すホスト名用に Let's Encrypt って取得時毎に IP をグローバルにするか
ローカル用にDNS立てないと無理かね。　ワイルドカードの発行が始まれば解決ではあるんだけど

>981 Let's Encrypt って CA証明書用の発行してくれるっけ？　オレオレをローカルにばら撒けという話かな？

[984 名無しさん＠お腹いっぱい。 2017/10/16(月) 18:19:07.73 0]

>>983
1. 一時的に外から鯖がドメインでつながるようにして鯖証明書を取得し、取得完了後は切り離す(LE)
2. 俺俺CAを蔵の信頼リストに入れる
どっちか選べって話だろ

[985 名無しさん＠お腹いっぱい。 2017/10/17(火) 00:40:33.56 0]

んなことしなくてもそのドメインインターネットに繋がってる別の鯖に向けといて証明書取ってそれをコピーしてくるだけでいいじゃん

[986 名無しさん＠お腹いっぱい。 2017/10/17(火) 01:12:53.16 0]

そんなトリッキーな使い方するなら素直に金払った方がいいと思うよ

[987 名無しさん＠お腹いっぱい。 2017/10/17(火) 06:23:00.96 0]

オレオレをインストールしまくるより、鯖の証明書移動するほうが楽な気がする。
クライアントを触らないでいいからね

[988 名無しさん＠お腹いっぱい。 2017/10/17(火) 17:47:41.99 0]

鯖の証明書ってオレオレのこといってんだとおもってたけど違うのか？

[989 名無しさん＠お腹いっぱい。 2017/10/17(火) 17:48:27.27 0]

外に繋がってないローカルpcにSSL通信させたいけどこれって無理？第三機関に繋がらないよね？

[990 名無しさん＠お腹いっぱい。 2017/10/17(火) 20:16:52.81 0]

>>989
密室の中の人がどうやって外の人と手をつなぐかだな

コナン君に聞いてくれ

[991 名無しさん＠お腹いっぱい。 2017/10/17(火) 21:59:34.68 0]

閉じたローカルネット上のＰＣとサーバとの間の経路に通信内容を盗聴しようとする何かがいたりするのか？

[992 名無しさん＠お腹いっぱい。 2017/10/17(火) 22:19:06.41 0]

LAN内だから生で流していいとかあり得んから

[993 名無しさん＠お腹いっぱい。 2017/10/17(火) 22:48:49.04 0]

>>989
外の定義が微妙だけど、俺俺じゃだめなのか？

[994 名無しさん＠お腹いっぱい。 2017/10/17(火) 23:56:42.95 0]

>>992
これ

[995 名無しさん＠お腹いっぱい。 2017/10/18(水) 00:43:32.33 0]

>>1
長すぎる気がするんだが次スレ立てるとき適当に削っていいよな？

[996 名無しさん＠お腹いっぱい。 2017/10/18(水) 01:15:30.52 0]

いいんじゃね

[997 名無しさん＠お腹いっぱい。 2017/10/18(水) 10:46:25.62 0]

無料SSL/TLS証明書 Let's Encrypt Part2
http://mevius.2ch.net/test/read.cgi/hosting/1508291164/

[998 名無しさん＠お腹いっぱい。 2017/10/19(木) 04:01:29.96 0]

>>997
スレ立て乙

[999 名無しさん＠お腹いっぱい。 2017/10/19(木) 07:31:43.64 0]

埋め

[1000 名無しさん＠お腹いっぱい。 2017/10/19(木) 10:53:54.02 0]

質問いいですか？