【全ブラウザ対応】 無料SSL/TLS Let's Encrypt [転載禁止]©2ch.net

[0001 名無しさん＠お腹いっぱい。 2015/11/30(月) 18:01:15.69 0]

2015年12月3日 に 公開ベータ（Public Beta）が開始される予定の Let's Encrypt のスレです。

これは、いわゆる無料の SSL/TLS 証明書なわけですが、ブラウザ Mozilla Firefox を作っているモジラ財団とか、
ネットワーク機器大手のシスコとか、ネットワークインフラ大手のAkamaiとかが出資している大規模なプロジェクトなので、
途中で有料化したり、サービス停止になったりする心配もありません。

さらに、全ブラウザにルート認証局として入っているアメリカの最大手CA IdenTrust の傘下の証明書という扱い（クロスルート）になったので、
クローズベータをやっている現時点でも、全ブラウザに対応しているという神証明書です。

はっきりいって、IdenTrust の証明書をけっているブラウザなんて考えられないので、ジオトラストとかのドメイン認証証明書と同格以上の証明書が
無料で手に入ることになります。

明々後日からは、専用クライアントをダウンロードして、コマンドを実行するだけで、VPS など root 権限があるサーバとドメインがあれば証明書が入手可能なので、
期待しておきましょう。

もう、SSL/TLS の証明書にお金をかける時代はおわったのです（ただし、実在証明を含むEV証明書を除く）


【Let's Encrypt 公式サイト】（英語）
https://letsencrypt.org/

【Let's Encrypt 公式Twitter】（英語による最新情報）
https://twitter.com/letsencrypt

【Let's Encrypt 総合ポータル】（日本語）
https://letsencrypt.jp/

【Let's Encrypt 導入方法】（日本語）
https://letsencrypt.jp/usage/

[0952 名無しさん＠お腹いっぱい。 2017/08/06(日) 00:53:10.28 0]

メジャースポンサーの中に日本の企業も入ったな

[0953 名無しさん＠お腹いっぱい。 2017/08/22(火) 14:42:15.78 0]

証明書の有効期限が物凄く短くて
Rootで動くクライアントソフトを定期的に回さないといけない仕様ぽいんだけど
ほんとに、こいつ信用しちゃって大丈夫なん？

やや怖い

[0954 名無しさん＠お腹いっぱい。 2017/08/22(火) 14:49:12.05 0]

インターネットの権利を守る非営利では一番歴史と実績の多い電子フロンティア財団を信用するか否かってところやな

[0955 名無しさん＠お腹いっぱい。 2017/08/22(火) 15:04:40.61 0]

CSRを送信したら1年か2年分のCRTが戻ってくる
っていうシンプルな仕組みにしなかった理由が知りたいところ

[0956 名無しさん＠お腹いっぱい。 2017/08/22(火) 15:34:03.42 0]

セキュリティリスクは放置されているか否かが割と重要

[0957 名無しさん＠お腹いっぱい。 2017/08/22(火) 19:48:35.56 0]

>>955
クズがサイト作って放置するからだよ

[0958 名無しさん＠お腹いっぱい。 2017/08/23(水) 12:00:18.07 0]

でもcertbot入れたらcron回してるだけで放置しても更新されるんだよな

[0959 名無しさん＠お腹いっぱい。 2017/08/23(水) 12:59:40.54 0]

固定IPアドレス割り当てのプロバイダのドメイン名の証明書も取得してたのだがエラーで更新できなくなった。
1ドメインあたりの数の制限ではなく、Googleのunsafeドメインに引っかかってるのかな。
The client lacks sufficient authorization :: Error creating new authz :: "xxx.example.jp" was considered an unsafe domain by a third-party API. Skipping.

[0960 名無しさん＠お腹いっぱい。 2017/08/24(木) 22:20:16.11 0]

>>959
悪意あるサイトだと判明したらcert revoke できるから

[0961 名無しさん＠お腹いっぱい。 2017/09/23(土) 04:42:10.89 0]

そろそろ、次スレ、誰か作って。

[0962 名無しさん＠お腹いっぱい。 2017/09/23(土) 07:45:19.80 0]

>>961
過疎ってるからまだ大丈夫

来週初めての更新だ
期限前に更新バッチ叩いてもなにも起こらないのツラい。

[0963 名無しさん＠お腹いっぱい。 2017/09/23(土) 13:39:01.81 0]

何も起こらない……？
更新スクリプトテストしていたときは普通に変わったよ。
長いこと放置している(自動更新させている)間に仕様変わったのか、
そもそも使っているスクリプトが違うのか。

[0964 名無しさん＠お腹いっぱい。 2017/09/23(土) 22:53:02.57 0]

仕様変わったよ
期限近くないと何もしない

[0965 名無しさん＠お腹いっぱい。 2017/09/25(月) 09:49:17.39 0]

近くってどれくらいなん？

[0966 名無しさん＠お腹いっぱい。 2017/09/27(水) 06:33:48.44 0]

>> 965

９月に更新の奴、

Your certificate (or certificates) for the names listed below will expire in 19 days

って注意喚起メールが来てたから、２０日位なんじゃないかな？

[0967 名無しさん＠お腹いっぱい。 2017/09/27(水) 12:17:01.39 0]

Windowsのバッチ、renewalで動かなくない？
IISのサーバー証明書が更新されず…
結局、手動で更新したけど、この先不安だなぁ

[0968 名無しさん＠お腹いっぱい。 2017/09/29(金) 07:51:51.20 0]

動かないね。 まあメールが来たらこれ打てばいいだけだから、困ってはいないけど。
letsencrypt.exe --accepttos --manualhost host.example.com --webroot C:\wwwroot

[0969 名無しさん＠お腹いっぱい。 2017/09/29(金) 21:12:11.54 0]

>>968
それだとIIS側の証明書参照先が更新されないので、手動で切り替えが必要だった
Chromeの仕様変更を期にRapidから乗り換えようと思ったのに…

[0970 名無しさん＠お腹いっぱい。 2017/09/29(金) 23:37:37.18 0]

WSLでできんの？

[0971 名無しさん＠お腹いっぱい。 2017/10/01(日) 20:04:25.02 0]

SSL化したら画像の読み込みが遅くなりました
サーバーはHTTP/2に対応していて、遅くなるのはネット回線が混雑する時間帯だけSSLだとしょうがないものでしょうか？

[0972 名無しさん＠お腹いっぱい。 2017/10/01(日) 21:46:43.22 0]

遅くなったと言うのは具体的にはどの程度
明確な数値でお願いします

[0973 名無しさん＠お腹いっぱい。 2017/10/01(日) 22:56:49.48 0]

>>972
レスありがとうございます
画像20枚程度1.3MBのページでテスト
httpだと1.5秒、httpsだと3〜4秒くらいの読み込み
夜の回線が混雑する時間帯以外は両方とも1.5秒程度です
chromeのツールだと画像のcontent downloadというところが速度低下の原因のようです

[0974 名無しさん＠お腹いっぱい。 2017/10/01(日) 23:03:39.58 0]

>>972
すいません訂正です

混雑する時間帯は
httpだと2秒、httpsだと3〜4秒くらいの読み込みでした
httpでも多少遅くなりますが、httpsの方が回線の影響を受けやすいようです
申し訳ないです

[0975 名無しさん＠お腹いっぱい。 2017/10/01(日) 23:37:08.93 0]

それは回線というより鯖に詰め込みすぎでCPU負荷かかってるんじゃないの？
SSLは一応CPU食うからね

[0976 名無しさん＠お腹いっぱい。 2017/10/02(月) 00:13:58.48 0]

>>975
ありがとうございます
サーバーはそれなりのスペックなんで大丈夫だと思います(たぶん)

色々調べたところHTTP/2が原因のようでした
非対応のブラウザだとSSLでも速度低下はみられませんでした

[0977 名無しさん＠お腹いっぱい。 2017/10/02(月) 12:23:01.82 0]

作りが酷いウェブアプリ（結果の返答に長時間かかる処理を非同期ではなく同期でロードさせるとか）
だとそれに引っ張られて読み込みがロックされてしばらく画面真っ白になることはある。

ワイルドカード証明書使ってると他のサブドメインにも波及するので怖い。
Let's Encrypt では無縁だけど。

[0978 名無しさん＠お腹いっぱい。 2017/10/02(月) 12:56:05.02 0]

>>977
来年 1 月から Let's Encrypt もワイルドカードの証明書発行するっしょ

[0979 名無しさん＠お腹いっぱい。 2017/10/16(月) 07:10:26.63 0]

ssl通信初心者です

・サーバ側はIISを利用、クライアント側はcURLを利用
・サーバ側で自己署名証明書を作成してFTPにバインドした
・FTPS通信をクライアントPCからやってみたら警告さえ無視したら(証明書の不正に関する)暗号化もできた通信ができている

この警告を無くすために次の手段としてはこのレッツエンクリプトを導入になるのかな？
公的な機関でなくて良いので(閉じたネットワーク上なため)、この警告をなくす方法を知りたいです

そもそもIISに何かしら(pem?cer?pfx)発行させてクライアントpcにファイルを持っていく必要はない？？
勉強してた限りだとサーバが発行する証明書が真であると判断するために、
何かしらクライアントpcに取り込まなくてはいけないのかな？と思っていたので
何もクライアントに取り込まずに出来ていて戸惑ってます

[0980 名無しさん＠お腹いっぱい。 2017/10/16(月) 14:23:36.68 0]

>>979
CA証明書がクライアントPCの信頼されたルート証明機関にあれば、そのCAが発行した証明書で警告が出ない
これが基本

自己署名なら自分のCA証明書をクライアントに入れればいい
Let's Encryptはdomain validationだから閉じたネットワークに使うものではない
したがってスレチ

[0981 名無しさん＠お腹いっぱい。 2017/10/16(月) 16:27:12.39 0]

>>979
IISの鯖に証明機関サービス入れてIISのサーバで署名して
そこのCA証明書を信頼させればいいし
台数多くてActiveDirectry入れてるならポリシーに信頼する項目入れりゃいい

Let's Encrypt利用するなら一時的にでも外向きにドメインとサーバ設定して
証明書貰うのが楽だけど90日ごとにそれやらんとならんよ

[0982 名無しさん＠お腹いっぱい。 2017/10/16(月) 16:35:11.10 0]

IPv4でLet's Encryptの証明書をとって、東西NTTのNGNのIPv6網上で使うことは可能だった。
IPv6でインターネット繋がってなくても、東同士、西同士だったら通信できる。

[0983 名無しさん＠お腹いっぱい。 2017/10/16(月) 16:53:15.92 0]

プライベートIPを指すホスト名用に Let's Encrypt って取得時毎に IP をグローバルにするか
ローカル用にDNS立てないと無理かね。　ワイルドカードの発行が始まれば解決ではあるんだけど

>981 Let's Encrypt って CA証明書用の発行してくれるっけ？　オレオレをローカルにばら撒けという話かな？

[0984 名無しさん＠お腹いっぱい。 2017/10/16(月) 18:19:07.73 0]

>>983
1. 一時的に外から鯖がドメインでつながるようにして鯖証明書を取得し、取得完了後は切り離す(LE)
2. 俺俺CAを蔵の信頼リストに入れる
どっちか選べって話だろ

[0985 名無しさん＠お腹いっぱい。 2017/10/17(火) 00:40:33.56 0]

んなことしなくてもそのドメインインターネットに繋がってる別の鯖に向けといて証明書取ってそれをコピーしてくるだけでいいじゃん

[0986 名無しさん＠お腹いっぱい。 2017/10/17(火) 01:12:53.16 0]

そんなトリッキーな使い方するなら素直に金払った方がいいと思うよ

[0987 名無しさん＠お腹いっぱい。 2017/10/17(火) 06:23:00.96 0]

オレオレをインストールしまくるより、鯖の証明書移動するほうが楽な気がする。
クライアントを触らないでいいからね

[0988 名無しさん＠お腹いっぱい。 2017/10/17(火) 17:47:41.99 0]

鯖の証明書ってオレオレのこといってんだとおもってたけど違うのか？

[0989 名無しさん＠お腹いっぱい。 2017/10/17(火) 17:48:27.27 0]

外に繋がってないローカルpcにSSL通信させたいけどこれって無理？第三機関に繋がらないよね？

[0990 名無しさん＠お腹いっぱい。 2017/10/17(火) 20:16:52.81 0]

>>989
密室の中の人がどうやって外の人と手をつなぐかだな

コナン君に聞いてくれ

[0991 名無しさん＠お腹いっぱい。 2017/10/17(火) 21:59:34.68 0]

閉じたローカルネット上のＰＣとサーバとの間の経路に通信内容を盗聴しようとする何かがいたりするのか？

[0992 名無しさん＠お腹いっぱい。 2017/10/17(火) 22:19:06.41 0]

LAN内だから生で流していいとかあり得んから

[0993 名無しさん＠お腹いっぱい。 2017/10/17(火) 22:48:49.04 0]

>>989
外の定義が微妙だけど、俺俺じゃだめなのか？

[0994 名無しさん＠お腹いっぱい。 2017/10/17(火) 23:56:42.95 0]

>>992
これ

[0995 名無しさん＠お腹いっぱい。 2017/10/18(水) 00:43:32.33 0]

>>1
長すぎる気がするんだが次スレ立てるとき適当に削っていいよな？

[0996 名無しさん＠お腹いっぱい。 2017/10/18(水) 01:15:30.52 0]

いいんじゃね

[0997 名無しさん＠お腹いっぱい。 2017/10/18(水) 10:46:25.62 0]

無料SSL/TLS証明書 Let's Encrypt Part2
http://mevius.2ch.net/test/read.cgi/hosting/1508291164/

[0998 名無しさん＠お腹いっぱい。 2017/10/19(木) 04:01:29.96 0]

>>997
スレ立て乙

[0999 名無しさん＠お腹いっぱい。 2017/10/19(木) 07:31:43.64 0]

埋め

[1000 名無しさん＠お腹いっぱい。 2017/10/19(木) 10:53:54.02 0]

質問いいですか？