【全ブラウザ対応】 無料SSL/TLS Let's Encrypt [転載禁止]©2ch.net

[1 名無しさん＠お腹いっぱい。 2015/11/30(月) 18:01:15.69 0]

2015年12月3日 に 公開ベータ（Public Beta）が開始される予定の Let's Encrypt のスレです。

これは、いわゆる無料の SSL/TLS 証明書なわけですが、ブラウザ Mozilla Firefox を作っているモジラ財団とか、
ネットワーク機器大手のシスコとか、ネットワークインフラ大手のAkamaiとかが出資している大規模なプロジェクトなので、
途中で有料化したり、サービス停止になったりする心配もありません。

さらに、全ブラウザにルート認証局として入っているアメリカの最大手CA IdenTrust の傘下の証明書という扱い（クロスルート）になったので、
クローズベータをやっている現時点でも、全ブラウザに対応しているという神証明書です。

はっきりいって、IdenTrust の証明書をけっているブラウザなんて考えられないので、ジオトラストとかのドメイン認証証明書と同格以上の証明書が
無料で手に入ることになります。

明々後日からは、専用クライアントをダウンロードして、コマンドを実行するだけで、VPS など root 権限があるサーバとドメインがあれば証明書が入手可能なので、
期待しておきましょう。

もう、SSL/TLS の証明書にお金をかける時代はおわったのです（ただし、実在証明を含むEV証明書を除く）


【Let's Encrypt 公式サイト】（英語）
https://letsencrypt.org/

【Let's Encrypt 公式Twitter】（英語による最新情報）
https://twitter.com/letsencrypt

【Let's Encrypt 総合ポータル】（日本語）
https://letsencrypt.jp/

【Let's Encrypt 導入方法】（日本語）
https://letsencrypt.jp/usage/

[952 名無しさん＠お腹いっぱい。 2017/08/06(日) 00:53:10.28 0]

メジャースポンサーの中に日本の企業も入ったな

[953 名無しさん＠お腹いっぱい。 2017/08/22(火) 14:42:15.78 0]

証明書の有効期限が物凄く短くて
Rootで動くクライアントソフトを定期的に回さないといけない仕様ぽいんだけど
ほんとに、こいつ信用しちゃって大丈夫なん？

やや怖い

[954 名無しさん＠お腹いっぱい。 2017/08/22(火) 14:49:12.05 0]

インターネットの権利を守る非営利では一番歴史と実績の多い電子フロンティア財団を信用するか否かってところやな

[955 名無しさん＠お腹いっぱい。 2017/08/22(火) 15:04:40.61 0]

CSRを送信したら1年か2年分のCRTが戻ってくる
っていうシンプルな仕組みにしなかった理由が知りたいところ

[956 名無しさん＠お腹いっぱい。 2017/08/22(火) 15:34:03.42 0]

セキュリティリスクは放置されているか否かが割と重要

[957 名無しさん＠お腹いっぱい。 2017/08/22(火) 19:48:35.56 0]

>>955
クズがサイト作って放置するからだよ

[958 名無しさん＠お腹いっぱい。 2017/08/23(水) 12:00:18.07 0]

でもcertbot入れたらcron回してるだけで放置しても更新されるんだよな

[959 名無しさん＠お腹いっぱい。 2017/08/23(水) 12:59:40.54 0]

固定IPアドレス割り当てのプロバイダのドメイン名の証明書も取得してたのだがエラーで更新できなくなった。
1ドメインあたりの数の制限ではなく、Googleのunsafeドメインに引っかかってるのかな。
The client lacks sufficient authorization :: Error creating new authz :: "xxx.example.jp" was considered an unsafe domain by a third-party API. Skipping.

[960 名無しさん＠お腹いっぱい。 2017/08/24(木) 22:20:16.11 0]

>>959
悪意あるサイトだと判明したらcert revoke できるから

[961 名無しさん＠お腹いっぱい。 2017/09/23(土) 04:42:10.89 0]

そろそろ、次スレ、誰か作って。

[962 名無しさん＠お腹いっぱい。 2017/09/23(土) 07:45:19.80 0]

>>961
過疎ってるからまだ大丈夫

来週初めての更新だ
期限前に更新バッチ叩いてもなにも起こらないのツラい。

[963 名無しさん＠お腹いっぱい。 2017/09/23(土) 13:39:01.81 0]

何も起こらない……？
更新スクリプトテストしていたときは普通に変わったよ。
長いこと放置している(自動更新させている)間に仕様変わったのか、
そもそも使っているスクリプトが違うのか。

[964 名無しさん＠お腹いっぱい。 2017/09/23(土) 22:53:02.57 0]

仕様変わったよ
期限近くないと何もしない

[965 名無しさん＠お腹いっぱい。 2017/09/25(月) 09:49:17.39 0]

近くってどれくらいなん？

[966 名無しさん＠お腹いっぱい。 2017/09/27(水) 06:33:48.44 0]

>> 965

９月に更新の奴、

Your certificate (or certificates) for the names listed below will expire in 19 days

って注意喚起メールが来てたから、２０日位なんじゃないかな？

[967 名無しさん＠お腹いっぱい。 2017/09/27(水) 12:17:01.39 0]

Windowsのバッチ、renewalで動かなくない？
IISのサーバー証明書が更新されず…
結局、手動で更新したけど、この先不安だなぁ

[968 名無しさん＠お腹いっぱい。 2017/09/29(金) 07:51:51.20 0]

動かないね。 まあメールが来たらこれ打てばいいだけだから、困ってはいないけど。
letsencrypt.exe --accepttos --manualhost host.example.com --webroot C:\wwwroot

[969 名無しさん＠お腹いっぱい。 2017/09/29(金) 21:12:11.54 0]

>>968
それだとIIS側の証明書参照先が更新されないので、手動で切り替えが必要だった
Chromeの仕様変更を期にRapidから乗り換えようと思ったのに…

[970 名無しさん＠お腹いっぱい。 2017/09/29(金) 23:37:37.18 0]

WSLでできんの？

[971 名無しさん＠お腹いっぱい。 2017/10/01(日) 20:04:25.02 0]

SSL化したら画像の読み込みが遅くなりました
サーバーはHTTP/2に対応していて、遅くなるのはネット回線が混雑する時間帯だけSSLだとしょうがないものでしょうか？

[972 名無しさん＠お腹いっぱい。 2017/10/01(日) 21:46:43.22 0]

遅くなったと言うのは具体的にはどの程度
明確な数値でお願いします

[973 名無しさん＠お腹いっぱい。 2017/10/01(日) 22:56:49.48 0]

>>972
レスありがとうございます
画像20枚程度1.3MBのページでテスト
httpだと1.5秒、httpsだと3～4秒くらいの読み込み
夜の回線が混雑する時間帯以外は両方とも1.5秒程度です
chromeのツールだと画像のcontent downloadというところが速度低下の原因のようです

[974 名無しさん＠お腹いっぱい。 2017/10/01(日) 23:03:39.58 0]

>>972
すいません訂正です

混雑する時間帯は
httpだと2秒、httpsだと3～4秒くらいの読み込みでした
httpでも多少遅くなりますが、httpsの方が回線の影響を受けやすいようです
申し訳ないです

[975 名無しさん＠お腹いっぱい。 2017/10/01(日) 23:37:08.93 0]

それは回線というより鯖に詰め込みすぎでCPU負荷かかってるんじゃないの？
SSLは一応CPU食うからね

[976 名無しさん＠お腹いっぱい。 2017/10/02(月) 00:13:58.48 0]

>>975
ありがとうございます
サーバーはそれなりのスペックなんで大丈夫だと思います(たぶん)

色々調べたところHTTP/2が原因のようでした
非対応のブラウザだとSSLでも速度低下はみられませんでした

[977 名無しさん＠お腹いっぱい。 2017/10/02(月) 12:23:01.82 0]

作りが酷いウェブアプリ（結果の返答に長時間かかる処理を非同期ではなく同期でロードさせるとか）
だとそれに引っ張られて読み込みがロックされてしばらく画面真っ白になることはある。

ワイルドカード証明書使ってると他のサブドメインにも波及するので怖い。
Let's Encrypt では無縁だけど。

[978 名無しさん＠お腹いっぱい。 2017/10/02(月) 12:56:05.02 0]

>>977
来年 1 月から Let's Encrypt もワイルドカードの証明書発行するっしょ

[979 名無しさん＠お腹いっぱい。 2017/10/16(月) 07:10:26.63 0]

ssl通信初心者です

・サーバ側はIISを利用、クライアント側はcURLを利用
・サーバ側で自己署名証明書を作成してFTPにバインドした
・FTPS通信をクライアントPCからやってみたら警告さえ無視したら(証明書の不正に関する)暗号化もできた通信ができている

この警告を無くすために次の手段としてはこのレッツエンクリプトを導入になるのかな？
公的な機関でなくて良いので(閉じたネットワーク上なため)、この警告をなくす方法を知りたいです

そもそもIISに何かしら(pem?cer?pfx)発行させてクライアントpcにファイルを持っていく必要はない？？
勉強してた限りだとサーバが発行する証明書が真であると判断するために、
何かしらクライアントpcに取り込まなくてはいけないのかな？と思っていたので
何もクライアントに取り込まずに出来ていて戸惑ってます

[980 名無しさん＠お腹いっぱい。 2017/10/16(月) 14:23:36.68 0]

>>979
CA証明書がクライアントPCの信頼されたルート証明機関にあれば、そのCAが発行した証明書で警告が出ない
これが基本

自己署名なら自分のCA証明書をクライアントに入れればいい
Let's Encryptはdomain validationだから閉じたネットワークに使うものではない
したがってスレチ

[981 名無しさん＠お腹いっぱい。 2017/10/16(月) 16:27:12.39 0]

>>979
IISの鯖に証明機関サービス入れてIISのサーバで署名して
そこのCA証明書を信頼させればいいし
台数多くてActiveDirectry入れてるならポリシーに信頼する項目入れりゃいい

Let's Encrypt利用するなら一時的にでも外向きにドメインとサーバ設定して
証明書貰うのが楽だけど90日ごとにそれやらんとならんよ

[982 名無しさん＠お腹いっぱい。 2017/10/16(月) 16:35:11.10 0]

IPv4でLet's Encryptの証明書をとって、東西NTTのNGNのIPv6網上で使うことは可能だった。
IPv6でインターネット繋がってなくても、東同士、西同士だったら通信できる。

[983 名無しさん＠お腹いっぱい。 2017/10/16(月) 16:53:15.92 0]

プライベートIPを指すホスト名用に Let's Encrypt って取得時毎に IP をグローバルにするか
ローカル用にDNS立てないと無理かね。　ワイルドカードの発行が始まれば解決ではあるんだけど

>981 Let's Encrypt って CA証明書用の発行してくれるっけ？　オレオレをローカルにばら撒けという話かな？

[984 名無しさん＠お腹いっぱい。 2017/10/16(月) 18:19:07.73 0]

>>983
1. 一時的に外から鯖がドメインでつながるようにして鯖証明書を取得し、取得完了後は切り離す(LE)
2. 俺俺CAを蔵の信頼リストに入れる
どっちか選べって話だろ

[985 名無しさん＠お腹いっぱい。 2017/10/17(火) 00:40:33.56 0]

んなことしなくてもそのドメインインターネットに繋がってる別の鯖に向けといて証明書取ってそれをコピーしてくるだけでいいじゃん

[986 名無しさん＠お腹いっぱい。 2017/10/17(火) 01:12:53.16 0]

そんなトリッキーな使い方するなら素直に金払った方がいいと思うよ

[987 名無しさん＠お腹いっぱい。 2017/10/17(火) 06:23:00.96 0]

オレオレをインストールしまくるより、鯖の証明書移動するほうが楽な気がする。
クライアントを触らないでいいからね

[988 名無しさん＠お腹いっぱい。 2017/10/17(火) 17:47:41.99 0]

鯖の証明書ってオレオレのこといってんだとおもってたけど違うのか？

[989 名無しさん＠お腹いっぱい。 2017/10/17(火) 17:48:27.27 0]

外に繋がってないローカルpcにSSL通信させたいけどこれって無理？第三機関に繋がらないよね？

[990 名無しさん＠お腹いっぱい。 2017/10/17(火) 20:16:52.81 0]

>>989
密室の中の人がどうやって外の人と手をつなぐかだな

コナン君に聞いてくれ

[991 名無しさん＠お腹いっぱい。 2017/10/17(火) 21:59:34.68 0]

閉じたローカルネット上のＰＣとサーバとの間の経路に通信内容を盗聴しようとする何かがいたりするのか？

[992 名無しさん＠お腹いっぱい。 2017/10/17(火) 22:19:06.41 0]

LAN内だから生で流していいとかあり得んから

[993 名無しさん＠お腹いっぱい。 2017/10/17(火) 22:48:49.04 0]

>>989
外の定義が微妙だけど、俺俺じゃだめなのか？

[994 名無しさん＠お腹いっぱい。 2017/10/17(火) 23:56:42.95 0]

>>992
これ

[995 名無しさん＠お腹いっぱい。 2017/10/18(水) 00:43:32.33 0]

>>1
長すぎる気がするんだが次スレ立てるとき適当に削っていいよな？

[996 名無しさん＠お腹いっぱい。 2017/10/18(水) 01:15:30.52 0]

いいんじゃね

[997 名無しさん＠お腹いっぱい。 2017/10/18(水) 10:46:25.62 0]

無料SSL/TLS証明書 Let's Encrypt Part2
http://mevius.2ch.net/test/read.cgi/hosting/1508291164/

[998 名無しさん＠お腹いっぱい。 2017/10/19(木) 04:01:29.96 0]

>>997
スレ立て乙

[999 名無しさん＠お腹いっぱい。 2017/10/19(木) 07:31:43.64 0]

埋め

[1000 名無しさん＠お腹いっぱい。 2017/10/19(木) 10:53:54.02 0]

質問いいですか？