SSL

• SSL/TLSについてまとめ2018

• HTTPS入門
• 常時SSL化のする為の資料

基礎知識 †

• SSLの基本を押さえる

• SSL 上の TCP 通信を行うサーバとクライアントの実装方法

• SSLは共通鍵暗号方式と公開鍵暗号方式の両方を使用する
• 公開鍵暗号方式は、データ授受に用いる共通鍵のやり取りのみに用いられる
• 送信データは共通鍵にて暗号化される

通信トラフィック †

• HTTPS: ”S”の代償
• HTTP(S)とMQTT(S)の消費電流とデータサイズを計測する
• 実はHTTPSは速い!次世代プロトコル”HTTP/2″でサイト表示が高速化

OpenSSL †

• 1.0.0 が出ているが、Apacheのconfigure時にエラーが出たりトラブルに遭遇するので、まだ使わない方が良い

インストール †

# ./config shared -fPIC
# make
# make test
# make install

• 上記は64bit版Linuxの場合
• sharedはシェアードライブラリ(共有ライブラリ)を作るという指定

プログラミング †

• SSL/TLS でアクセスしてみよう (1)
• SSL/TLS でアクセスしてみよう (2)

動作検証 †

OpenSSL †

• openssl コマンドで SSL/TLS バージョンを指定した HTTPS 接続テストを実施する

wget †

証明書 †

• オレオレ証明書を使いたがる人を例を用いて説得する

• 無料 SSL 証明書 StartSSL を使う
• 秘密鍵とCSRの確認 ... ページの中ほど
• マルチクラウド環境におけるサーバ証明書の運用　Let's Encrypt/AWS/Azure

Root証明書 †

• 有効期限切れのルート証明書ファイルにより、SSL通信に失敗する際の対処法

• DigiCertのroot証明書、中間証明書　ダウンロード
  • DigiCert Trusted Root Authority Certificates ... ここからダウンロード

• CA certificates extracted from Mozilla

• Google roots.pem ... 基本的にはこれで十分（但し、Let's Encryptは未対応？）

• GeoTrust Root Certificates
• digicert【マネージドCA】ルート証明書インストール方法
• DST Root CA X3 - IdenTrust ... Let's Encryptを使うならこのRoot証明書を使用する

GoogleのRoot認証局 †

• Google Trust Services
  • GoogleのRoot証明書のURLは https://pki.goog/roots.pem
    • 以前のURLは https://pki.google.com/roots.pem ... 現在は使用不可

• Google、独自のルート認証局Google Trust Servicesを運用開始 ... 2017/2/2
  • The foundation of a more secure web ... 2017/1/26
  • curlによるhttps通信 ... 2016/8/10

Root証明書ファイルの有効期限を確認する方法 †

• 任意のルート証明書ファイルの中身を確認

  $ openssl x509 -text -noout -in 確認対象ファイル.pem

• 指定ディレクトリ以下のファイルを対象に一括で確認

  $ find  /etc/ssl/certs/*.pem -type f -exec echo "--------------------" \; -exec echo {} \; -exec bash -c "openssl x509 -text -noout -in {} | head" \;

Linux †

• ブラウザのルートCA証明書をLinuxへインストールする

$ curl https://pki.goog/roots.pem -O
$ sudo mv roots.pem /etc/pki/ca-trust/source/anchors/
$ sudo update-ca-trust 

自己証明書 †

• SAN(Subject Alternative Name)フィールド を含むSSL証明書を作成する - Windows Server Tips
• 「証明機関」による証明書の発行 (サーバー証明書を作成する) - Windows Server Tips

IoTデバイス用 †

• GMOグローバルサイン、IoTデバイス向けのSSL証明書大量発行サービスを開始

Let's Encrypt †

• Let's Encrypt 総合ポータル ... 非公式解説サイト
• Let's Encrypt ユーザーガイド

• 無料SSL証明書のLet's Encryptとは？

• Let's Encrypt の証明書をブラウザ上で簡単取得 (dns-01 / ECDSA もあるよ)
• IPアドレス制限下でもcertbotの無料SSL証明書を発行してもらう方法

Root証明書 †

• Chain of Trust

• DST Root CA X3 - IdenTrust ... Let's Encryptを使うならこのRoot証明書を使用する

• 無料SSL認証サービス「Let’s Encrypt」のルート証明書が全ての端末で信頼されるまで5年はかかりそう

• Let's Encryptでもルート証明書を発行しているが、現段階では多くのルート証明書ストアに採用されていない
  • Let's Encryptのルート証明書「ISRG Root X1」は、モダンなブラウザやOSでは既に利用可能となっており、今後は（Iden Trustから）独自のルート証明書へ移行していくことが発表されている
  • しかし、古いOSやスマートフォンなどには、このルート証明書が搭載されていないため、現在はIden Trustというルート認証局が運用する「DST Root CA X3」というルート証明書でクロス署名された中間証明書を利用している
  • Iden TrustはISRGのスポンサーでもある

Windows †

• IISでhttpsのサイトを作成する - SSLサイトの構成 (Windows Server Tips)
• win-acme を利用してIISでLet's Encrypt を利用したSSLサイトを作成する (Windows Server Tips)
• IISでLet's Encrypt を利用してSSLサイトを構築する (letsencrypt-win-simple クライアントを利用) (Windows Server 操作方法 Tips)
• Let’s EncryptでIIS上にSSLサイトを導入する方法
• 独自ドメインでDDNS運用するWindows Server 2016 EssentialsのSSL/TLS証明書をLet’s Encryptで無料取得／自動更新するように構成した
• 制限と仕様からLet's Encrypt(ACMEv1)の話

ASP.NET Coreの場合 †

• Configuring LetsEncrypt for ASP.NET Core and IIS
• Using Let’s encrypt with ASP.NET Core

• 【DocumentRoot?】/web.config の以下の部分をコメントアウトする

  <system.webServer>
      <!--
      <handlers>
        <add name="aspNetCore" path="*" verb="*" modules="AspNetCoreModule" resourceType="Unspecified" />
      </handlers>
      -->

• 【DocumentRoot?】/.well-known/acme-challenge/web.config を配置

  <?xml version="1.0" encoding="utf-8"?>
  <configuration>
    <system.webServer>
      <httpRedirect enabled="false" />
      <validation validateIntegratedModeConfiguration="false" />
      <staticContent>
        <clear />
        <mimeMap fileExtension="." mimeType="text/json" />
        <mimeMap fileExtension=".*" mimeType="text/json" />
      </staticContent>
    </system.webServer>
    <system.web>
      <authorization>
        <allow users="*" />
      </authorization>
    </system.web>
  </configuration>

• 設定が完了したら【DocumentRoot??】/web.config のコメントアウトを解除する

エラー対応 †

• Let’s Encrypt Timeoutエラー
• Acme server reported status 400 (on renewal)?

ACME †

• Automated Certificate Management Environment - Wikipedia
• Let's Encrypt を支える ACME プロトコル
• SSLサーバ証明書の自動更新を可能にするACMEプロトコルとは

自己署名入り証明書 †

• IIS で SSL/TLS を 自己署名入り証明書 で 設定 する方法

負荷 †

• HTTPSのコスト

常時SSL化 †

• 必読！常時 SSL のススメ ～ 何故、常時 SSL 化をしなくてはならないのか？