Upgrade to Pro
— share decks privately, control downloads, hide ads and more …
Speaker Deck
Features
Speaker Deck
PRO
Sign in
Sign up for free
Search
Search
2017/2/12WordBench奈良
Search
Kenji Kojima
February 12, 2017
Technology
3
570
2017/2/12WordBench奈良
常時SSLのお話
Kenji Kojima
February 12, 2017
Tweet
Share
More Decks by Kenji Kojima
See All by Kenji Kojima
WordBench山口0407
kenjikojima
1
270
WordBench_Toyama0126
kenjikojima
0
79
WordBench_Gifu1202
kenjikojima
1
1.1k
WordBench_Niigata1007
kenjikojima
0
79
WordBench_Niigata10072
kenjikojima
0
91
MT Tokyo 20170930
kenjikojima
0
350
CS Beer Bash Osaka Vol.2
kenjikojima
0
1.5k
20170211WordBench大阪
kenjikojima
0
320
第3回WordBench 山口
kenjikojima
1
780
Other Decks in Technology
See All in Technology
B10-ひと目でわかる(といいなぁ)Microsoft Purview
seafay
PRO
0
650
宇宙最速のランチRecap LT会(開発者ツール&運用監視編)
nnydtmg
1
190
WernerVogelsのKeynoteで語られた6つの教訓とOps
hatahata021
1
200
Oracle Base Database Service:サービス概要のご紹介
oracle4engineer
PRO
0
15k
JAWS-UG 横浜支部 #76 AWS re:Invent 2024 宇宙一早い Recap LT3Amazon EKS Auto Modeと遊び(パーティ)の話
tjotjo
0
170
セキュリティ系アップデート全体像と AWS Organizations 新ポリシー「宣言型ポリシー」を紹介 / reGrowth 2024 Security
masahirokawahara
0
300
AI時代のデータセンターネットワーク
lycorptech_jp
PRO
1
190
Amazon Bedrock Knowledge BasesがGraphRAGに対応!! ・・・それってつまりどういうコト!? をチョット深堀ってみる
tokushun
0
150
マルチプロダクト開発の現場でAWS Security Hubを1年以上運用して得た教訓
muziyoshiz
1
100
Oracle Database Release and Support Timelines 2024/12/11
wmo6hash
0
240
Kubernetesトラフィックルーティング徹底解説/Kubernetes-traffic-deep-dive
oracle4engineer
PRO
5
860
Classmethod_regrowth_2024_tokyo_security_identity_governance_summary
hiashisan
0
790
Featured
See All Featured
Imperfection Machines: The Place of Print at Facebook
scottboms
266
13k
Practical Tips for Bootstrapping Information Extraction Pipelines
honnibal
PRO
10
790
Let's Do A Bunch of Simple Stuff to Make Websites Faster
chriscoyier
507
140k
Testing 201, or: Great Expectations
jmmastey
40
7.1k
Being A Developer After 40
akosma
87
590k
The Invisible Side of Design
smashingmag
298
50k
実際に使うSQLの書き方 徹底解説 / pgcon21j-tutorial
soudai
169
50k
Design and Strategy: How to Deal with People Who Don’t "Get" Design
morganepeng
126
18k
Designing for humans not robots
tammielis
250
25k
Music & Morning Musume
bryan
46
6.2k
Building Your Own Lightsaber
phodgson
103
6.1k
Put a Button on it: Removing Barriers to Going Fast.
kastner
59
3.6k
Transcript
SSLの初歩の話と WordPressサイトをSSL化するときの注意点 2017年2月12日 小島 健司 WordBench 奈良
自己紹介 小島 健司(こじまけんじ) • ファーストサーバの中の人 • WordBench大阪モデレーターの一人 いつもWordCamp Kansai のスポンサー担当してます。
https://twitter.com/nu_nrgist https://www.facebook.com/kenji.kojima.96
【PR】テンプレートキングアップデート 3 https://www.templateking.jp/ 公式テーマは申請してから進んでいませんが・・・ カメレオンバージョンや ちょっとした素材の配布を始めました。
無料のSSL証明書も取扱っています
常時SSL化を推進しています https://zenlogic.jp/aossl/ 常時SSL Lab.
6 メニュー 1. あらためてSSLって? 2. 証明書の違い 3. WordPressサイトをSSL化する 4. 常時SSL化するときの注意点
5. おまけ SSLの初歩の話と WordPressサイトをSSL化するときの注意点
7 http://docs.yahoo.co.jp/info/aossl/
1. あらためて「 SSL 」って?
暗号化通信と証明 キーワード
鍵のやり取りだけに限定して 【大幅に省略】して説明します 10
11 お互いに同じ鍵を持ってやり取り
12 サーバー 登場するもの クライアント ブラウザ 共通鍵 公開鍵証明書と秘密鍵 証明書に公開鍵が記載されている
イメージ 13 印 印章 印影 印鑑証明 秘密鍵 公開鍵 公開鍵証明書
ブラウザ サーバー 公開鍵証明書を送る 公開鍵証明書と秘密鍵 httpsリクエスト
ブラウザ サーバー 共通鍵の元を 生成 公開鍵証明書と秘密鍵 公開鍵証明書を送る httpsリクエスト
ブラウザ サーバー 公開鍵証明書を送る httpsリクエスト 公開鍵でロックして 共通鍵の元データの 受け渡し 公開鍵証明書と秘密鍵 共通鍵の元を 生成
ブラウザ サーバー 公開鍵証明書送る httpsリクエスト 公開鍵でロックして 共通鍵の元データ受け渡し 元データを使って 両者が共通鍵を生成 共通鍵を利用して 暗号化通信開始
公開鍵証明書と秘密鍵 共通鍵の元を 生成
認証局について 18
認証局イメージ 19 印 印章 印影 印鑑証明 市役所 認証局 秘密鍵 公開鍵
公開鍵証明書 グローバルサイン サイバートラスト シマンテックなど
印鑑登録・印鑑証明書 20 市役所 印鑑証明書 印鑑登録 印鑑証明書 印影 信頼 契約書など
デジタル証明書の発行 21 認証局 グローバルサイン サイバートラスト シマンテックなど 証明書署名要求
デジタル証明書の利用 22 認証局 グローバルサイン サイバートラスト シマンテックなど 信頼
なんで最近SSL、常時SSLってうるさく言うの?
24
よくある勘違い① wifiで通信暗号化されてる んじゃないの? 25
「保護」はアクセスポイントまで! 26 サーバー wifiアクセスポイント internet http://ではココだけ http://ではココは生 https://では全部暗号化通信
よくある勘違い② お店のwifiとかには繋ぐけど 保護されたヤツ! アクセスポイントまでは大丈夫でしょ! 27 wifiあります! SSID:◦ ◦ ◦ ◦
◦ ◦ ◦ key :※ ※ ※ ※ ※ ※ ※ ※ ※
SSIDと「 キー 」を共有 =httpは盗聴の可能性あり 28 その前にそのアクセスポイント本物?
問合せフォーム ネットショップの決済 管理画面 etc. TOPから全部 【https】にする 必要あるの?
こういうページは わかるけど
スマホを後ろから覗き見・・・
31 今 となりの人 あの番組見てるなー 壁の向こうから聞かれる・・・
32 例)カフェで提供されているwi-fiのニセwi-fi 覗き見 いつもhttp://example.com/ のサイト見てる・・・ ↓ ↓ ↓ ↓
↓ ↓ ↓ 傾向からフィッシングサイトへの誘導 攻撃の準備 etc. 危険がいっぱい!
誰の為にSSL化? 33 サイト運営者 サイト閲覧者 こちら側の目線が 強かった こちらにもちゃんと 注目して!
常時SSL 検索結果のためにではなくて サイトに来てくれる閲覧者に安全な環境を! 34
で、「全部HTTPSに!」という背景! 35 サーバー internet https://で暗号化通信!
クックパッドも常時SSL化されていました 36 https://speakerdeck.com/kanny/cookpad-dot-com-quan-https-hua-falsegui-ji
ブラウザも【http】に警告を出す
38 firefox chrome
ブラウザの警告も徐々に厳しく 39 chrome://flags/
ブラウザの警告も徐々に厳しく 40
2. 証明書の違い 41
3種類あるの知ってる?
3種類のサーバ証明書 ドメイン認証 企業認証 拡張認証 Domain Validation Organization Validation Extended Validation
DV OV EV
証明書の違い ドメイン認証 企業認証 EV証明書 ドメイン名の使用権限を認証 ◦ ◦ ◦ 企業の実在性を認証 ×
◦ ◎ フィッシング詐欺対策 × ◦ ◎ アドレスバーに組織名表示 × × ◦ 信頼性 ★ ★★ ★★★ 費用 低 中 高
認証プロセス【ドメイン認証】 証明書の発行 ドメイン名の 使用権限確認 ドメイン認証 ドメイン名の使用権限を確認するのみ。 ・無料もある ・低価格 ・発行が早い ・個人でも取得OK
誰でも手軽に取得できる→信頼度は星ひとつ
認証プロセス【企業認証】 証明書の発行 ドメイン名の 所有者・使用権限確認 登記や 帝国データバンク等の データベースを確認 申請責任者への 電話確認 企業認証
ドメイン名の所有者名・使用権限と実在確認 ・実際に存在するかを電話確認 ・住所の証明等に公共料金の請求書等の 提出が必要な場合あり ・個人はNG 証明書ベンダーにより個人事業主はOKなものも
認証プロセス【拡張認証】 証明書の発行 登記や 帝国データバンク等の データベースを確認 申請責任者への 電話確認 申請責任者 権限確認者の確認 EV証明書
最も厳格な審査 最高度の信頼性を実現 金融機関などが多く利用 アドレスバーも違う! ドメイン名の 所有者・使用権限確認
アドレスバーの違い 企業認証(OV)、ドメイン認証(DV)では組織名称は表示されない 拡張認証(EV)では組織名称が表示されます。
スマホブラウザ 49 iPhoneでEV Android標準ブラウザだとEVでも社名は出ない
詳細表示のちがい OVとEVでは組織 名称が表示。 DVでは組織名称 が表示されない。
3種類のサーバ証明書 ドメイン認証 企業認証 拡張認証 Domain Validation Organization Validation Extended Validation
DV OV EV 個人はドメイン認証しか 利用できないよ 企業サイトには 企業認証かEVがオススメ 個人事業主OKの 企業認証証明書もある
無料の証明書!?「 Let’s Encrypt 」とは https://letsencrypt.org/ Cisco Systemsやモジラ財団などの大手企業・団体が スポンサーとして支援する非営利団体の ISRG (Internet
Security Research Group)が運営。 証明書を無料で発行し、HTTPS通信を普及させることを 目的としています。 レンタルサーバでは ファーストサーバとエックスサーバさんで 簡単に使えます! WordPress.comでも採用されています。
SNI 53 ▪SNI非対応のサービスだと サーバにドメイン名の設定は無制限に設定できても https化できるのは1つのみ。 https://example.com/ http://example.net/ http://example.org/ サーバー ▪SNI対応のサービスだと
1つのIPアドレスに対して複数のSSL証明書が設定できます。 https://example.com/ https://example.net/ https://example.org/ サーバー
54 3.WordPressサイトをSSL化する
使っているサーバによってさまざまなので 申込方法や設定方法は各サーバ会社の サポートページ等をご参照ください 55 ディレクトリ構成等 で作業が違います
ダッシュボードでhttp→httpsに変更 56 ※サーバの仕様や設置ディレクトリにより注意してください
リダイレクト 57 http://example.com/にアクセスしたら https://example.com/に リダイレクトされるように.htaccessの設定
便利なプラグイン 58 https://ja.wordpress.org/plugins/really-simple-ssl/ リダイレクト設定を 入れたり 画像のパスとかを 変更してくれる
mixed contents httpsとhttpの混在を無くす 59
ブラウザでチェック 60 http:// の読み込みがあると警告が出ます。 警告が出なくなるまで記事などをチェック
ブラウザによって違うこともある(実際ハマった) 61 Chromeではエラーが出てなかったのに firefoxではエラーが ブラウザにより エラー・ブロック等の 挙動が少し違った
例 62 header.php にhttpが残ってた デベロッパーツールなどで確認 cssやjsなど 外部ファイルの 読込にも注意
63 4.常時SSL化するときの注意点
申込する際などの注意点 コモンネーム ≠ ドメイン名 64 例: www.example.com example.com blog.example.comなど ※証明書によっては「www.」付きで申込すれば
「www.」が付かないURLへのアクセスに利用することができます。 wwwあり?なし? サブドメイン? *.example.jpのようにワイルドカードで指定できる証明書もあります
65 http://www.example.com/ https://example.com/ http://example.com/ https://www.example.com/
例 66
HSTS httpsでの接続を強制するhttpヘッダー リダイレクトに加えて設定した方が良い 未対応のブラウザもあります
HSTS http ブラウザ https リダイレクト HSTSで一度ブラウザが覚えると httpでアクセスしようとしても ブラウザが強制的にhttpsに
プリロードHSTS【要注意】 https://hstspreload.appspot.com/ ドメインを HSTS Pre-loaded List に 登録するサービス 色々情報は出て来る と思いますが登録す
る際は要注意!
アフィリエイトなどの広告バナーのURL 70 まだhttpsに対応して いないところもある
「 いいね 」などの数 71 ゴニョゴニョすると 継続できるみたい
3. 提案しよう! 72 会社に! クライアントに!
SEOの話だけだと・・・ 常時SSLにすると 検索順位が上がるようです どれくらい効果あるの? 影響あるのは 1%未満とかなんとか • • • 徐々に影響が出る
らしいですよ いつごろ? • • •
常時SSLの効果 サイト閲覧者へ安全な環境を提供 サイトの信頼度UP 企業、お店の信頼度UP 検索エンジンからの信頼度UP 74
常時SSL化でみんなHappy! 75 制作の皆様 クライアント サイト運営者 サイト閲覧者 安全な環境の提供 安心・信頼 信頼 提案
もちろん作業費も 嬉しい! 有料の証明書だと さらに嬉しい!
適切なサーバ証明書選びを! ドメイン認証 企業認証 拡張認証 Domain Validation Organization Validation Extended Validation
DV OV EV 個人はドメイン認証しか 利用できないよ 企業サイトには 企業認証かEVがオススメ 個人事業主OKの 企業認証証明書もある
まとめ そろそろ常時SSL化しないと! サイトによって証明書を選択 利用しているサーバの仕様や https化できないものなどを確認 確認することも多いので計画的に 77
おまけ:実例など
国税の納付 • 現金 • 預貯金口座から振替 • インターネットバンキング • インターネットを利用したクレジットカード納付 •
延納・物納(相続税・贈与税) 今年から 始まったようです
https://togetter.com/li/1067266
国税クレジットお支払サイト https://kokuzei.noufu.jp/
None
変なドメイン!? kokuzei.noufu.jp
kokuzei.noufu.jp
「.JP」 汎用型JPドメイン名 日本国内に住所をもつ 個人・団体・組織であれば 誰でもいくつでも登録できる。
•nofu.jp •nouhu.jp 既に類似ドメイン名が登録済み・・・
http://nouhu.jp/ いい人でよかった!
nouf.jp、no-fu.jp・・・ フィッシングサイトの危険性
.co.jp、 or.jp、.go.jp・・・ 属性型JPドメイン名
.go.jp 日本の政府機関や 各省庁所管の研究所などが登録できる。 政府機関は、一つの組織で複数の GO.JPドメイン名を登録可能。
本サイトは、国税庁長官が指定した 納付受託者(トヨタファイナンス株式会社) が運営する国税のクレジットカード納付 専用のサイトです。
noufu.jp
None
納税者 国税庁 トヨタファイナンス GMO-PG 指定を受けた納付受託者 (トヨタファイナンス)と サイト運営者(GMO-PG)
モヤッとするポイント • だれでも登録できるドメイン名 • フィッシングサイトが作りやすそうな命名 • 誰がやっているサイトなのかの記載が わかりにくい 客観的な主体と実際の運営者、説明、ドメイン名の名 義などがスッキリしない。
広告代理店とか何社も絡むキャンペーンサイトなどで注意!
None
3種類のサーバ証明書 ドメイン認証 企業認証 拡張認証 Domain Validation Organization Validation Extended Validation
DV OV EV
None
None
.GO.JP EV証明書だけどモヤっとする例 市立?私立図書館? TSUTAYA?
.GO.JP 同じCCC運営の図書館でも 市のドメイン名
怪しいサイト?もDV証明書で常時SSL https://www.gourmetmpic.com/
怪しいサイト?もDV証明書で常時SSL
ご清聴ありがとうございました 104