Slide 1

Slide 1 text

SSLの初歩の話と WordPressサイトをSSL化するときの注意点 2016年8月6日 小島 健司 第55回 WordBench 大阪

Slide 2

Slide 2 text

自己紹介 小島 健司(こじまけんじ) • ファーストサーバの中の人 • WordBench大阪モデレーターの一人 いつもWordCamp Kansai のスポンサー担当してます。 https://twitter.com/nu_nrgist https://www.facebook.com/kenji.kojima.96

Slide 3

Slide 3 text

【PR】テンプレートキングアップデート 3 https://www.templateking.jp/ 公式テーマは申請してから進んでいませんが・・・ カメレオンバージョンや ちょっとした素材の配布を始めました。

Slide 4

Slide 4 text

4 メニュー 1. あらためてSSLって? 2. 証明書の違い 3. WordPressサイトをSSL化する 4. 常時SSL化するときの注意点 SSLの初歩の話と WordPressサイトをSSL化するときの注意点

Slide 5

Slide 5 text

5 http://docs.yahoo.co.jp/info/aossl/

Slide 6

Slide 6 text

1. あらためて「 SSL 」って?

Slide 7

Slide 7 text

暗号化通信と証明 キーワード

Slide 8

Slide 8 text

鍵のやり取りだけに限定して 【大幅に省略】して説明します 8

Slide 9

Slide 9 text

9 お互いに同じ鍵を持ってやり取り

Slide 10

Slide 10 text

10 サーバー 登場するもの クライアント ブラウザ 共通鍵 公開鍵証明書と秘密鍵 証明書に公開鍵が記載されている

Slide 11

Slide 11 text

イメージ 11 印 印章 印影 印鑑証明 秘密鍵 公開鍵 公開鍵証明書

Slide 12

Slide 12 text

ブラウザ サーバー 公開鍵証明書を送る 公開鍵証明書と秘密鍵 httpsリクエスト

Slide 13

Slide 13 text

ブラウザ サーバー 共通鍵の元を 生成 公開鍵証明書と秘密鍵 公開鍵証明書を送る httpsリクエスト

Slide 14

Slide 14 text

ブラウザ サーバー 公開鍵証明書を送る httpsリクエスト 公開鍵でロックして 共通鍵の元データの 受け渡し 公開鍵証明書と秘密鍵 共通鍵の元を 生成

Slide 15

Slide 15 text

ブラウザ サーバー 公開鍵証明書送る httpsリクエスト 公開鍵でロックして 共通鍵の元データ受け渡し 元データを使って 両者が共通鍵を生成 共通鍵を利用して 暗号化通信開始 公開鍵証明書と秘密鍵 共通鍵の元を 生成

Slide 16

Slide 16 text

認証局について 16

Slide 17

Slide 17 text

認証局イメージ 17 印 印章 印影 印鑑証明 市役所 認証局 秘密鍵 公開鍵 公開鍵証明書 グローバルサイン サイバートラスト シマンテックなど

Slide 18

Slide 18 text

印鑑登録・印鑑証明書 18 市役所 印鑑証明書 印鑑登録 印鑑証明書 印影 信頼 契約書など

Slide 19

Slide 19 text

デジタル証明書の発行 19 認証局 グローバルサイン サイバートラスト シマンテックなど 証明書署名要求

Slide 20

Slide 20 text

デジタル証明書の利用 20 認証局 グローバルサイン サイバートラスト シマンテックなど 信頼

Slide 21

Slide 21 text

なんで最近SSL、常時SSLってうるさく言うの?

Slide 22

Slide 22 text

22

Slide 23

Slide 23 text

よくある勘違い① wifiで通信暗号化されてる んじゃないの? 23

Slide 24

Slide 24 text

「保護」はアクセスポイントまで! 24 サーバー wifiアクセスポイント internet http://ではココだけ http://ではココは生 https://では全部暗号化通信

Slide 25

Slide 25 text

よくある勘違い② お店のwifiとかには繋ぐけど 保護されたヤツ! アクセスポイントまでは大丈夫でしょ! 25 wifiあります! SSID:○ ○ ○ ○ ○ ○ ○ key :※ ※ ※ ※ ※ ※ ※ ※ ※

Slide 26

Slide 26 text

SSIDと「 キー 」を共有 =httpは盗聴の可能性あり 26 その前にそのアクセスポイント本物?

Slide 27

Slide 27 text

よくある勘違い③ 27 httpのサイトでは 個人情報入れたりしない! そもそも私のサイトは フォームもないし 覗かれてもいいようなことしか 書いてないし!

Slide 28

Slide 28 text

サイトの閲覧者は セキュリティとかITとかに詳しい人だけじゃない! そもそも覗かれるだけでも・・・

Slide 29

Slide 29 text

29 例 あのコいつもココで店のwifiつかってるよね・・・

Slide 30

Slide 30 text

30 あのコいつもココで店のwifiつかってるよね・・・  覗き見 いつもhttp://example.com/ のサイト見てる・・・ ↓ ↓ ↓ ↓ ↓ ↓ ↓  フィッシングサイトへの誘導  攻撃の準備 etc. 危険がいっぱい!

Slide 31

Slide 31 text

常時SSL 検索結果のためにやるんじゃない! サイトに来てくれる閲覧者に安全な環境を! 31

Slide 32

Slide 32 text

ブラウザも【http】に警告を出す

Slide 33

Slide 33 text

33 firefox chrome

Slide 34

Slide 34 text

2. 証明書の違い 34

Slide 35

Slide 35 text

3種類あるの知ってる?

Slide 36

Slide 36 text

3種類のサーバ証明書 ドメイン認証 企業認証 拡張認証 Domain Validation Organization Validation Extended Validation DV OV EV

Slide 37

Slide 37 text

証明書の違い ドメイン認証 企業認証 EV証明書 ドメイン名の使用権限を認証 ○ ○ ○ 企業の実在性を認証 × ○ ◎ フィッシング詐欺対策 × ○ ◎ アドレスバーに組織名表示 × × ○ 信頼性 ★ ★★ ★★★ 費用 低 中 高

Slide 38

Slide 38 text

認証プロセス【ドメイン認証】 証明書の発行 ドメイン名の 使用権限確認 ドメイン認証 ドメイン名の使用権限を確認するのみ。 ・無料もある ・低価格 ・発行が早い ・個人でも取得OK 誰でも手軽に取得できる→信頼度は星ひとつ

Slide 39

Slide 39 text

認証プロセス【企業認証】 証明書の発行 ドメイン名の 所有者・使用権限確認 登記や 帝国データバンク等の データベースを確認 申請責任者への 電話確認 企業認証 ドメイン名の所有者名・使用権限と実在確認 ・実際に存在するかを電話確認 ・住所の証明等に公共料金の請求書等の 提出が必要な場合あり ・個人はNG 証明書ベンダーにより個人事業主はOKなものも

Slide 40

Slide 40 text

認証プロセス【拡張認証】 証明書の発行 登記や 帝国データバンク等の データベースを確認 申請責任者への 電話確認 申請責任者 権限確認者の確認 EV証明書 最も厳格な審査 最高度の信頼性を実現 金融機関などが多く利用 アドレスバーも違う! ドメイン名の 所有者・使用権限確認

Slide 41

Slide 41 text

アドレスバーの違い 企業認証(OV)、ドメイン認証(DV)では組織名称は表示されない 拡張認証(EV)では組織名称が表示されます。

Slide 42

Slide 42 text

スマホブラウザ 42 iPhoneでEV Android標準ブラウザだとEVでも社名は出ない

Slide 43

Slide 43 text

詳細表示のちがい OVとEVでは組織 名称が表示。 DVでは組織名称 が表示されない。

Slide 44

Slide 44 text

ドメイン認証 企業認証 拡張認証 Domain Validation Organization Validation Extended Validation DV OV EV サイトの性質や予算により 適切なものを選択しましょう

Slide 45

Slide 45 text

無料の証明書!?「 Let’s Encrypt 」とは https://letsencrypt.org/ Cisco Systemsやモジラ財団などの大手企業・団体が スポンサーとして支援する非営利団体の ISRG (Internet Security Research Group)が運営。 証明書を無料で発行し、HTTPS通信を普及させることを 目的としています。 レンタルサーバでは ファーストサーバとエックスサーバさんで 簡単に使えます! WordPress.comでも採用されています。

Slide 46

Slide 46 text

SNI 46 ■SNI非対応のサービスだと サーバにドメイン名の設定は無制限に設定できても https化できるのは1つのみ。 https://example.com/ http://example.net/ http://example.org/ サーバー ■SNI対応のサービスだと 1つのIPアドレスに対して複数のSSL証明書が設定できます。 https://example.com/ https://example.net/ https://example.org/ サーバー

Slide 47

Slide 47 text

47 3.WordPressサイトをSSL化する

Slide 48

Slide 48 text

使っているサーバによってさまざまなので 申込方法や設定方法は各サーバ会社の サポートページ等をご参照ください 48 ディレクトリ構成等 で作業が違います

Slide 49

Slide 49 text

ダッシュボードでhttp→httpsに変更 49 ※サーバの仕様や設置ディレクトリにより注意してください

Slide 50

Slide 50 text

リダイレクト 50 http://example.com/にアクセスしたら https://example.com/に リダイレクトされるように.htaccessの設定

Slide 51

Slide 51 text

便利なプラグイン 51 https://ja.wordpress.org/plugins/really-simple-ssl/ リダイレクト設定を 入れたり 画像のパスとかを 変更してくれる

Slide 52

Slide 52 text

mixed contents httpsとhttpの混在を無くす 52

Slide 53

Slide 53 text

ブラウザでチェック 53 http:// の読み込みがあると警告が出ます。 警告が出なくなるまで記事などをチェック

Slide 54

Slide 54 text

ブラウザによって違うこともある(実際ハマった) 54 Chromeではエラーが出てなかったのに firefoxではエラーが ブラウザにより エラー・ブロック等の 挙動が少し違った

Slide 55

Slide 55 text

例 55 header.php にhttpが残ってた デベロッパーツールなどで確認 cssやjsなど 外部ファイルの 読込にも注意

Slide 56

Slide 56 text

56 4.常時SSL化するときの注意点

Slide 57

Slide 57 text

申込する際などの注意点 コモンネーム ≠ ドメイン名 57 例: www.example.com example.com blog.example.comなど ※証明書によっては「www.」付きで申込すれば 「www.」が付かないURLへのアクセスに利用することができます。 wwwあり?なし? サブドメイン?

Slide 58

Slide 58 text

58 http://www.example.com/ https://example.com/ http://example.com/ https://www.example.com/

Slide 59

Slide 59 text

例 59

Slide 60

Slide 60 text

HSTS httpsでの接続を強制するhttpヘッダー  リダイレクトに加えて設定した方が良い  未対応のブラウザもあります

Slide 61

Slide 61 text

HSTS http ブラウザ https リダイレクト HSTSで一度ブラウザが覚えると httpでアクセスしようとしても ブラウザが強制的にhttpsに

Slide 62

Slide 62 text

プリロードHSTS【要注意】 https://hstspreload.appspot.com/ ドメインを HSTS Pre-loaded List に 登録するサービス 色々情報は出て来る と思いますが登録す る際は要注意!

Slide 63

Slide 63 text

アフィリエイトなどの広告バナーのURL 63 まだhttpsに対応して いないところもある

Slide 64

Slide 64 text

「 いいね 」などの数 64 ゴニョゴニョすると 継続できるみたい

Slide 65

Slide 65 text

まとめ そろそろ常時SSL化検討しましょう サイトによって証明書を選択 利用しているサーバの仕様や https化できないものなどを確認 確認することも多いので計画的に 65

Slide 66

Slide 66 text

ご清聴ありがとうございました 66 ご質問などはメッセとかDMでもお気軽に