久々にsslのお話

さて、今日は色々sslの方をまとめておこうかな。

まずhttpsに移行されてないかた出来れば今年度中に移行されたほうがいいでしょう。

来年からどうやらgoogleの移行強化がはじまるらしいです。

その第一弾として下記のことをやる。

Google、2017年からChromeでいくつかのHTTPサイトを「安全ではない」と警告
Google Chromeチームは9月8日(米国時間)、「Moving Towards a More Secure Web|Chromium Blog」において、2017年1月のGoogle Chrome 56からパスワードやクレジットカード情報を送信しているHTTPサイトを安全ではない(Not secure)と表示す...
Google Chrome、パスワード/クレジットカード情報をHTTPで送るページに安全ではないことを示す「Not secure」ラベルを表示。2017年1月リリースのバージョン56から | 海外SEO情報ブログ
パスワードまたはクレジットカードの情報をHTTP接続で送るページに、安全ではないことを示すラベルをChromeブラウザで表示するようにするとGoogleはアナウンスした。2017年1月にリリースを予定しているChromeのバージョン56から実装する。最初はパスワード/クレジットカード情報を送信するページだけが対象だが、...

not secureとかの英語だと表示されるらしいが、日本語だとまた微妙ですよね。

httpsの場合

httpの場合

安全なサイトとか安全じゃないサイトじゃなくて通信。

みなさんどんな印象をうけますか?

場合によったらかなりhttpのサイトはダメージ受けそうですよね。

まぁいきなりここまでは来ないと思うが、最終的にこうなりそうですな。

日本語印象云々より、早めにhttpsに移行したほうがいいだろう。

参考サイト

Chrome 56 のHTTPサイトへの日本語版警告 - ASnoKaze blog
「Moving towards a more secure web」でアナウンスされているように、2017年1月にリリースされる予定のChrome 56でHTTPサイトへの警告が表示されるようになる。 日本語のサイトでも取り上げられている Google、2017年からChromeでいくつかのHTTPサイトを「安全ではな...

次はsslの先進的な話。o6asanさんに教えて頂いた奴です。ssllabsで新たな項目が増えていた。

Extended Validation No
Certificate Transparency No
OCSP Must Staple No

Extended ValidationはEVSSLのことでしょう。

これは俺にはとれないよ。厳密な審査もあるし金もとられるからなー。

Certificate Transparencyはまぁここを参考にしてみる。

Let's EncryptのSSL証明書で、Qualys SSLTestでA+評価を獲得するには - Qiita
前回の記事、(で、[Let's Encr...

OCSP Must stapleはここをみるとわかりやすいかな?

OCSP-must-staple

でも、対応してるブラウザがFireFoxだけだし、まだkingsslの証明書が2018年までのこってるしこちらもopensslだしlibressl対応してるのかな?

OCSP Must stapleもそのうちやってみたいですな。

ということでsslのお話まとめてみました。

まず、仮想サーバーでもつくってCertificate Transparencyやってみようかな。

おまけ、いつの間にかnginx-1.10.2がでていました。会社の方はバージョンアップ完了。

多少、specファイルが変わっていた。バックスラッシュで一行にみせていたが、バックスラッシュがなくなって一行になっていた。

http://nginx.org/en/CHANGES-1.10