]最新の70件2020-01-15開発ツールフレームワークの機能について。GatewayHTTP/2について調べてみた。CLI2019-12-18SAMLの仕様を読む。CoreSAMLを実装する。.NET開発基盤部会」によって運営されています。†デジタル証明書を使用してエンドポイントを証明し通信の暗号化を行う。対応する証明書にクライアント証明書、サーバ証明書がある。特定のマシンに限定しない使用方法もある。Communications社が開発した。標準化はされていない。歴史的文書と言う形で後日、RFCが公開された。†SSL3.0を標準化したもの。SSLを継承するものと言う位置付け。†SSLの全バージョンとTLSの1.0と1.1の実装の一部には脆弱性が発見され、TLS1.2以上への移行が促されている。†SSL/TLSはアプリケーション層とトランスポート層のプロトコルなので、アプリケーション層プロトコルにポート・フォワーディングが適用されている。SSL/TLSSSL/TLSの最も多いユースケースHTTPの下位スタックにSSL/TLSを使用する。†サーバー証明書やクライアント証明書を用い、サーバー認証やクライアント認証を行う。上記の証明書を使用して鍵の生成と交換を行い暗号化通信を行う。†MACによるメッセージ認証を行う。パラメタの変更通知Alertプロトコル通信中に発生したエラーを相手に通知する。Dataプロトコルネゴシエーションのパラメタに従い、透過的に送受信Recordプロトコルブロック暗号化されたペイロード部分2^14バイト以下のブロックに分割される。圧縮、MACの生成、暗号化が行われる。網掛けは、オプショナル。連結とパディング暗号化(暗号化キー+初期ベクタ(IV))が行われる。暗号化されたデータを送信する。†セッション共通鍵生成までのネゴシエーションのこと(仮想的概念)。負荷が高いのは鍵交換処理(プリマスタシークレットの生成まで)コネクション実際のTCP/IPコネクションで、セッションは共有する。コネクション毎、別々に暗号化/復号化パラメタを生成する。†プリマスタシークレットキー交換アルゴリズムで使用する値。以下にPRF演算を施したもの。クライアントを認証できるので中間者攻撃から守られる。†WebサーバがHTTPSを強制していても、中間者攻撃が介入することで、WebプラウザがHTTPで接続してしまい、そこをキャプチャされれば盗聴される。強制的にHTTPSにリダイレクトする。最初にHTTPでアクセスした時点での攻撃を防ぐ。Cookieを傍受し個人情情報を収集する。フィッシングサイトへHTTPアクセスする。次回以降、HTTPSの使用を強制する(max-ageの期間まで)。Securityヘッダを使用する。Startで、低いバージョンでTLS/SSL接続を行うよう仕向ける。Helloを改竄し、より低い暗号強度のアルゴリズムを使用するよう仕向ける。KeysSSL/TLSの脆弱性を突いたセキュリティ・エクスプロイトRSA公開鍵を素因数分解することが可能であれば中間者攻撃が成立する。†FREAKと同様に輸出用の512ビットの一時鍵を受け入れてしまう。こちらは、FREAKと異なり、TLSプロトコル自体の脆弱性。Encryptionブロック暗号をCBCモードで使用した際にパディング・オラクル攻撃が可能となるもの。平均してわずか256回のリクエストで暗号文の1バイトの解読が可能となる。1.0以降に影響はない。主要なブラウザでバージョンロールバック攻撃が可能。クライアント側とサーバ側でTLS_FALLBACK_SCSV対応を行う(ダウングレードを抑止する)。保護されているはずの情報を盗むことが可能。†ガラケーやスマホ、タブレット、そのアプリケーションに証明書のチェックが適切に行われていないものがあるらしい。