LINE2017.05.18SNIが利用できると1つのIPアドレスで複数のSSL/TLSサイトが取り扱えるので非常に便利です。以前はブラウザを含むクライアント側の対応を気にする必要がありましたが、最近のブラウザはSNIに対応しているので、気にする必要がほぼありません。スマートフォンもSNIに対応しているので、モバイル系もあまり気にしなくてすむようになってきているので、積極的に活用したいところです。※ガラケーは対応していないので、注意が必要です。MicrosoftのIIS8であれば簡単にSNIの設定ができるので、めちゃめちゃ便利ですよ。Indication)とは、「1台のサーバで異なる証明書」が扱える機能です。現在はバーチャルホストを使って1台のサーバで複数のサイトを運用すること自体は当たり前な感じですが、SSL/TLSに関しては複数の証明書を取り扱うことが出来なかったんですね。httpとしては1台のサーバで複数のサイトを構築はできるのですが、ことSSL/TLSのhttpsとなると、IPアドレスをサイトごとに持たせたり、ポート番号を変えたりしなければ実現できなかったわけです。Indication)により解決できるようになりました。サーバが対応していないとこの機能は使うことができません。クライアント側も対応していないとだめなのですが、昨今のブラウザ、スマートフォンは対応しているので、環境としては整ってきています。ガラケーについては対応していませんが、そこを考慮する必要が無ければかなり自由度が増したということになります。バーチャルホストで、複数サイトのSSL/TLSができない理由バーチャルホストですが、1つのグローバルIPアドレスがあれば、複数のサイトを運用できるのですが、具体的な流れとしてはクライアントからリクエストする際のホストヘッダーにアクセスしたいFQDNの情報を含めて送るRequestを受け取ったサーバがホストヘッダ内のFQDNの情報を見て指定されたFQDNのコンテンツをレスポンスとして返すという流れになります。httpsの場合は、先にSSL/TLSのハンドシェイクが行われた後に、httpの通信が行われるわけで、ここで使われるサーバ証明書はグローバルIPアドレスに紐づいているサーバ証明書(あまり適切な表現では無いですが)が全てのリクエストに対して返されてしまいます。よって、同一グローバルIPアドレスで複数のサイトを運用している場合は、代表のサーバ証明書が提示されてしまうため、その時点でコモンネームの不一致によるSSL/TLSの接続エラーが出てしまうというメカニズムです。これをクリアにしてくれるのが、SNIです。SNIを有効にするとSSL/TLSハンドシェイクの時点で、通信先のFQDNを通知することになります。このリクエストを受け取ったサーバ側は、適切な証明書をクライアントに送ることができるので、コモンネーム不一致のエラーが出ることもないわけです。IIS8での設定方法IIS8でのSNIの設定ですが、本当に簡単で拍子抜けしてしまうくらいです。最初のサイトの設定を行います。これは通常通りの設定方法でOKです。2つ目のサイトの設定です。ここからがSNIの出番ですね。ウィンドウに必要情報を入力します。ここで最初の証明書と違う点は、[サーバー名表示を要求する]にチェックを入れることです。一応、[ホスト名][SSL証明書]の指定のところで他のサイトと重複したり、かみ合っていないことが無いかだけ気を付けてください。一応サイトバインドの編集画面の項目説明です。サーバーで利用できるIPアドレスのリストが表示されます。このホストのIPアドレスまたは「未使用のIPアドレスすべて」を選択します。最後にSNIに対応しているブラウザとサーバの情報です。これから出るものは基本的に対応していると考えて大丈夫だと思います。XPのIEはどのバージョンでも対応していません。Permanentlyjp.globalsign.com管理人のサルはこんな人です。LINE登録すればブログ更新が通知されますサル世界一わかりやすいセキュリティ関連記事SSLSSL通信で使われるルート証明書の利用目的(キー使用法)とは?なんだか最近ちょっと騒がしいルート証明書周りの話。SHA-1からSHA-2への移行が進められているなかで、ルート証明書の署名アルゴリズムは除外されているのですが、オフラインになっているとはいえ本当に良いのか、悪いのかという話かと。サーバ証明書戦争から目が離せない先日(2017年3月23日)にGoogleがシマンテックのサーバ証明書に対しての制裁に関する情報をブログにアップしました。Sleeviさんがアップしたもので、Chromeでのシマンテックの証明...SSLこのWebサイトで提示されたセキュリティ証明書は、信頼された証明機関から発行されたものではありません。このWebサイトのセキュリティ証明書には問題があります。このWebサイトで提示されたセキュリティ証明書は、信頼された証明機関から発行されたものではありません。IEサイトを閲覧していたところ、このメッセージに遭遇...SSLCSRの署名アルゴリズムをsha256で生成していますか現在一生懸命進められているSSLサーバ証明書のSHA-256化。CSRの生成時にも-sha256のオプションを付けて生成しないとSSLサーバ証明書の署名アルゴリズムはsha256にならないのでしょうか。認証...SSLHTTP/2だとHTTPSの方がHTTPよりも早いって本当?HTTP/1.1の時期プロトコルHTTP/2ではhttpsのほうがhttpより早いらしい。コメントをキャンセルメールアドレスが公開されることはありません。*サイト次回のコメントで使用するためブラウザーに自分の名前、メールアドレス、サイトを保存する。ServerとIISの対比表2015.05.132019.03.13ルート証明書とは?簡単にわかるルート証明書の役割2014.06.202019.03.14スマートフォン(iOS、Android)でオレオレ証明書を使う!2018.11.152019.04.25カテゴリーNewsSSLTipsその他セキュリティソフト。