Labsでこのブログを診断してもらったところ「B」評価だったので、最高評価のA+を目指して修正する。HTTPS通信の高速化も目指して修正する。SSL/TLSについては、IPAからガイドラインが出てるので、読んどくといい。nginxのSSL設定用confファイル作成わかりやすくするため、SSL専用のconfファイルを作る。/etc/nginx/conf.d/ssl.confSSL設定が下記。細かな説明は記事の下らへんに。'ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-AES256-GCM-SHA384:DHE-RSA-AES128-GCM-SHA256:DHE-DSS-AES128-GCM-SHA256:kEDH+AESGCM:ECDHE-RSA-AES128-SHA256:ECDHE-ECDSA-AES128-SHA256:ECDHE-RSA-AES128-SHA:ECDHE-ECDSA-AES128-SHA:ECDHE-RSA-AES256-SHA384:ECDHE-ECDSA-AES256-SHA384:ECDHE-RSA-AES256-SHA:ECDHE-ECDSA-AES256-SHA:DHE-RSA-AES128-SHA256:DHE-RSA-AES128-SHA:DHE-DSS-AES128-SHA256:DHE-RSA-AES256-SHA256:DHE-DSS-AES256-SHA:DHE-RSA-AES256-SHA:AES128-GCM-SHA256:AES256-GCM-SHA384:AES128-SHA256:AES256-SHA256:AES128-SHA:AES256-SHA:AES:CAMELLIA:DES-CBC3-SHA:!aNULL:!eNULL:!EXPORT:!DES:!RC4:!MD5:!PSK:!aECDH:!EDH-DSS-DES-CBC3-SHA:!EDH-RSA-DES-CBC3-SHA:!KRB5-DES-CBC3-SHA';Diffie-Hellman鍵を作成する。2048バーチャルホスト側の修正をする。/etc/nginx/conf.d/runble1.com.conf証明書の変更と、HSTSヘッダーを追加した。always;構文を確認しておく。-t問題なければ再起動。Labsで評価してもらうとA+となった。Labのキャッシュを削除しないと評価が変わらないので注意。参考サイトを丸ごとコピー参考にしたので、何やってるかぐらいは整理しておこう。Secrecyとは、秘密鍵が漏洩してもそれだけでは解読できないようにする仕組み。鍵の交換にEDH鍵交換方式を使うことで実現する。Secrecy)は、上記鍵交換にECDHEまたはDHEを使っている場合にいう。未来に向けた機密保護機能、という名前がかっこいい。Protocol)とは、クライアントがサーバに接続する際、サーバ証明書が正当なものか確認するためのプロトコル。旧来はCRL(証明書失効リスト)が使用されていたが、リストが巨大化してダウンロードに時間かかるようになったため、OSCPが一般的となった。OSCPは単一のレコードのみ取得するため速い。responderに対して行うためレイテンシと失敗する可能性が加わる。これを解決するために、クライアント側でOCSP要求をサーバ側で行い、その応答レコードをキャッシュしておく。TLSハンドシェイク中にキャッシュしていたOCSPレコードをサーバが証明書とともに送信すすることで、HTTPS通信の高速化ができる。Staplingという。s_clientコマンドで確認できる。headOSCPについては、こちらの記事がわかりやすい。HSTSHSTSは、クライアントにHTTPSだけでサイトに接続することを伝えるHTTPヘッダ。Labsで上のような評価が出た。証明書を指定する部分をcert.pemのままにしてると出るぞ。encryptでSSL化及びHTTP/2化。ついでにセキュリティ評価をA+にする。...WordPressで「下書きとして保存」や「公開」後にEnterによる改行が消えるタイトルの通り。FuelPHPの開発環境を構築したので、メモしときます。コメントをキャンセルメールアドレスが公開されることはありません。コメントデータの処理方法の詳細はこちらをご覧ください。