Category: 仕事

2020/9/1よりSSLサーバ証明書の有効期限が2年から1年に短縮されます。

有効期限は5年、3年、2年、1年と短縮されており、今後さらに短縮されると思われます。

今まで2年に一度で済んでいた更新作業が毎年ということになると証明書の更新忘れや設定ミスが増える可能性がありますのでサーバ管理者は注意が必要です。

そこでFujiSSLでは『お客様のWEBサーバ』と『認証局のシステム』をAPI連携し面倒なSSLサーバ証明書の申請からインストールまでを完全に自動化するためのシステム「FujiSSL GO」を提供開始いたしました。DVのみならずOV、EVも自動更新に対応しております。初期費用は0円、年間1,500円からご利用いただけます。

本システムを導入いただきますと証明書の更新にかかっていた時間をより貴重なタスクに解放することができます。

FujiSSLサーバ証明書は発行から1週間以内であればキャンセル可能です。お気軽にお試しください。

商品サイトはこちら => FujiSSL GO

WordPressの管理者IDは「URL/?author=1」でアクセスを行うとリダイレクトが行われ「URL/author/管理者ID/」が表示されるため誰でも簡単に管理者IDを知ることができます。

この管理者IDでパスワードの総当たり攻撃を仕掛けれられればクラッカーのログインを許してしまいます。

これを防衛するためにログインURLを変更したりユーザIDを秘匿するなどで対処することもできますがこれは時間稼ぎでしかありません。
また、侵入者はクラッカーだけでなく、ユーザID、パスワードを類推できる元従業員や外部委託の人間からの侵入の恐れも考えられます。
企業の運営するWEBサイトが改竄されるようでは信頼問題につながります。

そこでFujiSSLクライアント証明書(年間2,000円)を使いアクセス制御を行えば、クライアント証明書がインストールされたデバイス以外からのアクセスを遮断することができるためユーザID,パスワードを類推した侵入を防衛することができます。

FuijSSLクライアント証明書の発行申請

FujiSSLクライアント証明書は専用の管理画面が用意されており証明書の配布、失効、更新が簡単に行えます。まずFujiSSL Client Authentication Centerに会員登録を行いログインします。

入力項目を埋め「上記の内容にて確認へ進む」を押下します。ここで入力したメールアドレスに対してクライアント証明書を発行します。

ブラウザへのインストール

発行申請で入力したメールアドレス宛てに案内が届きます。

しばらくすると2通目のメールが届きます。Windowsの場合はインターネットエクスプローラー、Macの場合はFirefoxで認証用ページへアクセスしてください。

認証用ページにアクセスします。先ほど届いたメールに記載されているクライアント証明書を発行するメールアドレス、コレクションコードをコピーペーストしチェックボックスをチェックします。

Request My Certificate Nowボタンをクリックします。

はいを押下します。

これでご利用中のOSにクライアント証明書がインストールされます。この時点からChrome、Firefox、Edge、Safariなどのブラウザからもクライアント証明書を利用することができるようになります。

事前準備

クライアント証明書を利用するためにはSSLサーバ証明書が必要です。アクセス制限を行うWEBサイトの常時SSL化を済ましてください。

WEBサーバの設定

準備中

WordPressの設定

wordpressの常時SSL化を行います。URLをhttpsとしてください。

Apacheの設定

準備中

nginxの設定

server {

・・・省略

     ssl_verify_client optional;
     ssl_verify_depth 3;
     ssl_client_certificate /etc/nginx/conf.client/fujissl.crt;

     location ~* /wp-login\.php|/wp-admin/((?!admin-ajax\.php).)*$ {

         if ($ssl_client_serial !~* ^(a611029c61393dfe764e27081f3c3a7e|F0C0625B207F39F6899FE3B3890B96C3)$) {
             return 403;
         }
    }

・・・省略

}

WordPressの管理画面に証明書のプロパティに載っているシリアル番号以外からのアクセスの場合403エラー（閲覧禁止）を返します。

CRL自動取得の設定

証明書の失効リストの自動取得を行います。

動作検証

クライアント証明書のインストールされていないデバイスからアクセスして403エラーが出たら成功です。

クライアント証明書の失効

利用中の証明書の秘密鍵が漏洩した場合、デバイスを紛失した場合、クライアント証明書の失効処理を行います。これにより失効した証明書での認証を不能にすることができます。

ホーム画面より失効処理をしたい証明書の詳細ボタンを押下します。

証明書を失効するボタン押下で証明書は失効されます。

FujiSSLクライアント証明書はWordpressのみならず、会員制サイト、ログインが必要なサイト、社内システム等でもご利用いただけます。

コードサイニング証明書とはソフトウェアに電子署名を行うものです。コードサイニング証明書にはソフトウェアの発行元に関する情報が含まれ、ダウンロードするソフトウェアが証明書に記載されている発行元からのものであることを証明します。

主要なOSはインストールしようとしているソフトウェアが信頼できるCAによって署名されていない場合、エラーメッセージをエンドユーザに表示します。

このエラーメッセージはFujiSSLコードサイニング証明書を導入すれば消すことができます。

FujiSSLコードサイニング証明書の特徴

1. CA/Browser Forumの認証基準で発行
2. Microsoftの仕様に適合
3. Windows 8.0以降、Internet Explorer 9以降、Microsoft Edge、およびMicrosoftのSmartScreenRApplication Reputation対応
4. アプリケーション実行前に署名者の身元を表示。ブランディング、ユーザへの信頼向上
5. ハードウェアトークンとPINにより秘密鍵の盗難を防止
6. 32-bit/64-bit対応。 Microsoft Authenticode (kernel and user mode files, like .exe, .cab, .dll, .ocx, .msi, .xpi, and .xap), Adobe Air, Apple applications and plug-ins, Java, MS Office Macro and VBA, Mozilla object files, and Microsoft Silverlight applications

*税抜です。

*FujiSSLコードサイニング証明書は法人登記された法人のみに発行します。個人、または個人事業主への発行は行っておりません。

*証明書のプロパティにはOVは企業名、部署名、所在地、EVは企業名、部署名、所在地、組織形態が表示されます。

ご注文から発行まで

コードサイニング証明書用の専用の管理画面を用意しております。まず会員登録を行ってください。

代金は銀行振込、またはクレジットカード前払いとなっております。

OV,EVともに厳正な審査を行います。OVは2営業日～、EVは7営業日～での発行となります。

インストールマニュアルなどのドキュメント類はこれから充実させてまいります。

まずはお気軽にお問合せください。

今までFujiSSLはDCVで申請FQDN配下に認証用ファイル設置をしていただき外部からのクローリングによるファイルの存在検知により認証を行う「ファイル認証」と、管理者用メールの受信確認により認証を行う「メール認証」の2種類を行っておりましたが、今回DNSのTXTレコードに認証用文字列を追加することにより認証を行う「DNS認証」を追加しました。

SECOMルートを持つ証明書で初のDNS認証になります。

DNS認証はWEBサーバを公開できない、メールサーバを公開できない方にもFujiSSLの発行を可能にします。

ワイルドカード証明書もDNS認証に対応しております。

FujiSSL公式サイトでのご購入の場合、証明書が発行されない場合はカード引き落としは行われません。また証明書発行後7日以内にユーザーポータルサイトでキャンセル手続きをしていただければカード引き落としは行われません。

お気軽にお試しください。

企業の運営するWebサイトはその運営企業の実在性を証明するために企業認証SSLを導入するのが良いとされています。

Google、Facebook、Amazonなど主要IT企業もドメインの所有者確認のみで発行されるDV証明書ではなく企業認証SSLを利用しております。

しかしながらコスト面から導入を見送る企業様が多いように思われます。

当社ではより多くの企業様に企業認証SSLを気軽に利用していただくために年額5,000円（定価10,000円）の低価格にて2019年6月より提供開始致しました。日本で一番安い企業認証SSLです。リリース以来多くの企業様にご利用いただいております。

他社からの乗換、DV証明書からの乗換の場合は残存する有効期限を引き継げます。

FujiSSL公式サイトでのご購入の場合、証明書が発行されない場合はカード引き落としは行われません。また証明書発行後7日以内にユーザーポータルサイトでキャンセル手続きをしていただければカード引き落としは行われません。

是非お気軽にお試しください。

ニジモの小坂です。

PCI DSS準拠のセキュリティ診断サービスを自動付帯したFujiSSLプレミアムbeyondを販売開始いたしました。
PCI DSS認定と同じ診断エンジンを採用しております。

セキュリティ診断の必要性

FujiSSLプレミアムbeyondはハッキング攻撃や情報漏洩の足掛かりとなるようなシステムの脆弱性の有無を診断します。診断により現在のセキュリティレベルを知ることで初めて適切な投資が可能になります。セキュリティ診断は、安全性を高めるにはまず何をするべきか、何をする必要がないか、知るためのソリューションです。

アウトソースすることのメリット

セキュリティ診断は社内リソースで対応することも可能です。しかし、最新の脆弱性情報を収集・蓄積し、テスト方法を確立し、テストを手動で行い、報告書にまとめるコストは膨大なものです。専門のシステムが行うことで、コスト削減と、第三者による客観的な診断が可能になります。

PCI DSS(*1)準拠のセキュリティ診断サービス

診断はカード業界で採用されている厳格なセキュリティ基準PCI DSSに準拠するものです。ネットワーク診断は毎年更新が必要なASV資格（認定スキャンベンダー）と同じ品質を担保しています。

(*1)PCI DSSとは

クレジットカード情報及び取引情報を保護するためのセキュリティ基準が12の要件で定められています。

ISMS(ISO/IEC27001)と比べて、保護対象が限定的かつ明確にされており、インシデント発生時の被害レベルもまた明確、対策も具体的です。

近年では、カード情報の保護のためのベストプラクティスとして普及しています。

FujiSSLプレミアムbeyond脆弱性診断概要

FujiSSLプレミアムbeyond脆弱性診断は、グローバルIPを持つサーバやネットワーク機器の脆弱性を診断するサービスです。クラウド環境からWEBサイトやルータなどのネットワーク機器をスキャンし、セキュリティホールを突き止め、対策のための情報を提供します。
検査項目は56,000以上あり、幅広いOS、ファームウェア、アプリケーションをカバーしております。ソリューションベースレポート、差分レポートなどレポート機能も充実しております。ハードウェアやソフトウェア導入の必要がない、完全自動のクラウド型診断をいたします。

FujiSSLにSSLプロトコル脆弱性診断、データ復元保険を全件付帯したFujiSSLプレミアムという商品をリリースしました。データ復元保険の引受先は東京海上日動火災保険株式会社様です。商品企画から7ヶ月。関係各位様には何度もご足労戴き大変感謝しております。ありがとうございました。

FujiSSLとの違い

SSLプロトコル脆弱性診断とは

SSLサーバ証明書をインストールしただけではサーバは安全ではありません。
FujiSSLプレミアムはSSLプロトコル周りで特に対策が必要な項目の脆弱性を診断いたします。

◎脆弱性診断の要件

・ssl://コモンネーム名:443でのアクセス環境
・FujiSSLサーバ証明書の設置

◎診断により確認・予防する事ができる代表的な脆弱性

FujiSSL脆弱性診断により確認・予防が期待できる、代表的な脆弱性の一部をご紹介します。

Heartbleed

Heartbleedは、OpenSSLを利用しているサーバに細工したデータを送信するだけで、サーバのメモリー上にあるデータ(Webサイトの秘密鍵、ユーザーIDやパスワードや暗号化しているはずのコンテンツ)を、第三者が閲覧できる可能性のあるバグです。

POODLE

サーバとの通信においてパスワード等の個人情報やCookie情報が第三者に漏洩する危険性があります。

中間者攻撃

暗号化に必要な鍵を事前に知らない第三者が、大量通信や中間者攻撃によって、暗号化されたデータを解読してしまう危険性があります。

※情報セキュリティの環境は常に変化しており、新たに脆弱性が発見されることがあります。そのため、診断項目は随時追加されます。またWEB管理者は定期的にサイトの安全性をチェックし脆弱性対策をする必要があります。

データ復元保険とは

保険の引受先は東京海上日動火災保険株式会社様で、FujiSSLプレミアムを発行いただきますとデータ復元保険が自動的に付保されます。保険の付保のタイミングは他社製品からの乗換の場合他社証明書の重複期間終了日の翌日からとなりますのでご注意ください。

保険の概要は以下の通りです。

ご購入はこちらからFujiSSL