GoDaddy社の発行するドメイン認証SSL証明書に認証不備の脆弱性があり、予防的な処置として8850件の発行済証明書が失効された。これは同期間に発行された証明書の2%未満である。現在は脆弱性...続きを表示は解消されている。GoDaddy社は米国のホスティング(レンタルサーバー)やレジストラの大手で、認証局(CA)の事業も手がけています。GoDaddyが発行するドメイン認証証明書の認証手続きに不備があったとして報告されています。(10)新着コメントすべてのブックマークsecurecat確かに、ファイル名をコードと同一にしない設計というのは忘れがちな気もするリンク2017/01/12シェアシェアjunjun777「ファイル名?同じでいいんじゃない?」はやりがちな気がするのでブクマリンク2017/01/12シェアシェアockeghem速報として日記書いたリンク2017/01/12シェアシェアcms-kekatoこれ、GoDaddyのOEM的ブランドを利用していたら、連絡来ると同時に失効させられて対応が大変だった。Encryptに移行した。脆弱性セキュリティGodaddyリンク2017/01/12シェアシェアt_yamoいやいやいや。ステータスコードチェック有無よりファイル名と中身が同じで中身の文字列が含まれるか否かでチェックという方がナシだと思う。リクエストを画面に出すケース沢山あるでしょ。リンク2017/01/12シェアシェアLewisik海外のサービスはクライアントに説明しづらいから使ってないけど、めも。iPhoneだとみれちゃうなリンク2017/01/12シェアシェアanoncomお粗末なチェック、というかこんなもんで通っちゃうものなのか(ステータスコードを見ていなかったのか)脆弱性セキュリティリンク2017/01/12シェアシェアtail_yこういう脆弱性の話大好物。リンク2017/01/12シェアシェアy-kawaz別ファイル名やステータスチェックは紛れを減らす為の予防的対策ではあるが、本質的には「指定URL中のコード設置でドメイン認証する手法」の問題と思う。/GoogleAppsも似た問題があって昔記事書いた。>http://bit.ly/2jlhNAyリンク2017/01/12シェアシェアTokyoIncidents"GoDaddy社の発行するドメイン認証SSL証明書に認証不備の脆弱性があり、予防的な処置として8850件の発行済証明書が失効された。これは同期間に発行された証明書の2%未満である。現在は脆弱性は解消されている"securityリンク2017/01/13シェアシェアhotu_taドメイン以上に、証明書には信頼できるところで高いお金を掛けないとなぁとふと思った。リンク2017/01/12シェアシェアchopapapaお粗末すぎて草生えるリンク2017/01/12シェアシェアgarage-kid177セキュリティsecurity脆弱性あとで読むリンク2017/01/12シェアシェアsin20xxGodaddyは大規模な事業者でAPI経由での発行もできるので地味に利用者が多いんだよね。やりがちなミスではあるなぁ。似たような認証システムちょいちょい見かけるから気をつけよ...securityリンク2017/01/12シェアシェアtail_yこういう脆弱性の話大好物。リンク2017/01/12シェアシェアd6rkaizレスポンスコードが200で且つファイル内容に規定の内容が入ってるかどうかをチェックしたらOKという内容なら書いたことあるけど、レスポンスコードを無視するのはありえん。リンク2017/01/12シェアシェアrryu「キーを記入したファイルを置く」じゃなくて「このファイルを置く」という認証にしておけば完全一致で比較できたのに......セキュリティリンク2017/01/12シェアシェアpanzer-jagdironscrap1これ他の認証局もあるのではリンク2017/01/12シェアシェアkfujiiなるほど。リンク2017/01/12シェアシェアfujiyama3『ファイル名とファイルの中身の両方に同一の認証コードを含めるという設計』ひどいなコレ。バグってレベルじゃないぞ。使わんでよかったGodaddy。認証してたんか?securityリンク2017/01/12シェアシェアHaaaa_Nこんな証明局!こんな!certbotに駆逐されてしまえ!リンク2017/01/12シェアシェアt_yamoいやいやいや。ステータスコードチェック有無よりファイル名と中身が同じで中身の文字列が含まれるか否かでチェックという方がナシだと思う。リクエストを画面に出すケース沢山あるでしょ。はせーふっぽい?(・x【みかんリンク2017/01/12シェアシェアhatomugichaこんな証明もあんのねリンク2017/01/12シェアシェアkoroharo“ファイル名とファイル中に記述する認証コードは別々に発行することで、仮にステータスのチェックが抜けていても脆弱性にならないような設計となります。このように、予防的な設計を心がけることが重要です。”sslリンク2017/01/12シェアシェアsecurecat確かに、ファイル名をコードと同一にしない設計というのは忘れがちな気もするリンク2017/01/12シェアシェアy-kawaz別ファイル名やステータスチェックは紛れを減らす為の予防的対策ではあるが、本質的には「指定URL中のコード設置でドメイン認証する手法」の問題と思う。/GoogleAppsも似た問題があって昔記事書いた。>http://bit.ly/2jlhNAyリンク2017/01/12シェアシェアvndnあ、なるほど。リンク2017/01/12シェアシェアLewisik海外のサービスはクライアントに説明しづらいから使ってないけど、めも。リンク2017/01/12シェアシェアjunjun777「ファイル名?同じでいいんじゃない?」はやりがちな気がするのでブクマリンク2017/01/12シェアシェアpunitan2017/01/14respepic2017/01/13hamasyou_bot2017/01/13TokyoIncidents"GoDaddy社の発行するドメイン認証SSL証明書に認証不備の脆弱性があり、予防的な処置として8850件の発行済証明書が失効された。これは同期間に発行された証明書の2%未満である。現在は脆弱性は解消されている"securityリンク2017/01/13シェアシェアsawarabi0130sslセキュリティ2017/01/13suzukitakatoshi11あとで読む2017/01/13dividebroccoliセキュリティ2017/01/13mstk_knife2017/01/13honeybe2017/01/13habarhaba2017/01/13palm84セキュリティ2017/01/13hotu_taドメイン以上に、証明書には信頼できるところで高いお金を掛けないとなぁとふと思った。選択後に、上記の埋め込みコードをコピーして貼り付けてください。選択内容により、コードは変わります。上記の埋め込みコードをコピーして貼り付けてください。07:46このブックマーク一覧を非公開にするには?ユーザーはみんなでブックマークを共有して、効率良く情報収集しています。Mediumソニックガーデンというソフトウェアの会社を経営しています。「心はプログラマ、仕事は経営者」の精神で、プログラマという仕事を誇れるものにすることがミッション。Reserved.あとで読む機能あとで読むリストに追加しましょう。