問題タブ [ssl]

私のアプリケーションは、SSL のみのWeb サイトでDojo 1.1.1を使用しています。現在、 と を利用しています。dijit.ProgressBardijit.form.DateTextBox

Firefox 2 & 3 ではすべてがうまく機能しますが、同じスクリプトをIE7で試すとすぐに、迷惑なセキュリティ情報ダイアログが表示されます。

このページには、安全なアイテムと安全でないアイテムの両方が含まれています。非セキュア項目を表示しますか?

HTTPS 以外の参照についてページを精査しましたが、役に立ちませんでした。に特有のもののようdojo.jsです。以前は が何も設定されていなかったiframe不具合がありましたsrcが、現在は修正されているようです (ソースを確認したところ)。

他にこの問題を抱えている人はいますか？DojoをSSL のみのWeb サーバーでIEとうまく連携させるためのベストプラクティスは何ですか?

IIS5 で SSL 2.0 と PCT 1.0 を無効にすると、売上を失うリスクがありますか?

明確化: Web サーバーで SSL 2.0 または PCT 1.0 が無効になっているため、クライアントが SSL 経由で接続して e コマース トランザクションを完了できないと、売上が失われます。

Microsoft kbase の記事: http://support.microsoft.com/kb/187498

https 接続の方法と理由に関しては、ほとんど何も知りません。明らかに、パスワードや特にクレジット カード情報などの安全なデータを送信する場合、https は重要なツールです。しかし、それについて何を知る必要がありますか? 開発者がプロ​​ジェクトに実装する際に犯す最も一般的な間違いは何ですか? https が単に悪い考えである場合はありますか? ありがとう！

私は、彼が維持している Web サーバーに SSL 証明書をインストールできるはずのサポート担当者と協力しています。彼は、ドメイン セキュリティ グループを介して、サーバーに対するローカル管理者権限を持っています。彼はまた、Windows 2003 Server Certificate Authority を実行している内部 CA に対するアクセス許可を持っています: 「証明書の要求」および「証明書の発行と管理」。

彼が使用しているサーバーは Windows 2000 SP4 / IIS 5 を実行しています。彼がオンライン サーバー証明書を作成しようとすると、IIS ウィザードは「インストールに失敗しました。アクセスが拒否されました。」で終了します。イベント ビューアーが正常に動作していないため、詳細がわかりません。アクセス許可の問題は、CA ではなくローカルにあると思われます。

私のアカウントはドメイン管理者アカウントであり、この操作を実行できることはわかっていますが、ドメイン管理者ではない他のユーザーに対してもこれを機能させる必要があります。

彼がこの操作を実行できない理由はありますか?

Windows プラットフォームの C++ で XmlRpc を使用する必要があります。XmlRpc は「広く利用可能な標準テクノロジ」であると友達が断言してくれますが、XmlRpc 用のライブラリはあまり多くありません。実際、Windows でこれを行うためのライブラリは 1 つしか見つかりませんでした (さらに、「これを Windows でコンパイルするには多くの作業を行う必要がある」と主張する別のライブラリもありました)。私が見つけたライブラリは、Chris Morley の「XmlRpc++」でした。ただし、SSL には対応していません。

したがって、私の質問は次のとおりです。どのライブラリを使用する必要がありますか?

サーバーとしてTomcatを使用し、ブラウザーとしてInternetExplorer6を使用しています。私たちのアプリのウェブページには約75枚の画像があります。SSLを使用しています。すべてのコンテンツの読み込みが非常に遅いようです。IEが画像をキャッシュするようにTomcatを設定するにはどうすればよいですか？

私は残りを介して通信するクライアント/サーバーアプリを開発しています。一部のカスタム リクエスト データは、リクエストのヘッダーに保存されます。リクエストを送信するサーバーと受信サーバーの両方に SSL 証明書があります。ヘッダーは暗号化されますか、それともコンテンツだけですか?

接続しているサーバーの証明書が信頼できる機関によって署名され、正しいホストに発行されていることをLWPで確認するにはどうすればよいですか? 私が知る限り、証明書が接続先のホスト名のものであると主張していることさえチェックしません。これは重大なセキュリティ ホールのように思えます (特に最近の DNS の脆弱性では)。

更新:HTTPS_CA_DIR ca-bundle.crt を持っていないので、私 が本当に欲しかったのは であることがわかりました。しかしHTTPS_CA_DIR=/usr/share/ca-certificates/、トリックをしました。とにかく、答えは十分に近かったので、受け入れられたものとしてマークしています。

更新 2:基盤となる SSL ライブラリとして Net::SSL を使用している場合HTTPS_CA_DIRにのみ適用されることが判明しました。HTTPS_CA_FILEしかし、LWP は IO::Socket::SSL でも動作します。IO::Socket::SSL は、これらの環境変数を無視し、提示する証明書に関係なく、任意のサーバーと問題なく通信します。より一般的な解決策はありますか？

更新 3:残念ながら、解決策はまだ完全ではありません。Net::SSL も IO::Socket::SSL も証明書に対してホスト名をチェックしていません。これは、あるドメインの正当な証明書を誰かが取得し、LWP が文句を言うことなく他のドメインになりすますことができることを意味します。

アップデート 4: LWP 6.00がついにこの問題を解決しました。詳細については、私の回答を参照してください。

mod_sslがインストールされたDebianにApache2をインストールしています。サーバーの秘密鍵は、起動時に入力する必要のあるパスフェーズによって保護されています。エラーログとアクセスログは、毎週ログローテーションの対象となります。logrotateを実行した直後に、パスフレーズ関連のエラーでApacheがクラッシュすることがわかりました。

logrotateがログのアーカイブ後にApacheに対してSIGHUPを起動することを理解しています。これにより、リロードが発生し、サーバーキーのパスフレーズの取得に失敗した可能性があります。

さて、私の理論で十分ですが、ここに質問があります：

logrotateの実行時にクラッシュしないように（パスフレーズをファイルに保存せずに）SSLサーバーキーをパスフレーズで保護できるようにApacheを構成する「ベストプラクティス」の方法はありますか？

サーバーの起動時にユーザー入力を要求することは問題ありませんが、再起動やリロードは要求しません。

Java アプレットがそのような恐ろしいセキュリティ警告を表示しないように、Javaコード署名証明書を探しています。しかし、私が見つけたそれらを提供しているすべての場所は、（私の意見では）年間200ドル以上のように、あまりにも高額です. 調査中、コード署名証明書はSSL証明書とほぼ同じように見えます。

私が持っている主な質問: SSL 証明書を購入して、それを使用して Java アプレットに署名することは可能ですか?