about Let's Encrypt

1. について
Speaker : Hiroki_Sakonju
at KIXS Vol.001

2. What’s our company?
株式会社ブロードリーフ
▧ 2005年12月 創業
▧ 東京証券取引所第一部
▧ 自動車アフターマーケットを中心としたソフトウェア
・ITソリューション＆各種サービスを提供
▧ http://www.broadleaf.co.jp/

3. Who are you?
▧ 左近充 裕樹(さこんじゅう ひろき)
▧ インフラエンジニア
(以前はWindowsアプリエンジニア)
▧ 嫁に年齢不詳系と言われる30歳
▧ 主にオンプレだったけど、最近はGCPやAWSの
クラウドインフラの設計・構築・運用保守も担当
▧ Google Qualified System Operations
Professional取得

4. “通信暗号化してる？

5. 近年の課題
個人情報保護
情報漏えい対策
セキュリティ対策
SHA-2移行
HTTP/2対応
コスト削減
運用自動化
・・・etc

6. “え？
SSL証明書ってこんなすんの？

7. クイック認証SSL クイックSSLプレミアム セキュア・サーバID
For Example
契約期間 価格
1年 ￥34,800
2年 ￥66,000
契約期間 価格
1年 ￥31,300
2年 ￥54,800
契約期間 価格
1年 ￥81,000
2年 ￥153,400
※FQDN単位で必要となる

8. What’s
▧ 2016年4月12日に正式開始された無償でSSL/TLSサーバ証明書
を取得できるサービス。
公式サイト：https://letsencrypt.org/ 日本語ポータル：https://letsencrypt.jp/
▧ 証明書の発行・インストール・更新のプロセスを自動化することによ
り、TLSやHTTPS(TLSプロトコルによって提供される、セキュアな接
続の上でのHTTP通信)を普及させることを目的としているプロジェ
クト。
▧ 公益法人のISRGが運営しており、CiscoSystems、Akamai、電子
フロンティア財団、Mozilla財団などの大手企業・団体がISRGのス
ポンサーとしてLet's Encryptを支援している。

9. 期待できる効果
▧ SSL証明書取得コストの削減
▧ SSL証明書管理・更新コストの削減
⇒更新の場合の証明書購入WF申請やSSL発行業者へ
の発注業務がなくなる
⇒自動で更新する仕組みを構築するので、人が入れ替
え作業をする必要がなくなる

10. Use example
▧ WordPress.com上でホスティングされているすべ
ての独自ドメインに対してLet’s Encryptを使用し
てHTTPS暗号化を実施
関連記事
▧ ファーストサーバ株式会社のレンタルサーバー
サービスにてLet's Encryptの取り扱いを開始
関連記事
▧ ネットオウルにてLet's Encryptの取り扱いを開始
関連記事
▧ オルターブース様 のコーポレートサイト

11. Let's Encrypt Mechanism
http://www.atmarkit.co.jp/ait/articles/1606/02/news049.html
【新規取得時】 【更新時】

12. Example on GCP

13. Sample

14. ▧ 証明書の有効期限が 90日
⇒Let’s Encryptは60日間ごとに更新することを推奨しているため、
60日で自動更新する仕組みを構築する必要あり。
※更新されなかったら 20日前にリマインドメールあり。
▧ Windowsは本家のクライアントソフトが対応してない。
▧ ワイルドカードのSSL証明書がない。
▧ Let's Encryptが認証時に使用する IPアドレスは固定ではない。
▧ 発行制限がある
⇒ドメイン毎に20枚/週
(100までのFQDNを一枚のSAN証明書にすることが出来る。 )
▧ SSL強度は大丈夫なのか？
⇒quality ssl labsでテストしてみたところ A判定
Note

15. Thank you for your attention!!

16. 2016/12/04 add
GCPのHTTPLBでのUPDATEは以下で簡単に実施
できる
<SSL証明書アップロード>
gcloud compute ssl-certificates create NAME --certificate=LOCAL_FILE_PATH
--provate-key=LOCAL_FILE_PATH
※証明書のアップデートは出来ないらしく、Create後にDeleteが必要
<https-proxyアップデート>
・https-proxyを確認
gcloud compute target-https-proxies list
・アップデート
gcloud compute target-https-proxies update NAME --ssl-sertificate=SSL_CERTIFICATE