Espar
2018.10.20 (Sat)

毎月恒例、常時SSL化レポートをお送りします。詳細は、2018年10月版の上場企業の常時SSL化レポート のページからご覧下さい。

今月はというか9月は時期的な理由もあり、企業統合やホールディングス体制移行に伴う上場廃止など上場企業数が減る傾向にありました。前月に対して9社少ない3627社が対象となります。

20181020_sslreport201810
(平常運転という感じの着実な微増です)

今月で63.1%が対応企業となりました。勢いが減っているということはありませんので喜ばしい限りですね。贅沢言うともっと勢いよく増えて欲しいですが。まぁ勢いが弱まっていないことを素直に喜びましょう。

約1年前の初調査の時には47.3%でしたから、そこから15%強増えたと思えば大したものです。500,600社は対応したということですからね。

 

常時SSL化判定の洗練

最近、業界関係者の方も本レポートを参考にしてくださっていたり、セミナーや啓蒙資料等々で一次資料として引用頂いているケースもあるそうで大変有り難い限りです。

ここで少し判定の正確性と弊社スタンスについて書いておきたいと思います。

本レポートは毎月出しています。上場企業のURL一覧から証明書情報を取得したり、常時SSL化対応の有効性をチェックしています。が、全てプログラムで自動実行です。人間が毎月3600社目視するってな事はありえませんので、今流行りの言葉でいうとコレもRPAなのでしょう。

で、その判定ロジックはどれほど厳密で正確なのか?

実は「常時SSL化対応している」と判断する基準は、誰が作っても同じ…とはなりません。なぜなら判定が微妙なケースが非常に多いからです。例えば、

「証明書の設置はしているけど中間証明書の設置方法が間違っていて証明書チェーンが切れている」

といったケースですね。これを皆さんならどう判定するでしょうか?

今、弊社の判断基準では「常時SSL化に対応している」です。これに違和感を覚えるかたもおられるかも知れません。学術系の方とか。でも、中間証明書チェーンが切れていても Chrome 等のブラウザが対応サイトとして表示してくれるんですよね。厳密に突っ込み入れるとすれば「誤り」なんですが。

20181020_sclient
(opensslのs_clientで厳密に見ればブラウザで常時SSL化対応サイトとされていても untrusted なことがある)

これ以外にも色んな例があります。その判断全てに弊社の考えが注入されていて、別の会社が判断すれば異なる結果になる可能性もあります。がまぁ、よっぽどおかしな判断をしない限りは誤差の範囲ですけど。弊社がどういう判断をしているかは毎月レポートの冒頭に書いていますのでご覧下さい。

で、その弊社判断ですが、少しずつ洗練させていきたいとは思ってます。そこで今回、ロジックに少し手を加えました。2018年10月レポート にも書いていますが、

  • 301,302を返すサイトもリダイレクトループしない限り先を辿って調査するようにした
  • 証明書の設定はされているがページがエラー表示の場合は非対応とした

の2点を変更しました。前者は対応サイト増、後者は対応サイト減のインパクトとなります。余り頻繁に変更するとレポートの意味も薄れてしまうので、段階的に洗練させていくつもりです。洗練の軸に据えるのは「人が見た時に常時SSL化対応したサイトと言えるかどうか」です。

 

レポートより判定ロジックの話が長くなりました。来月で丁度12回目。年内に7割対応ぐらいいって欲しかったのですが難しそうです。またレポートします。


2018.10.04 (Thu)

つい先月のこと、AWSの担当の方からパートナーになりませんかと連絡を頂きました。その後、諸々の手続きを経まして、弊社フィードテイラーは、正式に AWS パートナーネットワーク(APN) のパートナーとして認定されました。

20181004_apn
(既に500社ほどの国内企業がパートナー企業として認定されている)

APNにはコンサルティングパートナーとテクノロジーパートナーの2つあります。

前者はAWSを使った顧客向けシステム構築・運用を生業とされる企業、後者はAWS上に自社サービスを展開している企業という違いがあります。今回弊社が認定頂いたのは、後者の テクノロジーパートナー のほう。

弊社はWordPressを始めとするCMSを静的化するサービス espar を昨年6月より提供させて頂いているのですが、自社開発した静的化エンジンはAWS上に構築しています。EC2,ELB,IAM,ACM,S3は勿論、ECSやEFSなど比較的新しいAWSテクノロジも積極的に取り込んで自社サービスを構築しています。

20181004_esp
(国内AWSテクノロジーパートナーのプロダクトポータルサイトにも登録して頂いた)

さて、そんな espar 事業ですが、 CMSサイトを静的化することが一番楽で合理的なのだ という認識が広まるに従って、関心を寄せて頂く方がポツリポツリと増えてきている感触を得ています。

お客様向けで専用に、静的ホスティング環境を構築させて頂く事もあったりで、お客様向けの環境をAWSで構築する役割を担うこともあります。ですので、今後はAPNのメンバーとしてより一層、自社サービスの提供・お客様環境構築支援の両面から、AWSの広がりに少しでも貢献できればと思います。

今後ともフィードテイラーを宜しくお願い致します。


2018.09.19 (Wed)

少し遅くなりましたが 2018年9月版の上場企業の常時SSL化レポート をお送りします。

毎月だいたい上場企業数が増えていくのですが、今月は3社上場(投資信託入れたら4銘柄上場)で3社が上場廃止で変わらず。3636社が対象になります。

20180919_sslreport201809
(ついに上場企業の6割が常時SSL化しました)

先月が59.9%でまぁほぼ6割といっても良かったのですが、今月正式に6割突破です。おめでとうございます!パチパチパチ!(誰に?w)

という訳で2018年9月10日時点で61.3%です。調査を始めた2017年12月は5割を切って47%でしたから、そこから考えればこの8ヶ月で比較的伸びたほうではないでしょうか。10月にリリース予定のchrome70では、

20180919_chrome70
(10月に出るchrome70では非対応サイトが赤く表示される)

こんな感じで非対応サイトが「安全ではない」と赤字表示されるようになりますので、非対応サイトのオーナーさんも、制作会社さんでお客様サイトがまだ対応していない場合も、急いで対応したほうが良いですね。

来月(10月)や再来月(11月)のレポートでは対応サイトまた急増すると思います。

 

証明書の会社とのご縁が増えていく

最近もまた、国内で著名な証明書会社様にお声がけ頂きまして、ディスカッションする機会を得ました。弊社は Let’s Encrypt を推奨している立場なので EV 証明書以外でどうこう…というのは余り無いのですが、常時SSL化が広まってほしいという根っこの部分では同じ思いですので、何かご一緒できるといいですね。

驚いたことに証明書の紹介セミナーをする際に、弊社のレポートを資料内で使っておられるとのことでした。一応、出典として弊社名も記して頂いているのだそう。

いやはや嬉しい限りですね。広く現状を知って貰うのがそもそもの目的だったですから。

レポートのたぐいは第三者に使われてなんぼのもん。調査開始時に思っていた目標の一つは達成です。独自の調査で一次情報を提供しているからこその体験ですね。

国内の民間セキュリティ意識の一指標として認知されていくと良いなぁ。今後も継続してまいります。

 

以上、9月のレポートでした。


2018.08.14 (Tue)

毎月恒例となりました。上場企業の常時SSL化レポート、2018年8月版をお送りいたします。7月下旬のchrome68の影響で確実に増えています。

20180814_sslreport201808
(ついに6割の域に)

対応率がついに6割目前。というか、もう6割対応済みサイトですと言っても良いですねコレは。6割はもう少し先かな…と思っていたのですが想像より早かったです。

10月のchrome70が出る前後ではまた更に増えるのでしょうね。今や常時SSL化しない理由は何もありませんので、この勢いで増えていって貰いたいなーと思います。

 

目指すは常時SSL化100%

本レポート、Let’s Encrypt のスポンサー、自社の espar というCMS静的化製品。弊社は、これらすべての常時SSL化推進活動の先に 上場企業の常時SSL化対応率100% という目標を勝手に置いています。

先月のレポートでも書いた通り新規上場企業は毎月のようにチェックしてますが、未だに常時SSL化対応しないまま新規上場している会社がちょいちょいあるんですよね。まだまだ啓蒙が足りません。個人的には、この会社の株だけは買わないでおこうと思ってしまいますね。ウチは身元を明らかにしませんと宣言してるようなものですから。

上場企業が全てEV証明書による常時SSL化が理想と考えていますが、こっちはなかなか難しいでしょうね。証明書関連のベンダー様も巻き込みながら、引き続き啓蒙をしていきたいと思います。

 

以上、8月のレポートでした。また9月もレポート致します。


2018.08.10 (Fri)

弊社では、昨年末から毎月のように上場企業約3600社の常時SSL化対応状況を調査しています。一つ一つ目視するってのはさすがに非現実的なので、当然ながら自動化してまして…

20180810_sslcheck.png
(自動実行している様子。Go言語で内製したもの)

こんな感じで調査プログラムを毎月実行しています。実装言語はGoogleのGo言語。

上場企業約3600社分のURLを渡してやると

  • 使用している証明書の種類は何か(DV/OV/EV)
  • 認証局情報等を含む証明書の詳細情報あ

などの情報がだいたい30分ぐらいで返ってくるようになってます。で、突然なのですが、この常時SSL化対応調査プログラムのソースコード公開することにしました。

20180810_github
(名前は厳密にはcertcheckかも知れないけど作り始めた時の名前そのまま。ライセンスはGPLv3)

リポジトリはこちら

GitHub - feedtailor/SSLCheck: SSLCheck is a simple command line tool to verify ssl certificate written in golang.

最初のひな形を僕がGo言語で書いて、それを@t0shiyaがブラッシュアップした非常にシンプルなプログラムです。実質1ファイルですしね。弊社で作る上場会社レポートではもちろん、先日リリースのあったJIPDECさんとの共同調査でも基本的に同じものを使っています。

 

オープンソースによるアウトプット

先日、GitHubのGo言語リポジトリのGoUsersのWikiに弊社もエントリさせて貰いました。

が、ふとGo言語的なアウトプット余りしてないな〜ということに気が付きまして。今回は、そんなGo言語アウトプットの一環でもあります。

常時SSL化対応を啓蒙しているポジションなので、色んなURL一覧を持ってる企業さんがこれを使って同じようにレポート出してくれたら良いなーとか思ってます。常時SSL化の促進に寄与できたら良いですね。

今から2年前、アプリ開発を内製でやっていた頃、こんなエントリを書いたことがありました。

「インターネット」とか「ネット」とかでマルっと表現される全てのものにどこかしらオープンソースの恩恵を受けている所は必ずあって、多くのベンチャーよろしく弊社も何かしら貢献したいと考えてきました。()弊社の github グループを作りました。ソースを公開していきます)

社内資産であったiOS用ライブラリをオープンソース化した時に書いたものでしたが、アプリ開発部門を内部に持たないようになってから、オープンソースな取り組みが余りできてなかったんですよね。

何かしら…という思いは常にあってもどかしかったんですが、規模にこだわらなければネタは社内に色々あることが分かったので、今回公開することにした次第です。Go言語なモノに限らずオープンソースなスタンスでこれからもアウトプットしていきたいと思います。

 

という訳で常時SSL化に絡むオープンソース化についてでした〜。

あ、ちなみに弊社は今、Go言語ファーストでやってます。この種の社内ツール類もほぼGoで書くのが基本にしてて、プロダクトやサービスも含めてGo言語をフル活用させて貰っている昨今です。

Go言語を採用した経緯は2年近く前に WP Guard(espar) の開発にGo言語を選んだ理由 なんてエントリを書いてますので宜しければ御覧下さい。Go言語、良いですね。