TLSの暗号化方式について考える（CHACHA20_POLY1305とは）

少し前にngixでWebサーバーを立てて、SPDYを利用するためにTLSの設定をしていました。

TLS設定時に出てくるがTLSのバージョンと暗号化方式。

バージョンについてはSSL3.0はもうやめて、最低TLS1.0にしましょうというのが常識みたいなので特に悩むことはありません。TLS1.2,1.1,1.0を使えるようにしておけばOK。

が、問題は暗号化方式。なんかいっぱいあってよくわからない。

結論としてはこの記事を見て、見よう見まねで設定しました。

この設定をするまでに色々調べました。

ChromeでURLの横の鍵マークをクリックすると、簡単に各サイトの暗号化方式が見れて、さらに「新しい暗号化」だとか「古い暗号化」だとかまで教えてくれます。

とりあえず、何が新しくて何が古いのか謎だったので検索したら、Chromiumのソースを見て確認している人がいました。

※2015.3時点のものなので、将来的に変わる可能性はあります

この条件で、「最新の暗号化」と表示されてかつ今一番使われているのが、この暗号化です。AES_128_GCM

最初にURLを出した設定方法に従った場合もこれになります。

じゃあ天下のGoogle様はどうしてるんだろう？インターネットについて日々考えまくってるGoogle様と同じ設定にしておけば安心だろうと考えたわけです。

CHACHA20_POLY1305？？？なんだこれは？

ほかのサイトを色々見ても出てこなかった方式です。でもきっとGoogleが使うぐらいだから安全なものではあるのでしょう。調べてみました。

Poly1305-AES - Wikipedia

Googleは、共通鍵暗号としてChaCha20、メッセージ認証符号としてPoly1305を組み合わせたものを、RC4に代わるインターネットセキュリティで利用可能なストリーム暗号として提唱している。Google ChromeおよびGoogleのウェブサービスにおけるTLS/SSL通信 (https) においてChaCha20-Poly1305が実装されている。

 Poly1305-AESは様々なCPUで高速に計算可能である。

どうやら、Googleが提唱している安全かつ計算が高速な暗号化のようです。

じゃあnginxでこの設定にしようと思ったのですが、いくら探しても設定方法が出てきませんでした。

そこで調べてみると

• OpenSSLにはまだ標準では実装されていない（nginxはビルドにOpenSSLが必要なので暗号化部分はOpenSSLを使ってるはず。なのでOpenSSLに実装されてない暗号化はnginでは使えない）
• LibreSSLには実装されている
• BoringSSLにも実装されている 

BoringSSLはGoogleがOpenSSLからフォークしたものなので、GoogleのWebサーバーにもきっとBorignSSLを使ってCHACHA20_POLY1305を提供しているのでしょう。ちなみにブラウザ側（Chrome）は、使用しているOSSとしてBoringSSLがしっかりと書かれています。

ちなみにLibreSSLを使ってnginxをビルドすれば、nginxでもCHACHA20_POLY1305が使えるようです。

NginxとLibreSSLを組み合わせて使用する - Qiita

nginx - Built against LibreSSL

OpenSSLが対応すれば、きっとnginxでも標準で使えるようになると思うのですが、対応予定は調べてもイマイチわかりませんでした。が、CloudFlareがOpenSSLを対応させるパッチを公開していることがわかりました。

このブログ記事で、やはりより高速な暗号化方式として紹介されてて、AES_128_GCMとCHACHA20_POLY1305の速度比較も載っています。

AES-128-GCM: 41.6ms

ChaCha20-Poly1305: 13.2ms

 ちなみに、CLOUDFLAREがパッチを開発していることからもわかるように、CloudFlareを通じて提供されているWebサイトではCHACHA20_POLY1305が使われていました。

例えばこれ→ https://www.airtahitinui.com/jp-ja

今のところ、GoogleとCloudFlare以外で対応サイトは見つかりませんでした。

先日紹介したCaddyは、簡単に使えるのが売りなのでTLS使用時に暗号化方式の設定をする必要が無いのですがAES_128_GCMになります。

こちらもなんとかCHACHA20_POLY1305にできないかと思いソースを読んでみましたが、golangのcrypto/tlsというパッケージを使って暗号化しているようで、さらにgolangの仕様を調べてみましたが、まだCHACHA20_POLY1305が実装されていませんでした。

ということで、golangやOpenSSLが早く標準で対応して、Apacheやnginxで使えるようになって、性能の良い方式がドンドン広がっていけばいいなと思いました。

HTTP/2対応の軽量Webサーバー”Caddy”を使ってみた

先日、偶然こんな記事を見つけました。 Caddy - HTTP/2対応の開発用HTTPサーバ MOONGIFT HTTP/2対応・単一バイナリのWebサーバーがあるらしい。 ということで、本家サイトでさらに情報収集してみる。 https://caddyserver.com/ 特徴としては -単一のバイナリファイル -Go言語で実装されている -リリースされたばかり（2015.4.30） -HTTP/2対応 -Markdown記法対応 -TLS1.2対応 -リバースプロキシ対応 -その他、主要な機能もだいたい備えてる FAQ（https://caddyserver.com/docs/faq）を要約すると -Apacheやnginxとは異なる特徴、目的利点がある -特別な知識なしにWeb開発、デプロイ、ホスティングをできるようにする -主目的はnginxはリバースプロキシであるのに対して、Caddyは静的ファイルの配信 - 開発者だけでなくデザイナーやライターにも使えるように ということが考えられているようです。 HTTP/2に対応しているWebサーバーはまだ少ないですし、出たばかりでこれだけ機能を備えているのはすごいし、設定も簡単そうなのでためしてみることにしました。 以下、さくらVPS上のCentOS6で試した結果になります。 まずは、ダウンロード。 >|| $ wget https://github.com/mholt/caddy/releases/download/v0.6.0/caddy_linux_amd64.zip $ mkdir Caddy $ unzip caddy_linux_amd64.zip -d Caddy Archive: caddy_linux_amd64.zip inflating: Caddy/caddy inflating: Caddy/CHANGES.txt inflating: Caddy/README.txt ||< デフォルト設定で動かすならcaddyを実行するだけ。2015番ポートで起動します。 >|| $ ./caddy 0.0.0.0:2015 ||< とりあえず、テストしやすいように80番ポートで起動。80番で起動するにはsudoで起動しないとダメでした。 >|| $ sudo ./caddy -port="80" 0.0.0.0:80 ||< 何もドキュメントがないので404になりますがサーバーが起動するのがわかります。 コマンドラインのオプションでもいくつか設定できることはありますが、基本的にはCaddyfileと呼ばれる設定ファイルに設定を書きます。 The Caddyfile Syntax 1行目にリッスンするアドレスとポート。それ以下は各ディレクティブを書きます。 >|| 0.0.0.0:80 gzip log ../access.log ||< いくつか試してみましょう。 - ドキュメントルートを設定 - ファイルの拡張子を省略する設定（Clean URL） >|| 0.0.0.0:80 root ./doc ext .html ||< Caddyfileを指定して起動します。 >|| $ sudo ./caddy -conf="./Caddyfile" ||< ※ちなみにCaddyfileのファイル名がCaddyfileなら-confは省略できます。 拡張子無しで./doc/test.htmlにアクセスできました。 さて、Caddyの一番の特徴であるHTTP/2を試してみましょう。 HTTP/2は規格上は暗号化は必須ではないようですが、CaddyではTLSを使ってやる必要があります。 設定で無効にしないかぎり、TLSを使えば勝手にHTTP/2になります。 私はStartSSLで、無料で正規の証明書を取得してますが、試すだけならオレオレ証明書でもいいでしょう。 （参考） 無料のSSL証明書StartSSLを活用する - Qiita オレオレ証明書をopensslで作る（詳細版） - ろば電子が詰まっている CaddyfileにTLSディレクティブを書きます。（TLS 公開鍵 秘密鍵） さらに、httpはhttpsにリダイレクトするようにしてみました。 TLSを有効にするときは、リッスンするアドレスにhttpとhttpsを明示したほうがいいみたいです。 >|| http://xxx.xx { redir https://xxx.xx } https://xxx.xx { root ./doc ext .html tls ./ssl/ssl.crt ./ssl/ssl3.key } ||< 無事、HTTP/2で通信できました。 Chrome ExtensionのHTTP/2 and SPDY indicatorで確認しました。青い稲妻が出てますね。 ちなみ、暗号化方式はこんな感じ。（多分設定を変える方法は無い）→v0.7.0で設定可能になりました 簡単な設定で使うことができ、今後にも期待できるWebサーバーだと思いました。

当日発券システム 初体験

5/17（日） 日本武道館にいきものがかりのライブに行ってきました。

今回から「当日発券システム」なるものが導入されたのですが、検索してみると最近他のアーティストでも導入されているケースがあるようなのでレポートしてみます。

いきものがかりのチケットについては↓に解説があります。

http://ikimonogakari.com/tour/2015_ticket.html

今回チケットはファンクラブ先行でとりました。e+のサイトからの申込でした。

当日発券システム、簡単に言うとチケットに座席番号が書いてなくて、入場するときに座席がわかるシステムです。いい座席を高く転売するのを防ぐ目的です。

逆に言うと、座席関係なく転売するのまでは防ぐことはできません。

（どうしても行けなくなる場合もあるので、やむを得ない場合の定価またはそれ以下での売買は許容されれうべきと個人的には思います）

関係あるのかないのかわかりませんが、いつもよりダフ屋は少ない気がしました。

チケットはこんな感じで管理番号が書かれていてました。それ以外は普段のチケットと全く同じ。

入口でチケットを渡すと、バーコードを読み取って、すぐにこんな座席が書いた紙が印刷されました。ちなみに上の写真を見るとわかりますが、チケットはバーコードを読み取るだけで半券のモギリはありませんでした。

印刷はレシートタイプのプリンタでしたが、ちゃんとライブのロゴが入った専用紙で凝ってます。

また、バーコードを読み取ってから印刷完了までがかなり速くて、普通に入場する場合とほとんど同じと言っていいと思います。このシステムになったから入場に時間が掛かるとかの心配は必要なかったです。

ちなみに武道館では入口が2つに分かれていて、○番までがこっち、○番からがこっちとなってい、多分アリーナ席とスタンド席での区別なので、厳密に言えば管理番号と座席はすごく大雑把には関連性があるみたいです。が、さらにその中で管理番号と座席がきれいに並んでいるのか、ランダムなのかは不明でした。

どちらにしろ、当日まで席をわからないようにするという目的は十分果たしていると思います。

発券もスムーズだったのでとても良く出来たシステムだと思いました。

沖縄弾丸旅行2日目（JJP308便搭乗記）

2日目はホテルの朝ご飯を食べて、7時半頃出発。

朝ご飯は値段の割に、バイキングの種類がちょっと少なめでした。

一路、美ら海水族館に向けて北上。

途中のコンビニで美ら海水族館の前売り券を買いました。

（美ら海水族館で買うと1800円、前売り券は1660円）

道もすいてて、スイスイ進んで1時間半ぐらいで美ら海水族館のある海洋博記念公園に到着。

予報では天気悪かったのですが、晴れてきて海も綺麗に見えました。

美ら海水族館の写真は前回撮ったので、今回は撮ってません。

前回の写真はこちらを参照↓

熱帯魚やジンベエザメに母も妻も感動してくれたようなので、良かったです。

その後は公園内のエメラルドビーチに行ってみました。南国の海って感じで、綺麗だしもう泳いでる人もいました。特に綺麗な海が好きな妻は大はしゃぎでした。

公園内のウミガメやイルカも見た後、お昼ごはんへ。

公園のすぐ近くのやんばる海の駅のなかの海邦丸にお魚🐟を食べに行きました。

妻が食べた刺身定食。説明つき、聞いたことない沖縄の魚の名前です。

僕は「季節の魚のづけ丼ぶり」に100円プラスで海ぶどうをつけますた。。魚は、上の刺身の写真にあるウキムルーと同じでした。ちなみに調べてみたらウキムルーってカンパチのことらしい。

もずくもついて、まさに沖縄づくしって感じでした。母がたのんだやんばる豚のステーキにはジーマミー豆腐もついてました。

お魚も海ぶどうももずくもおいしく、沖縄の海を楽しめました。

さらに近くの、海を見るスポット瀬底島に行きました。

地元山口の角島と似てる感じで親しみがわきました。天気も良かったので海がきれいでよかった。島に渡って、橋のすぐ下に降りれるようになってます。

もう少し先の瀬底ビーチにも行ってみようと思いましたが、駐車場1000円でちょっと景色を見に行けるようにはなっておらず、Uターン。前後で、ほかの観光客も続々Uターンしてました（笑）

帰りは、道の駅許田に寄って母がおみやげ買って山口へ発送。

僕はシークワーサージュースゴクゴクしてました。シークワーサージュースかなり好きで、前日も飲みました。前回来た時も2本飲みました（笑）

妻は黒糖ぜんざいを食べて、おいしくて喜んでました。ぜんざいといっても、かき氷があずきと黒糖で味付けしてある感じです。

まだ少し時間があったので、許田から高速に乗らず一般道で南下して、万座毛に行きました。

このへんになると、日を浴びてる時間が長くなってきて、日焼けに弱い僕は若干衰弱気味でした(:3 」∠)_　が、景色は良かったです。

最後にレンタカー返す前に国際通りによって、ラッキータコスでタコスを購入。タコスもどうしても食べたかったのです。国際通りは日曜で歩行者天国だったので、一本横の道に一時停車して買いに行きました。

レンタカーを返して空港へ。

帰りは僕たちはジェットスター、母はピーチなので、来た時とは双方逆のターミナルへ。

母は先にAPJ288便で帰って行きました。

僕たちは少しお土産を買った後、空港食堂でソーキそば＆沖縄そばリベンジ。やっぱり、1日目に食べた店より、安くて・だしの味もおいしく・肉も大きくて美味しかったです。空港食堂、おすすめです。

帰りの飛行機はジェットスターのJJP308便。機材はJA13JJでした。

搭乗もスムーズで、定刻の19:25より2,3分早くスポットアウト。

ランチェンしていて、RWY18からの出発でした。

成田空港への到着もほぼ予定通りかちょっと早いぐらいでした。

帰りは着陸の動画を撮影してみました。夜の空港は空から見ると綺麗ですね。

第3ターミナルの到着は、1階に到着して、4階に上がって（橋）、1階に降りて（手荷物受取）、最終的にターミナル2階から外に出るという、ちょっとアップダウンが多い感じで面倒でした。

弾丸旅行でしたが、予想外に天気がよく海の綺麗さも楽しめて、食べたいものも食べれて満足な旅行でした＼(^o^)／

沖縄弾丸旅行1日目（VNL805搭乗記）

5/9,10の土日で1泊の沖縄弾丸旅行に行ってきました。

7月にマイルで沖縄に行くのですが、その時はダイビングで渡嘉敷島に泊まるため、美ら海水族館に行けない。しかし、妻が美ら海に行ってみたい！（僕は先日の日本一周の時に行った）というので、冗談で「LCCで弾丸で行けば？」と行ったら、ほんとに行くことになりました。

（妻は僕と違って乗り物に乗っている時間は好きではないので、相対的に乗り物の時間が長くなる弾丸旅行は拒否するだろうと思っていた）

加えて、「（新婚旅行が沖縄だったので）いつかまた沖縄に行きたい」と昔からずっと言っていた母を誘いました。日程を決めてから誘ったため、父は予定が合わず。

母は山口に住んでいるので、福岡空港からANA1205便に乗り現地で合流することにしました。

福岡から那覇って便数結構あるし、値段も大したことないんですね。ただ機材はほとんど737-500なのが残念ですが。

行きはバニラエアのVNL805便（JW805便、10:10→13:20）。

朝は6時過ぎに家を出て、8時半頃に空港に到着。

初の成田第3ターミナルからの出発です。

フードコートで朝ご飯を食べた後、Webチェクインしていたのでそのまま保安検査場へ。出発は161番ゲートということで、第3ターミナルの特徴でもある橋？をわたってゲートへ。

4階なので、ぐーっとエレベーターを登ります。

見晴らし抜群。第3ターミナルの国際線側と第2ターミナルが少し見えます。

朝なので本家ジェットスターのメルボルン便のA330いました。A330は斜め駐機らしい。

出発フロアは縦長。ジェットスターの売店があります。（バニラは自販機のみ）

搭乗を待つ間、ぐるっと一周。

A320の窓ってこういうふうに開くんですね。

しばらくすると僕達が乗る805便に使われる機材が、新千歳から戻ってきました。少し遅れたみたいで、使用機到着遅れで805便の搭乗は遅れるとのこと。

機材はJA02VAでした。バニラエア乗るのこれで4回めですが、なかなかJA04VA以降の新仕様の機材に当たりません。

第3ターミナルの特徴の一つ、エプロンルーフも初体験。

結局飛行機は、定刻から10〜15分遅れてスポットアウト。16Lかとおもいきや、第3ターミナルからは一番遠い、16Rにタキシングしていきました。第3から16Rは本当に遠くて、20分以上かかったと思います。ちなみに、妻はこの時点でスヤスヤ。

第1ターミナル側の誘導路はなんか工事してました。

離陸も5機ぐらい先行がいて少し待ちましたが、10:50ごろ離陸。

この日は天気が悪く雲が厚くて、上昇中かなりの時間揺れてたし、なかなか雲の上に出ませんでした。飛行中ほとんどずっとこんな感じで外は真っ白。

結局那覇空港には約20分遅れで着陸。飛行ルートはこんな感じでした。着陸は南向きRWY18でした。

前回沖縄に来た時もそうだったのですが、この着陸経路は何なんだろう？標準でこの経路なのか、混雑の時間稼ぎのためなのか？

飛行機から降りた瞬間、ムシっとしてました。

LCCターミナルから国内線ターミナルへバスで移動して、母と合流。

沖縄そばが食べたかったので、お昼ごはんは我慢してました。

ターミナル内のそば屋さんでソーキソバを食べたのですが、前回空港食堂で食べたソーキそばのほうが断然おいしく残念な感じでした。（なので帰りに空港食堂に行きました）

その後レンタカーを借りて、首里城へ。

ゴールデンウィーク後なので人も大して多くなく歩きやすい感じでした。

見晴らしがなかなか良かった。（天気は悪かったので写真は暗くてイマイチ）

このお城の周りをみて、なるほどいわゆる日本のお城（大阪城とか）と同じようなものでそれの琉球王国版なのかと納得しました。

首里城から一旦ホテルに戻って休憩。

今回ホテルは沖縄都ホテルに宿泊しました。首里城からは車で数分。

モノレールの駅からも、首里城からも歩けなくはないけど、歩くとちょっと遠いという感じの立地でした。（なのでレンタカー借りました）

ホテルは若干古さを感じましたが、ビジネスホテルよりはいい感じ。1階のおみやげ屋さんはかなり広かったです。

1時間ほど休憩して、今度は国際通りをぶらぶらしに行きました。

適当にお店に入ったりしつつ、夕ご飯のお店を目指しました。牧志公設市場が、肉や魚が丸出しでたくさんおいてあって、市場！って感じでインパクトが大きかったです。

夕ご飯は風彈という沖縄料理屋さんに行きました。

有名そうな店を妻が調べたのですが、たしかに有名なようで色々とサインも置いてありました。僕の好きないきものがかりのサインもあって、テンションアップでした。

フーチャンプルー、らふてー、グルクンの唐揚げ、タコライスなど頼みましたが、どれも美味しかったです！

こうして1日目は終了。

成田空港第3ターミナルに行ってみた

ホンダジェットワールドツアーの合間に新しく出来た成田空港の第3ターミナルに行ってみました。

ニュースでも話題の陸上トラック風の地面表示、第2ターミナルからの通路から既にペイントされてました。

第2ターミナルからの通路は屋根ありでした。壁に隙間はありますが、雨でも問題なく移動できそう。

しばらく歩いて〜

入口は二階なので階段orエスカレーターで上へ。

階段の上では、左側からバス＆タクシーの降車場から来た人と合流します。

右側に行くと入口に向かいます。

ターミナル内も床のペイントはずっと続きます。

奥（右側）が各社のチェックインカウンター。

反対側（左側）はコンビニ・本屋・水着屋。

奥の突き当りが、450席あって夜も休憩できると話題のフードコート。ゴールデンウィークでとても賑わってました。お昼ごはんはここでカツカレーいただきました。

さらに奥に進むと出発エリア。

国際線側は出発がない時間帯だからなのかシャッターが閉まってました。

国内線は混雑中。

第3ターミナル、きれいでフードコートもショップも充実していて、使いやすそうでいい感じでした。

おまけ

ジェットスターの自動チェックイン機が前とは違うものになってました。大型タブレットみたい。たまたま蓋が開いてましたが、中はスカスカでした。

ちなみに、前のチェックイン機はこれ。

HondaJet World Tour in Japan 2015（成田）

5月4日に行われた成田空港でのHondaJet World Tour in Japan 2015に参加してきました。

競争率はどのぐらいだったのかわかりませんが、運良く午前の部に応募して当選しました。

当選メール

当選メールのURLからアクセスする入場チケット

ふだん成田空港までは車で行くか東京シャトルで行くかなのですが、GWなので渋滞で集合時間に遅刻してはまずいと思い、初めて京成スカイライナーに乗りました。

検問がなくなったと最近話題の入口も初めてみました。

集合場所は第2ターミナルの一番北側、第3ターミナル移転前のバニラエアのカウンターとバスラウンジがあったところ。受付を済ませて、バスラウンジで待機。バス10台でビジネスジェット用格納庫へ移動しました。

 

第2ターミナルからビジネスジェット用格納庫へは、空港の外周をグルっと回って20分ぐらいかけて移動しました。ランプ内や滑走路間近の外周道路を通れてなかなかおもしろかったです。

ランプないでみたものシリーズ。

キャセイパシフィックの車。キャセイぐらいの乗入れ規模でも自社の車両もってるんですね。

同じく航空会社車両シリーズ・ジェットスターさん。

貨物エリアを通過、FedExの777F。普段なかなか間近で見れません。

デルタの作業車両。アメ車って感じですね。

滑走路外側からの、滑走路とターミナル。

 

ハンガーエリアにたくさん駐機してる貨物機さんたち。

NCAの747-8F。

2月3月はアメリカの港湾ストの関係でよく来てたカリッタさんも来てました。

9時過ぎにビジネスジェット用格納庫に到着すると、10時までは展示の自由見学。

チョークにもホンダジェットのロゴが入ってた。

壁では開発中の写真の展示。

10時からはホンダエアクラフトカンパニー社長藤野さんによるホンダジェットの紹介（プレゼン）

プレゼン内容は、この動画（羽田空港での公開時の映像）と同じでした。

プレゼンが終わった後は格納庫の扉があいて、展示飛行に向けてホンダジェットがトーイングされていきました。ANAのトーイングカーが使われてました。

トーイングされた後、エンジン始動からインスペクション（動き始める前の確認）を説明を交えて実演してくれました。

その後、A滑走路16Rまでタクシングしていき、しばし離陸を待ちました。結構混んでて6機待ちでした。コールサインHondaJet21で離陸、ローパスを披露してくれました。

ハンガーからA滑走路の距離だとホンダジェットは豆粒みたいな大きさで、しかもとても機敏な動きだったので写真はうまく取れませんでした。小さくかわいく、でもとても機敏という感じでした。

この展示飛行にて、見学は終了。再び大回りして、ターミナルへ戻りました。

おみやげもらいました。

お昼は新しく出来た第3ターミナルを見学して、フードコートでご飯を食べて、ホンダジェット午後の部を第1ターミナルの展望デッキから見学。

ホンダジェットとゴールデンウィークの相乗効果で展望デッキは大混雑。

相変わらずホンダジェットは豆粒みたいでしたが、午前中にハンガーから見たよりも展望デッキからの方が飛行は長い時間見えました。

午前とは逆方向の旋回でローパス。

飛行中の写真は撮れませんでしたが、着陸時の写真が撮れました。やっぱり小さい。

間近でホンダジェットを見れて、機敏な飛行を見れて、おまけにハンガーへの移動のバスでランプ内や滑走路脇の道路から間近で飛行機を見れて、とても良いイベントでした。

おまけ

ハンガーからよく見えたカンタスさん。カンタスはいつも朝イチで成田に来て、帰るのは夜なので昼間はハンガー前でお休みしてますね。