PKIコミュのFYI:PKIよくある勘違い（IEの功罪）

FYI

http://takagi-hiromitsu.jp/diary/20050327.html#p01

IEの証明書マネージャには、サイトを個別に受け入れるための証明書ストアが存在しない。

このことが、誤ったPKIの使い方を蔓延させるきっかけになったとも言える。IEでのアクセスを前提とすると、自作のサーバ証明書で運用しようとすれば、オレオレ認証局の証明書をルート認証局としてブラウザにインポートせざるを得なくなる。

自作証明書で運用したいなら、「Internet Explorerでのご利用はサポートしていません」とお断りしよう。

コメント(3)

最初
全て
最新の40件

[2] mixiユーザー 04月01日 00:28

今晩は。

はじめましてryuと申します。

高木さんのロジックはちょっとごーいんな気がしますねぇ。

たしかにNatescape/Mozilla/Firefox系のように特定の｢サイト証明書｣のみを入れておく物はほしい気もしますが……
何とかしないかなぁ、マイクロソフトさんは。

まぁ、自分専用の認証局を上げ、Path Length Constraints/Name Constraintsを指定して「信用されたルート認証機関」に入れておけば、ほぼ同じことが可能だと思います。
(ついでにPolicy系の制限を入れておけばもっとよいかも(笑))

マイクロソフトの証明書検証は結構、力が入っているのでクライアント/サーバで検証のコードを追加すればName Constraintsもまともに動いた記憶があります(少なくともWindows 2000/IE 5.0以上では)。

[3] mixiユーザー 04月01日 01:43

どもども。

現実の運用を考えると、サイトを個別に受け入れるための証明書ストアがあっても、それを判断するのがユーザである以上、IEもFireFoxも同類ですね。

もちろん、理論的には違うと思います。

高木氏のロジックは、凄く狭い範囲で運用を想定しているので、極論となってるように見えますね。証明書運用の前提条件の記載があれば（更に文章中でぶれずに）、わかりやすく読めると思います。

ログインすると、みんなのコメントがもっと見れるよ