ネットワーク&セキュリティコミュのセキュリティ証明書

ついつい無視しがちな、セキュリティ証明書の警告

以下、すごく勉強になったのでリンクさせて頂きます。
（無断リンク失礼します）

http://takagi-hiromitsu.jp/diary/20050111.html#p01

既出の話題であればすみません。

コメント(14)

最初
全て
最新の40件

[1] mixiユーザー 01月13日 17:00

どのように信頼が成り立っているのか、どのようにセキュリティが保たれているのか、（理解せずにIEの場合、右下の）鍵マークが付いているかどうかだけで安全かどうか判断しているという事ですね。

恐ろしいことです。

[2] mixiユーザー 01月13日 17:51

まぁ、よくある事例ですが。
担当者が危険性を認識していないということが一番の問題かと。

もちろんWindowsなどに組み込まれている発行機関の証明書を使うのが一番でしょうが、
仮に組み込まれていない発行機関の証明書でもフィンガープリントなどで
確認をさせた上で利用者の責任によりインストールすれば問題ないかと思います。

つか、行政機関なんだからケチケチするなよと。
いや、ケチっているのは受注した会社か

[3] mixiユーザー 01月13日 18:57

ウケる。
粗大ゴミにも神経使うのか（爆）。

[4] mixiユーザー 01月14日 00:46

ブラウザにコントロールされている状況がおかしいといえます。
認証の問題は本来はきわめて政治的なはずなのに、日本として
やる気ないですねえ。

ブラウザのベンダ（MS)に発行機関の登録をするかしないかの
権利があるのはクレージーだと思うのですが。。。。。

国産ブラウザを推進するとかいうのが本当はいいんでしょうけど、

[5] mixiユーザー 01月18日 23:42

お初です、

kyoheiさん、
はじめの第一歩です。ただすぃ

MASAさん、
すべての信頼された認証局を信頼しなければ良いデス(にまにま）

cancelさん、
でもそもそもMSを信用するかどうかの問題でしょう。正確には認証局だったりそれを監査した監査法人だったりしますが。
本当は組み込まれている発行機関を信用するかどうかは本人が判断しなければなりません。うーーん、ムズカシイ問題。
有名な認証局だったらいいんじゃないんですかね。

ロードスターくん(敬称略)
昔7糊でした。

tadashiさん、
ブラウザをコントロールするのは人間ですから、大丈夫でしょう。最大の問題は国産ぷらうざをどのようにして「自分が」信頼するかと言うことです。

[6] mixiユーザー 01月19日 00:06

お初です。

有名な認証局ならOKてのもアレですよねぇ。
買収されちゃったところもあるし、NASDAQ廃止や株価2,3ドルで低迷しているところも認証局ではあるし。

うちの認証局はこんなルールでやってますよ！ってなCPSを歌っているところも本当なんかい？ってところもありますよね。

[8] mixiユーザー 01月19日 01:40

がなりさん、

多分、監査を受けて、その結果を公表すればCPSが遵守されているか確認できるでしょう。

有名かどうかは別にして、認証局を自分が信用できるかどうかが一番大事ダス。だから、有名なことも重要だったり。
ま確かに、財務状態も気になるところですね。

日川佳三さん、
ハンドシェーク時に確かに相手かどうか確かめる手段が必要なんですね。暗号さえできればよいのであれば、
http://takagi-hiromitsu.jp/diary/20050111.html#p01
でエラーでまくっている例も暗号はきちんと行われています。

[9] mixiユーザー 01月19日 03:02

笑ってしまいました。広島市、警告３つは酷いですね。せめて、ＣＮくらいは設定してほしいものです（笑）

　まあ、世の中には暗号化されていない入力フォームやWebアプリケーションも多々あるので、広島市や高知市の場合は幾分か安全という認識なんでしょうね。

　最近、フィッシャー被害もちらほら出てるようですし、これからは認証も重要になるはずですね。

[10] mixiユーザー 01月19日 05:40

えーと、日川佳三さんの話は、
http://internet.watch.impress.co.jp/cda/news/2005/01/12/6028.html
にあるような手法でman-in-the-middle 攻撃を防いでFQDNの真正性が確保できればそれでいいのであって、登記簿がどうの、という話になるVeriSignのサービスは過剰品質ではないか、という話かと。高木さんの
http://takagi-hiromitsu.jp/diary/20050115.html#p01
も似たような趣旨ですが。

多分、SSL/TLSがX.509を証明書フォーマットとして利用していることが過剰品質の根本原因で、本当はVeriSignが提供しているような実在証明は transport security より上の層でアプリケーションに応じて行われたほうがよかったのかなぁ、という感じもします。いまさら遅いかな？
（上の層でやる方式は、思い付きつつあるけど職務発明してみたほうがよい気がするのでここでは喋らない...)。

[11] mixiユーザー 01月19日 16:09

えーと、
日川佳三さんがそう考えているのであれば、本人がそのサイトを信用しても良いと思います。というか、警告がでても良いと思っているのであれば信用しても良いのです。

高木さんは、問題があるのに問題が無いと言うのは問題である、と仰っています。そこが重要です。

http://internet.watch.impress.co.jp/cda/news/2005/01/12/6028.html
も1つのアプローチかもしれませんが、これはWhoisを元に確認したのではなく、メールの到達性で確認する行為であり、Whoisは参照情報に過ぎません。メールの到達性での確認は不十分ではありませんか?

これを受け取ったときに「あなたは」組織の証明書として信用できますか、という問題でしょう。

最後に1つ
実在証明は必要ないとしても、
「その証明書発行申請が本物であるか」
という確認は必要です。それが組織を代表して申請したという証拠が必要なわけです。

[12] mixiユーザー 01月19日 16:15

もう1つ。

バーチャルにおける証明をリアルのものを利用することで確認するとリアルでも利用できます。

ところがバーチャルなものでバーチャルを証明したものをリアルで利用すると問題がおきます。

例えば、ルート証明書をInternet で配布するとか、Webページでフィンガープリントを確認するとか、Whoisとか。

[13] mixiユーザー 01月20日 00:12

> メールの到達性での確認は不十分ではありませんか?

なるほど、メールの到達性だけでは、DNS への攻撃などでメールをこっそりと奪って偽の証明書を作成するといった手法に対して無力ということはありますね。ただ、ここであげたものは、すでに IEでもMozilla/Firefox でも、組込み済のRoot CAの下のCAでサービスされていて、証明書を鍵アイコンをクリックしてポップアップを出して眺めたところで区別はつかなかったりはします。

つまり、Webブラウザのための基準にはこれで通ってしまっているので、これがダメならそもそもブラウザ組込みのRoot CAの運用をすべて自分でチェックしてやる必要があるということに...。

また、別の観点ですと、メールが信頼ならないというだけの話であって、実在証明がこのレイヤで行われるべきか、というとそれはまた別という考えもあります。DNSSEC のようにドメインの上位レベルが下位レベルを認証すればいい、という考えですね。

そして、「バーチャル」と「リアル」の関係ですが、「リアル」の証明が不要だが man-in-the-middle 攻撃のないことを保証したいケースというのはたくさんあるわけですし、また、現在の証明書サービスの中の実在証明では不十分であったり操作上扱いにくい場合は多いですから、それはそれで別のメカニズムで証明してあげればいい、という設計はありうるわけです（現状でWebブラウザから使える汎用的なものがあるかというと違う気はしますけどね）。

[14] mixiユーザー 01月21日 02:45

さあ、難しい話になってまいりました(汗

信用なんてものは、所詮自分がどう思うかだけなんです。
CAを信用するのに1つづつしらみつぶしても良いし、
MSを「信用」してIEに入っているCAを信用すると決めても良い。
3つもエラーがでる某広○市の証明書を信用しても良いんです。でもこれは広島市の証明書かどうか確かめられない落ちがありますが。

仰るとおり
何か信用できないものがあったら別のもので証明すればいいんです。それが上位CAだったり、さらに上位CAだったり、MSだったり、銃器ネットだったり、国だったり、人だったりするわけです。バーチャルで完結していてその世界で信用できるならバーチャルで証明したって良いデス。

問題なのは、某広○市の役人が事実上
「この証明書を信用しろ」
と強制しているところにあるわけですね。
友達から、「こいつは神武天皇と徳川慶喜の末裔だ」といわれてもねぇ。困るわけです。失礼です。

だから有名ってのも重要な要素だし、企業の証明書の確認がメールの到達性だってのも信用できません。特に書きませんが、DNSをクラックする以外に5～6個くらい方法がありそうです。

ログインすると、みんなのコメントがもっと見れるよ