ページ内ジャンプ:
スラッシュドット・ジャパン 全文検索

アレゲなニュースと雑談サイト

PayPalがフィッシング対策を強化

Acanthopanaxによる 2008年04月18日 23時20分の掲載
危うきを遠ざける部門より
セキュリティ インターネット

oddmake 曰く、

BBC記事、PC Pro記事等の報道によると、PayPalは「危険なブラウザ」をブロックする方針を打ち出したそうだ。その中にはSafariも含まれるという。これは、フィッシング対策のため、フィッシングサイトをブロックできなかったり、EV SSL証明書に対応していないブラウザを締め出すというPayPalの方針を受けての記事であり、Safariが未だEV SSL証明書に対応していないことが背景にある。

PayPalのフィッシング対策の全体からすると、危険なブラウザのブロックはフィッシング対策のごく一部分である。その全容については、PayPal情報セキュリティのチーフMichael Barrettの書いたブログエントリからリンクされたホワイトペーパー(PDF)に詳細な記述がある。こちらは興味深い文書なので一読してみてはどうだろうか。

[2008-04-22 9:00 JST 追記] 9 to 5 Macによれば、PayPalのスポークスマンは、Safariをブロックする計画はないと述べたとのこと。

この議論は賞味期限が過ぎたので、保存されている。 新たにコメントを書くことはできない。
PayPalがフィッシング対策を強化 | ログイン | 23コメント | コメント検索
表示オプション しきい値:

  • EV-SSL対応 (スコア:2, おもしろおかしい)

    Anonymous Coward : 2008年04月19日 0時23分 (#1332946)
    EV-SSL対応なんて、技術的にはすぐできるはずですよね。
    証明書の発行者のフラグかなにかを見て色かえるだけでしょ？

    日本の携帯電話とかもすぐにやったらいいのに。
    あ！その前にアドレスバーがないんだった。ムリぽ。

    • Re:EV-SSL対応 (スコア:1, 興味深い)

      Anonymous Coward : 2008年04月19日 5時44分 (#1333003)
      http://en.wikipedia.org/wiki/Extended_Validation_Certificate [wikipedia.org]
      Extended Validation certificate identification
      によると、OIDが発行元各社によって異なるから、面倒なんでは？
      これから発行元も増えるだろうし。

      あと、誤解されがちだけれど、ホワイトペーパーにもある通り、
      EV-SSLはあくまでフィッシング対策の「一つ」に過ぎない。
      申請プロセスが強化された、ってだけの話なので、EV-SSLを使っていてフィッシングに遭って、
      「EV-SSLであれば大丈夫だと思っていた [slashdot.jp]」なんてこと言わないようにね。

      それにしても、このホワイトペーパー、素晴らしい出来だ。
      さすが向こうはリスクマネジメントとかがよく解かっているな。

      • Re:EV-SSL対応 (スコア:1, 興味深い)

        Anonymous Coward : 2008年04月19日 7時56分 (#1333019)
        EV-SSLってブラウザ側でサーバーが出してくるSSL証明書を今までよりも詳しく吟味する仕組みってことなのでしょうか？
        それとも、サーバー側のSSL証明書に新たに異なった証明レベルの証明書が必要になるというような仕組みなのでしょうか？

        • Re:EV-SSL対応 (スコア:2, 参考になる)

          Anonymous Coward : 2008年04月20日 6時09分 (#1333353)
          FireFox用のEV SSL拡張 [mozilla.org]をjar xして展開してソースをみるとだいたい何をすればいいのかがわかります。 ざっとみた限りですが、
          1. CAと、SSLサイトの証明書を普通のSSLと同様に確認する
          2. CA各社毎に独自のOIDを確認する
          3. 確認が通ったら、従来のSSLについている会社名を表示する
          4. 更に、CAやSSLサイトのアイコンや日本語での会社名なども表示する
          となっていて、FireFoxの拡張の中にはアイコンつきのCA(この拡張では数社のみ)の証明書なども格納されています。

          よって、EV-SSLに対応するには、

          1. SSLの証明書をいままでより吟味する
          2. サーバー側のSSL証明書やCAの証明書に会社所在地の言語(日本語など)での会社名や住所、アイコンなどの拡張情報が含まれているので、それを表示する
          の二つは最低限必要になるとおもわれます。

          当然、各社が使っているOIDを勝手にopenssl.confの[ new_oids ]でつけるようなオレオレ証明書に対抗するためにはちゃんと証明書を吟味する必要がありますし、ユーザに会社の実在を証明するための会社の住所などを表示するインタフェースを追加しなければなりません。

          CA各社に対応するとなると結構面倒そうですが、従来の「信頼されたroot CAの配付」にアイコン情報がついている程度、といえば楽かもしれません。 携帯電話やPDAのようにroot CAを追加・変更しにくいシステムでは面倒そうですね。

        • Re:EV-SSL対応 (スコア:1, 興味深い)

          Anonymous Coward : 2008年04月20日 12時38分 (#1333438)
          ありがとうございます。
          つまりSSLを運用しているサイト側ですることは無く、あくまでもブラウザ側のみの話ということですね。

        • Re:EV-SSL対応 (スコア:1, 参考になる)

          Anonymous Coward : 2008年04月20日 14時14分 (#1333470)
          EV SSLはサイト側での証明書の取得基準が無審査/ザル審査でも取れるSSLよりも厳しくなっています。
          厳しい審査を通った企業の証明書がEV SSL証明書としてEV SSL用CAに紐づけられる。
          ただ、それだけです。
          ブラウザ側での調べ方なんてどれも同じです。ブラウザ側はEV SSL対応のCAに紐付いていればEV SSLの表示(名前と緑色)をし、普通のSSL用CAに紐付いていればそのようなSSLの表示をするだけで、半オレオレ証明的な(ジオトラストのような)ザル審査証明書を締め出すことが目的。
          日本人に英語の証明書見せられても何のことかわかりませんから日本語でも表示するんでしょう。
          CA→企業証明書→サイト証明書 にしてくれた方がどの企業のサーバなのかはわかりやすいと思うんですが、そういう方向には変わっていきませんかね。
  • こういうプレッシャーはうれしいですね。
    EV SSL実装に向かう良い圧力になると思われます。

    先日の crack大会のMacBook Air(というかLeopard)の軟弱さを
    減らすためにも、こういう前向きになれる圧力はじゃんじゃん
    いただきたいものです。

  • Safariだけじゃなく (スコア:1, すばらしい洞察)

    Anonymous Coward : 2008年04月18日 23時37分 (#1332920)
    HTTPコンテンツが混じっていても鍵マークの消えないFirefoxも締め出してください。

  • Re:な、なんだってー (スコア:4, すばらしい洞察)

    tarosuke (2403) <webmaster@tarosuke.net> : 2008年04月19日 2時48分 (#1332991) 日記
    それフィッシングだからー。
    失敗したふりして何度も認証させればハンドルに付いてるパスワードの類をごっそり入手できるわけで、あとは(検閲)。というか、本家がそういう「締め出す」対策してもフィッシングサイトからは締め出されないんだからほぼ無意味だと思う。なので今回の「対策」は少なくとも目先の脅威に対しては対策になってないんじゃなかろうか。

  • Re:な、なんだってー (スコア:1, 興味深い)

    Anonymous Coward : 2008年04月19日 17時49分 (#1333156)
    わしは、さっきあっさり払えましたが。
    iMac G5 OSX Leopard 10.5.2 Safari 3.1.1 ですが。
    もしや、フィッシングされた？
  • 普段Safari使ってるんで、PayPalの金全部下しました。
    # Safariで出来ましたよ。
    # 開発メニューでリクエストのUAヘッダをIE7.0にするだけじゃ駄目なんだろうなぁ...
    --
    Best regards, でぃーすけ
  • 1個のコメント が現在のしきい値以下です。

このページのすべての商標と著作権はそれぞれの所有者が有します。 コメントやユーザ日記に関しては投稿者が有します。
のこりのものは、© 2001-2010 OSDN です。