アカウント名:
パスワード:
突き詰めるなら、ブラウザなどにプリインストールされている証明書はいったん全て削除し、信頼できる証明書を自分で選定してインストールすべきですね。以前Comodoの再販業者が、身元確認もせずに正規の証明書を発行して問題になっていました [srad.jp]し。
# 面倒なので僕はやってません
「こいつは大丈夫」って意味じゃなくて「こいつはB氏本人です」って意味に過ぎませんよ。
B氏を信用するかどうかはあなた次第。信用しないなら、そのサービスを利用しなければいいだけです。
あなたにとっては名前を聞いたことがない会社かもしれませんが、ブラウザの開発元が「信用していいよ」っていってる組織なのです。それすら信頼できないというのは単に価値観の話ですが、少なくともオレオレ証明書と同等だとは思えません。
「ルート証明書もオレオレ証明書と同様に信頼できない。」 A:「だから、すべてのサイトで秘密情報を一切送信しない。」 B:「だから、オレオレ証明書のサイトでも躊躇なく秘密情報を送信する。」Aならともかく、Bは無いと思います。
ああ、失礼。正規の証明書も信用しないという流れでしたね。サブジェクトだけ見て勘違いしました。
それはそれで、ひとつの考え方だとは思いますが、個人的には失うもの(オンラインショッピングの便利さとか)が多すぎると思います。少なくとも通信経路中で盗聴されていないことは保証されるわけですし。
通信経路中での盗聴がないのはオレオレでも同じじゃありませんか?
いいえ。 PKIよくある勘違い(1)「オレオレ証明書でもSSLは正常に機能する」 [takagi-hiromitsu.jp] 例えば、中間者攻撃を受けていた場合でもオレオレ証明書が表示されます。
信頼できる相手でないとできないような通信なら、どっちにしても証明書は自分で確認しなきゃ、と思います。
わざわざ自分で確認するまでもなく、ブラウザが「偽サーバです」って教えてくれてます。偽者の証明書を確認することに意味はありません。
こちらに大きな過失がなければクレジットカード会社の保険でなんとかなるとの考えからです。
「信頼」という言葉に過度に期待しすぎているのではないかと感じました。認証局に期待していいのは「鍵(証明書)がちゃんと管理されてる」ってことぐらいです。
「ちゃんと管理された鍵で暗号化されているから、秘密は守られる(通信経路上に限る)」「ちゃんと管理された証明書がついているから、本物だと確認できる」ただそれだけです。それだけですが、上記が「確実である」というのは、非常に意味のあることだと思います。
あなたが「認証局が鍵を紛失してるかも」って思うのは自由ですが、私はそういった話を聞いたこともありませんし、仮に漏れても失効リストが
> それをなぜ期待していいんですか?技術的に期待してよい範囲について書いたつもりでした。無論、最終的には人が処理する事ですから期待が裏切られることはあるとおもいます。これ以上のこと(証明書の発行先が健全な会社である等)を期待するのは、そもそも期待過剰だと言いたかったのです。
> ちゃんと管理されてなかった例がほかのコメントにあったように思いますが。 #1706525 [srad.jp]の話だと思いますが、あちらのストーリーについているコメント [srad.jp]によると、件の証明書はPKIの仕組みに従って、すぐに失効されたようです。
> オレオレというだけで信頼してはいけない、とはなら
> それは、攻撃者の証明書を受け入れたからであって、> オレオレだからではないと思うのですが、違いますか?すみません。仰っている意味がよく分かりませんでした。「オレオレ証明書で通常運営」されているサイトでブラウザが警告をだした場合、「いつものこと」なのか「攻撃を受けているから」なのか判断ができません。判断できない以上、盗聴がないとはいえないでしょう。
> 2が存在しえるので、正規の証明書でも信用してはいけない場合がある。> 3が存在しえるので、オレオレでも別途フィンガープリントを確認するなどして証明書を受け入れてもよい場合があ
というか、証明書ストアにあるルート証明書はユーザーが自ら信頼することを選んだという建前 [takagi-hiromitsu.jp]なのですから、「俺はそんなものを信用した覚えはない」というなら、口先だけでなく行動に反映させる(証明書ストアから削除するとか無効にする)べきですね。ちゃんとそうしていれば「ルート証明書なのに信頼できない」などというわけの分からない状態は発生せず、ブラウザで機械的に検証できます。
ブラウザの開発元が認証局が信頼できるものかどうかを判定しているわけではなくて、WebTrustつまり米国とカナダの公認会計士協会が判定したものを受け入れているだけです。
とはいえ最終的に判断するのはブラウザの開発元なので、例えばIEはMicrosoftの独自認証局が入ってたり、WebTrust認定されてない段階で日本政府をフライング登録 [srad.jp]したりしますが。
より多くのコメントがこの議論にあるかもしれませんが、JavaScriptが有効ではない環境を使用している場合、クラシックなコメントシステム(D1)に設定を変更する必要があります。
UNIXはシンプルである。必要なのはそのシンプルさを理解する素質だけである -- Dennis Ritchie
オレオレで結構 (スコア:0)
オレオレよりも信頼できると考える理由がわからない。
Re: (スコア:0)
Re: (スコア:0)
ルート証明書を信頼済みにしたIEがインストールされます。
で、そういうルート証明書がオレオレ証明書より信用できる
理由はどこにもないと思うのですが、どうでしょう。
オレオレ証明書を信用しろといってるのではなく、
正規の証明書もオレオレと全く同様に、信用しないのが
いいのではないかと思うのです。
Re: (スコア:0)
突き詰めるなら、ブラウザなどにプリインストールされている証明書はいったん全て削除し、信頼できる証明書を自分で選定してインストールすべきですね。
以前Comodoの再販業者が、身元確認もせずに正規の証明書を発行して問題になっていました [srad.jp]し。
# 面倒なので僕はやってません
Re: (スコア:0)
私だったら、友人Aを信頼していたとしても、
彼が「こいつは大丈夫」と太鼓判を押すB氏を
Aと同等に信頼することは出来ません。
Re: (スコア:2, すばらしい洞察)
「こいつは大丈夫」って意味じゃなくて「こいつはB氏本人です」って意味に過ぎませんよ。
B氏を信用するかどうかはあなた次第。信用しないなら、そのサービスを利用しなければいいだけです。
Re: (スコア:0)
おっしゃるとおり。勘違いしてました。
問題は、認証局そのものを信用していいものかどうかが
わからんというところだった、というわけですね。
Trusted AuthoritiesにはいってるAAAとかいう
名前を聞いたこともない会社が、この人はBさんですと
保障してくれても、だから何? と。
# まだ何か間違ってるかな...
Re:オレオレで結構 (スコア:1, すばらしい洞察)
あなたにとっては名前を聞いたことがない会社かもしれませんが、
ブラウザの開発元が「信用していいよ」っていってる組織なのです。
それすら信頼できないというのは単に価値観の話ですが、少なくともオレオレ証明書と同等だとは思えません。
「ルート証明書もオレオレ証明書と同様に信頼できない。」
A:「だから、すべてのサイトで秘密情報を一切送信しない。」
B:「だから、オレオレ証明書のサイトでも躊躇なく秘密情報を送信する。」
Aならともかく、Bは無いと思います。
Re: (スコア:0)
ああ、失礼。正規の証明書も信用しないという流れでしたね。
サブジェクトだけ見て勘違いしました。
それはそれで、ひとつの考え方だとは思いますが、
個人的には失うもの(オンラインショッピングの便利さとか)が多すぎると思います。
少なくとも通信経路中で盗聴されていないことは保証されるわけですし。
Re: (スコア:0)
仕込んだりはしないだろうという意味での信頼で、
彼らに認証局が信頼できるものかどうかを判定する能力が
あると考えているわけではない、としたらどうでしょうか。
私のスタンスは、秘密情報を送信するかどうか判断する際に
証明書がオレオレかどうかは判断材料にしない、です。
どなたかが書いてましたが、プリインストールのルート証明書を
全部消すのと同じイメージ。BよりはAに近いか、と。
Re: (スコア:0)
信頼できる相手でないとできないような通信なら、どっちにしても
証明書は自分で確認しなきゃ、と思います。
オンラインショッピングも使いますが、それは店を信用しているわけではなく、
もしもクレジットカード番号が漏れて悪用されたとしても、
こちらに大きな過失がなければクレジットカード会社の保険でなんとかなる
との考えからです。
実店舗を構えた店でカードを使うときも、同様に店はぜんぜん信用してません。
Re: (スコア:0)
通信経路中での盗聴がないのはオレオレでも同じじゃありませんか?
いいえ。 PKIよくある勘違い(1)「オレオレ証明書でもSSLは正常に機能する」 [takagi-hiromitsu.jp]
例えば、中間者攻撃を受けていた場合でもオレオレ証明書が表示されます。
信頼できる相手でないとできないような通信なら、どっちにしても
証明書は自分で確認しなきゃ、と思います。
わざわざ自分で確認するまでもなく、ブラウザが「偽サーバです」って教えてくれてます。
偽者の証明書を確認することに意味はありません。
こちらに大きな過失がなければクレジットカード会社の保険でなんとかなるとの考えからです。
Re: (スコア:0)
「信頼」という言葉に過度に期待しすぎているのではないかと感じました。
認証局に期待していいのは「鍵(証明書)がちゃんと管理されてる」ってことぐらいです。
「ちゃんと管理された鍵で暗号化されているから、秘密は守られる(通信経路上に限る)」
「ちゃんと管理された証明書がついているから、本物だと確認できる」
ただそれだけです。
それだけですが、上記が「確実である」というのは、非常に意味のあることだと思います。
あなたが「認証局が鍵を紛失してるかも」って思うのは自由ですが、
私はそういった話を聞いたこともありませんし、仮に漏れても失効リストが
Re: (スコア:0)
それをなぜ期待していいんですか?
ちゃんと管理されてなかった例がほかのコメントにあったように思いますが。
> オレオレ証明書という1点だけで「秘密情報を送信していけない」決め手になると思います。
それがおかしいと思うんです。
正規の鍵というだけで信頼してはいけない、はそのとおりですが、
オレオレというだけで信頼してはいけない、とはならんと思うのです。
たとえば、この件はオレオレだったわけですが、官報かなんかで
フィンガープリントを比べればいいわけでしょう。
Re: (スコア:0)
> 例えば、中間者攻撃を受けていた場合でもオレオレ証明書が表示されます。
それは、攻撃者の証明書を受け入れたからであって、
オレオレだからではないと思うのですが、違いますか?
> わざわざ自分で確認するまでもなく、ブラウザが「偽サーバです」って教えてくれてます。
> 偽者の証明書を確認することに意味はありません。
そうでしょうか。
証明書を持っている人と正規のものかどうかで区分すると4種類に分けられると思います。
1. 通信したい相手の正規の
Re: (スコア:0)
> それをなぜ期待していいんですか?
技術的に期待してよい範囲について書いたつもりでした。
無論、最終的には人が処理する事ですから期待が裏切られることはあるとおもいます。
これ以上のこと(証明書の発行先が健全な会社である等)を期待するのは、そもそも期待過剰だと言いたかったのです。
> ちゃんと管理されてなかった例がほかのコメントにあったように思いますが。
#1706525 [srad.jp]の話だと思いますが、あちらのストーリーについているコメント [srad.jp]によると、
件の証明書はPKIの仕組みに従って、すぐに失効されたようです。
> オレオレというだけで信頼してはいけない、とはなら
Re: (スコア:0)
> それは、攻撃者の証明書を受け入れたからであって、
> オレオレだからではないと思うのですが、違いますか?
すみません。仰っている意味がよく分かりませんでした。
「オレオレ証明書で通常運営」されているサイトでブラウザが警告をだした場合、
「いつものこと」なのか「攻撃を受けているから」なのか判断ができません。
判断できない以上、盗聴がないとはいえないでしょう。
> 2が存在しえるので、正規の証明書でも信用してはいけない場合がある。
> 3が存在しえるので、オレオレでも別途フィンガープリントを確認するなどして証明書を受け入れてもよい場合があ
Re: (スコア:0)
というか、証明書ストアにあるルート証明書はユーザーが自ら信頼することを選んだという建前 [takagi-hiromitsu.jp]なのですから、「俺はそんなものを信用した覚えはない」というなら、口先だけでなく行動に反映させる(証明書ストアから削除するとか無効にする)べきですね。
ちゃんとそうしていれば「ルート証明書なのに信頼できない」などというわけの分からない状態は発生せず、ブラウザで機械的に検証できます。
Re: (スコア:0)
> 「いつものこと」なのか「攻撃を受けているから」なのか判断ができません。
認証局のサインのない証明書を、信頼済みとしてブラウザに登録して
通常運用することを想定していました。
ブラウザが警告を出した場合、攻撃を受けているからと考えてよいか、と。
> 再三言われていますが、「相手が偽者でないこと」を証明するのみですから
> 「本物から攻撃を受ける」ことをPKIで防ぐことはできません。
にもかかわらず、SSLさえ使えばもう安心というような風潮があるように思えて気になります。
Re:オレオレで結構 (スコア:1)
ブラウザの開発元が認証局が信頼できるものかどうかを判定しているわけではなくて、
WebTrustつまり米国とカナダの公認会計士協会が判定したものを受け入れているだけです。
とはいえ最終的に判断するのはブラウザの開発元なので、
例えばIEはMicrosoftの独自認証局が入ってたり、WebTrust認定されてない段階で日本政府をフライング登録 [srad.jp]したりしますが。
Re: (スコア:0)