アカウント名:
パスワード:
Comodoは以前も似たような事件を起こしているし、CAとしてはかなり問題があると思います。 Comodo CAがサーバ証明書を関係のない第三者に発行、大問題に [srad.jp]直接的にはリセラーだかパートナーだかがやらかした問題なのかもしれないけど、不正発行を最終的に防止する義務があるのは CA のはず。対象の証明書を無効化してオシマイにすべき話ではないでしょう。ComodoのRootCA証明書を信頼済み証明書リストから削除してもいいくらいだと思います。
ComodoのRootCA証明書を証明書ストアから削除して、どのくらい困るか実験中・・・
検証エラーになった実例ぼしう
お使いのブラウザが何だかわかりませんが、IEだと削除しても勝手に復活します。証明書自体は削除しないで、「この証明書の目的をすべて無効にする」を選択する [takagi-hiromitsu.jp]のが正解。
おお、Windows Update か何かで復活しちゃうんですね。自分のメインブラウザはFirefoxですが、削除ではなく、証明書の目的３つのチェックをすべて外していました。
この証明書は偽物でなく本物なのじゃないの？
本物の証明書が不正な手段によって取得されたというのが問題でしょ？
偽の証明書というと, いわゆるオレオレ認証で, 正規に登録されていない認証局で発行された証明書が使われるってことですよね. この場合, 最近のブラウザなんかだと正規の認証局が発行した証明書じゃないと警告が出る(にもかかわらず信用しちゃったりする人も多い)けど, 今回の場合は本物の証明書だから警告が出ないということですよね.
中国みたいな金盾（のようなもの）完備の国だと、こうやって入手した証明書を使ってSSLを検閲し放題だよねー、
って誰かが書いてたのを見て目から鱗だった。
っ http://support.microsoft.com/kb/293818 [microsoft.com]
＃もう10年も前かぁ
当然 CRL にも入っているので、モダンなブラウザは大丈夫なはずなんですけど、w3m とか Safari とか 携帯電話のブラウザはどうなんでしょうねえ。
IE の場合、デフォルトの設定だと"インターネットオプション"の"詳細設定"の"セキュリティ"にある"サーバの証明書失効を確認する"が off になっていませんか?これって、デフォルトでは CRL を確認しないって事ですよね。
あと Opera は CRL を見ないって話を聞いた事があります。でも OCSP [wikipedia.org] に対応していてデフォルトで有効になっているので、大丈夫なのかな?# Opera 11.01 の opera:config で有効になっているのを確認
7はデフォルトONです。おそらくVistaから。＞サーバの証明書失効を確認する
7だけどオフになってた。オフにした覚えはないけど。
最近の社会的トラブル続きで全然気が付いていない所に何故か突然に事前の予告も無いWidowsUpdateやFireFoxのUpdate通知こんなヤバイネタだったとは…職場ではgmailとかyahooとかはFWで元々塞いでいるけどaddonはどうだったろう？# 安否確認で初めてgmailアカウントを作ったAC
MSのセキュリティブログ [technet.com]でもうちょっとわかりやすく書いてほしかった。
コンピューターを利用するネットワーク環境によっては、デジタル証明書の失効処理が正常に動作しない可能性があります
「インターネット上の Web サイトに到達可能なのに、OCSP をブロックしているようなアホなネットワーク管理者は死ね」と書いてあれば良かったのかなあ。
より多くのコメントがこの議論にあるかもしれませんが、JavaScriptが有効ではない環境を使用している場合、クラシックなコメントシステム(D1)に設定を変更する必要があります。
Stableって古いって意味だっけ？ -- Debian初級
ComodoはCAとして信頼できない (スコア:3, 興味深い)
Comodoは以前も似たような事件を起こしているし、CAとしてはかなり問題があると思います。
Comodo CAがサーバ証明書を関係のない第三者に発行、大問題に [srad.jp]
直接的にはリセラーだかパートナーだかがやらかした問題なのかもしれないけど、不正発行を最終的に防止する義務があるのは CA のはず。
対象の証明書を無効化してオシマイにすべき話ではないでしょう。
ComodoのRootCA証明書を信頼済み証明書リストから削除してもいいくらいだと思います。
Re:ComodoはCAとして信頼できない (スコア:1)
ComodoのRootCA証明書を証明書ストアから削除して、どのくらい困るか実験中・・・
検証エラーになった実例ぼしう
Re:ComodoはCAとして信頼できない (スコア:1, 参考になる)
お使いのブラウザが何だかわかりませんが、IEだと削除しても勝手に復活します。
証明書自体は削除しないで、「この証明書の目的をすべて無効にする」を選択する [takagi-hiromitsu.jp]のが正解。
Re:ComodoはCAとして信頼できない (スコア:1)
おお、Windows Update か何かで復活しちゃうんですね。
自分のメインブラウザはFirefoxですが、削除ではなく、証明書の目的３つのチェックをすべて外していました。
Firefox4 (スコア:2)
偽の証明書じゃないよね (スコア:2, すばらしい洞察)
この証明書は偽物でなく本物なのじゃないの？
本物の証明書が不正な手段によって取得されたというのが問題でしょ？
Re:偽の証明書じゃないよね (スコア:1)
偽の証明書というと, いわゆるオレオレ認証で, 正規に登録されていない認証局で発行された証明書が使われるってことですよね. この場合, 最近のブラウザなんかだと正規の認証局が発行した証明書じゃないと警告が出る(にもかかわらず信用しちゃったりする人も多い)けど, 今回の場合は本物の証明書だから警告が出ないということですよね.
インターネット上でこの証明書を使ってもホスト名が一致しないけど (スコア:1)
中国みたいな金盾（のようなもの）完備の国だと、こうやって入手した証明書を使ってSSLを検閲し放題だよねー、
って誰かが書いてたのを見て目から鱗だった。
Re: (スコア:0)
その場合も証明書のパスが変なことになるので(Comodoが証明する～があり、googleのSSLが～により証明されている状態、等)ユーザからすれば確認可能な状態が維持されます。
証明書のパスをごまかすには、ユーザ側に攻撃者の証明書を受け入れさせておくかユーザが受け入れている証明書の秘密鍵を強奪する必要があるので現実的ではありません。
尤も一々確認する人は少ないでしょうし、署名する権限さえ手に入れてしまえば十分脅威ではありますが…
認証局へのペナルティってないの？ (スコア:0)
Re:認証局へのペナルティってないの？ (スコア:2, 参考になる)
っ http://support.microsoft.com/kb/293818 [microsoft.com]
＃もう10年も前かぁ
CRL (スコア:0)
当然 CRL にも入っているので、モダンなブラウザは大丈夫なはずなんですけど、
w3m とか Safari とか 携帯電話のブラウザはどうなんでしょうねえ。
Re:CRL (スコア:4, 参考になる)
IE の場合、デフォルトの設定だと"インターネットオプション"の"詳細設定"の"セキュリティ"にある"サーバの証明書失効を確認する"が off になっていませんか?
これって、デフォルトでは CRL を確認しないって事ですよね。
あと Opera は CRL を見ないって話を聞いた事があります。
でも OCSP [wikipedia.org] に対応していてデフォルトで有効になっているので、大丈夫なのかな?
# Opera 11.01 の opera:config で有効になっているのを確認
Re:CRL (スコア:4, 参考になる)
CRL以外にOCSP検証もWindows VistaのInternet Explorer 7から既定で有効になっています。
Re:CRL (スコア:1)
(WindowsXP IE8)
# ついでにFirefoxを4にしてみた
Re: (スコア:0)
7はデフォルトONです。おそらくVistaから。＞サーバの証明書失効を確認する
Re:CRL (スコア:1)
7だけどオフになってた。オフにした覚えはないけど。
Re: (スコア:0)
突然のUpdate (スコア:0)
最近の社会的トラブル続きで全然気が付いていない所に
何故か突然に事前の予告も無いWidowsUpdateやFireFoxのUpdate通知
こんなヤバイネタだったとは…
職場ではgmailとかyahooとかはFWで元々塞いでいるけどaddonはどうだったろう？
# 安否確認で初めてgmailアカウントを作ったAC
Re: (スコア:0)
MSのセキュリティブログ [technet.com]でもうちょっとわかりやすく書いてほしかった。
Re:突然のUpdate (スコア:1)
「インターネット上の Web サイトに到達可能なのに、OCSP をブロックしているようなアホなネットワーク管理者は死ね」と書いてあれば良かったのかなあ。