パスワードを忘れた? アカウント作成
2667 story

総務省「電子申請・届出システム」は信頼できるか 81

ストーリー by wakatono
肝心なところが抜けている秘密 部門より

k3c 曰く、 "産業技術総合研究所の高木浩光氏がセキュリティmemo MLに投稿した記事によれば、総務省認証局が3月27日に開始した「電子申請・届出システム」がSSL通信に用いている証明書は自身をルート証明局としているが、その証明書のダウンロードとフィンガープリントの確認はhttp://で始まるURLで行う(SSLなどで保護されていない)ため、通信経路での改竄、DNSスプーフィングによる詐称などが可能とのこと。また、申請・届出に用いられるJavaアプレットの署名者もAppletSignという正体不明の名前になっているそうです。
うーむ。こんなシステムに大事な情報を渡していいものでしょうか…?"

この議論は賞味期限が切れたので、アーカイブ化されています。 新たにコメントを付けることはできません。
  • 開発者> 総務省さまの電子証明書を配布するサイトの証明が必要なのですが…VeriSign社の署名でよろしいでしょうか?
    役人> ん?なぜ総務省の電子証明書ではいかんのかね。

    開発者> いえ、ですから。ご自分で書いた自分の証明書では信用できないじゃないですか
    役人>つまり、きみは「総務省が発行した総務省の証明書は信用できん」というのかね。

    開発者>う…そういうことではなく(こいつ、電子認証システム理解してないのか…)
    役人>(声をあらげて)そもそも、なんで国の機関である総務省が海外の新興企業に身元保証されにゃならんのかね。きみ!

    という会話の結果、こんなことになったに違いない…。
  • 理由はあるの? (スコア:2, 参考になる)

    by shigezo (2455) on 2002年03月29日 16時53分 (#76506) 日記
    >証明書は自身をルート証明局としているが

     普通にVerisignとかで証明書取った方が面倒なくて良いと思うのですが
     自身をルート証明局にしなきゃいけない理由ってあるのかなぁ?

     ECサイトの開発時やテスト時には良くやりますけど正式オープン前に
     大概どこぞのCAで証明書取りますよね。
     それが普通だと思っているのですが・・・お役所的には普通でない?

     重蔵。
    • by witch (3127) on 2002年03月29日 17時34分 (#76528) 日記
      ルートCAの鍵長の問題とか
      公開鍵暗号手順(RSA)自身に脆弱性が見つかったときの対処とか
      VeriSign が潰れちゃったときにどうするかとか

      10~20年くらいのスパンで考えると、問題があったのかも。

      VeriSignのルートCAだって開始当初は信頼性なんて無かったのだから、総務省が自己署名の証明書を使うこと自体に問題は無いでしょう。

      問題は、ルートCAの公開鍵の正当性を証明する方法に問題があったわけで、
        「フィンガープリントを官報に載せる」
      っていう方法でも良かったんじゃないかと思うんですけどね…

        「官報なんて紙媒体だからいくらでも偽造が…」

      って言いだしたら紙幣も使えないよね(笑
      親コメント
      • VeriSign が潰れちゃったときにどうするかとか
        10~20年くらいのスパンで考えると、問題があったのかも。
        そういう話ではないですね。VeriSignが潰れたら Baltimore Technologies に切り替えればいいですね。総務省CAの証明書を配布するためのサーバーのサーバー証明書の話をしているんであって、総務省CA自体をやめてしまえという話はないんで。
        VeriSignのルートCAだって開始当初は信頼性なんて無かったのだから、
        ウェブブラウザに最初から入ってましたが?
        親コメント

        • そういう話ではないですね。VeriSignが潰れたら Baltimore Technologies に切り替えればいいですね。総務省CAの証明書を配布するためのサーバーのサーバー証明書の話をしているんであって


          ああ、すみません。
          私は、「自己署名でやればいいのに」って思ってたので、前出のようなコメントになってました。
          ちょっと話がとびすぎてましたね。


          ウェブブラウザに最初から入ってましたが?


          んー、最初から入っているものの信頼性をどう感じるかは個人の自由ってことにしておいてください。
          親コメント
          • んー、最初から入っているものの信頼性をどう感じるかは個人の自由ってことにしておいてください。
            そうなんですね。だけど、ダウンロードしたブラウザソフト自体を既に全面的に信頼せざるをえないわけだったりして。

            ブラウザベンダーには、だめなCAがいたら、ブラウザのインストーラから外して欲しいわけですが、そのような市場原理は正しく働くんでしょうかね…。

            親コメント
    • by seldon (5637) on 2002年03月29日 17時44分 (#76537)
      普通にVerisignとかで証明書取った方が面倒なくて良いと思うのですが 自身をルート証明局にしなきゃいけない理由ってあるのかなぁ?
      国が一民間企業に証明をもらうってのが嫌なんじゃないかな?
      まぁ、その気持ちもわからないでもないし、日本国よりも民間企業の方が信頼できるというのもアレゲな気はしますね。
      本来であれば、ICANNなりの国際的に権威を持つ機関がルート証明局を運用すべきなのかもしれません。(もちろん実務は民間企業に委託しても良いのですが、証明はその機関が行う)

      元記事の「証明書のダウンロードがSSLでない」という話は、ピント外れですね。
      証明書というのは、その証明書のフィンガープリントと、公表されているフィンガープリントが一致する事を確認すれば正当性が認証できるのだから、SSLにする必然性は無い。
      もちろんSSLでダウンロードできるようにすれば、フィンガープリントの確認までしなくても多分大丈夫だろうなと何となく安心できるというメリットはあるかもしれないけど、「何が何でもSSLじゃないのはダメだ」というのは言い過ぎかつ誤り。
      たとえSSLなサイトにその「証明書」があったとしても、そのサイト自体が総務省が「証明書」を置いたサイトであるという事は証明できない
      SSLが証明できるのは、そのコネクションが該当URLのサイトから送られてきたものである事を証明できるだけで、他所のhttpsなサイトにその「証明書」(の偽物)を置かれてもそれが「偽物」か「本物」かはSSLでは証明不可能。
      たとえば、httpな総務省のDNSをスプーフィングして「ダウンロードはこちらhttps://fakedomain.com/から行ってください。URLがhttps://fakedomain.com/である事を確認してください」とかいうページに挿し換えられてしまうと、偽物の証明書を本物と思ってダウンロードさせられてしまう事になります。
      じゃあ、そのダウンロードの説明ページを更にSSLにして...と遡って行けば、結局は全部のWebはSSLにしなきゃいけないという所まで行き着いてしまいます。
      そんな事をするぐらいなら、証明書のダウンロードがSSLかどうかという事を思案するよりフィンガープリントと照合した方が余程か簡単だし早いし無駄な税金をVerisignのために使う必要もありません。
      そういう意味で、この「証明書がSSLなページに無いのは脆弱だ」という指摘は的外れですね。
      その上、「SSLなサイトにあれば大丈夫」という誤った認識を与える可能性のあるという意味で、脆弱性を引き起こす可能性のある主張です。

      フィンガープリントが同じhttpのサイトにあるのが問題というのは正しい認識でしょう。
      memoMLでフォローアップされてましたが、これは別経路で官報で告示するとか、そういうのが必要でしょう。

      親コメント
      • たとえSSLなサイトにその「証明書」があったとしても、そのサイト自体が総務省が「証明書」を置いたサイトであるという事は証明できない
        SSLが証明できるのは、そのコネクションが該当URLのサイトから送られてきたものである事を証明できるだけで、他所のhttpsなサイトにその「証明書」(の偽物)を置かれてもそれが「偽物」か「本物」かはSSLでは証明不可能。
        ちょっと先生、それは、技術的に間違いですよ。 SSLのサーバー証明書というものはですね、その証明書の所有者が誰であるのか、ということをですね、法人であればその登記簿謄本等に記載されている組織名と照合してですね、その組織名を表示しているところに意味があるんです。然からば、その認証をきっちりやるのが認証局の務めじゃないですか! 証明不可能だとか、ピント外れだとか、先生、どうしてそんなことが言えるんです!しかもこれはネットで全国の人が見てるんです!
        たとえば、httpな総務省のDNSをスプーフィングして「ダウンロードはこちらhttps://fakedomain.com/から行ってください。URLがhttps://fakedomain.com/である事を確認してください」とかいうページに挿し換えられてしまうと、偽物の証明書を本物と思ってダウンロードさせられてしまう事になります。
        その場合は、「https://fakedomain.com/」のサーバー証明書の所有者を確認しなかった利用者の自己責任ということになりますね。
        じゃあ、そのダウンロードの説明ページを更にSSLにして...と遡って行けば、結局は全部のWebはSSLにしなきゃいけないという所まで行き着いてしまいます。
        いえいえ、ダウンロードの説明ページが、https://….soumu.go.jp/ となっていて、サーバ証明書の所有者に「日本国総務省」と書かれていれば、よいですね。
        親コメント
        • SSLのサーバー証明書というものはですね、その証明書の所有者が誰であるのか、ということをですね、法人であればその登記簿謄本等に記載されている組織名と照合してですね、その組織名を表示しているところに意味があるんです。
          そうですよ。SSLのサーバ証明書は、そのサーバがそのサーバを設置した組織によって運用されており、そのコンテンツがそのサーバから来た事を証明できます。
          しかし、そのサーバにはそのサーバの持ち主が望めばそのサーバを設置した組織と関係無いコンテンツを置く事ができ、そのコンテンツが誰の物であるかは証明できません。あくまでもそのサーバを設置した組織が「発信」した情報だと証明できるだけです。
          そのサーバにあるコンテンツであるルート証明書が確かに日本国総務省のものであるかどうかという証明は、SSLのサーバ証明書ではできません。
          ですから、SSLのサーバ証明書では悪意のある者によって管理されている、あるいはクラックされたサイトに「日本国総務省のものである」と主張する「(偽物の)ルート証明書」が置かれる事を抑止する事はできません。
          その場合は、「https://fakedomain.com/」のサーバー証明書の所有者を確認しなかった利用者の自己責任ということになりますね。
          自己責任で話が済むのであれば、httpなサイトに置いたルート証明書のフィンガープリントを確認しなかった利用者の自己責任で済むじゃないですか。
          それで済まないから「SSLでないのはマズい」って言ってるのではないのですか?
          いえいえ、ダウンロードの説明ページが、https://….soumu.go.jp/ となっていて、サーバ証明書の所有者に「日本国総務省」と書かれていれば、よいですね。
          そのhttpsなサイトのURLはどうやって知るのですか?
          http://...soumu.go.jp/なサイトからのリンクであれば、http://...soumu.go.jp/のコンテンツを摩り替える事によって、別のダウンロードページへ導く事は可能ですね。
          それとも、官報で告示するなり、TVCMでもする?
          そんな事をするぐらいなら、同じ官報やTVCMでフィンガープリントを周知した方が安上がりだとは思いませんか?
          親コメント
          • そのサーバにはそのサーバの持ち主が望めばそのサーバを設置した組織と関係無いコンテンツを置く事ができ、そのコンテンツが誰の物であるかは証明できません。
            で、soumu.go.jp のサーバー設置者(サーバー証明書には「日本国総務省」と書かれている)が、「組織と関係無いコンテンツを置く」んですか?
            そのサーバにあるコンテンツであるルート証明書が確かに日本国総務省のものであるかどうかという証明は、SSLのサーバ証明書ではできません。
            ?? サーバー証明書に所有者が「日本国総務省」であると書かれた https://….soumu.go.jp にあるコンテンツであるルート証明書は、日本国総務省のものであると確認できますね。(その証明書の発行者が総務省とは別の認証機関であれば。)
            ですから、SSLのサーバ証明書では悪意のある者によって管理されている、あるいはクラックされたサイトに「日本国総務省のものである」と主張する「(偽物の)ルート証明書」が置かれる事を抑止する事はできません。
            な、アホな。それは、認証局がポカをやったときか、総務省のサーバー自身が侵入されてコンテンツを改竄されたときですが、そういう話をしているのですか? 最初のコメントからずいぶん論点がずれてますが。
            自己責任で話が済むのであれば、httpなサイトに置いたルート証明書のフィンガープリントを確認しなかった利用者の自己責任で済むじゃないですか。 それで済まないから「SSLでないのはマズい」って言ってるのではないのですか?
            だからさ、そのフィンガープリントは今どこに置いてあるの? http:// のサイトに置いてあって、それと比べろって、総務省は言っているわけよ。
            そのhttpsなサイトのURLはどうやって知るのですか? http://...soumu.go.jp/なサイトからのリンクであれば、http://...soumu.go.jp/のコンテンツを摩り替える事によって、別のダウンロードページへ導く事は可能ですね。
            あなたは、ダウンロードするとき、今見ている画面のURLを確認しないのですか? 私は確認しますですね。https://….soumu.go.jp/ のサイトであることと証明書の所有者を確認してね。
            親コメント
            • 何だか話が行き違ってるようなので、逐語的なコメントではなく、まとめなおしてみますが、私が(#76537) [srad.jp]で書いてるのは、
              • 本物のルート証明書をSSLなサーバに置いたとしても、そこへ至る経路がhttpであれば、別のサイトへ誘導される可能性がある。
              • フィンガープリントをhttpな同一サイトに置くのは問題。
              という事です。

              何も私は「今の総務省のやり方で全く問題無い」って言ってる訳ではありません。
              SSLを使えば「正しい」証明書を「正しいもの」と確認する事はできますが、誤誘導された先で掴まされた偽物の証明書が偽物であるという事を認識させるためには何の役にも立たない。
              「正しい」証明書が「正しいもの」と確認するためにはフィンガープリントという手段があり、その上SSLまでしなきゃいけないという必然性は無いのだから、「SSLじゃないから脆弱だ」と言う程の事も無いのでは?
              という事です。
              この総務省の「脆弱性」の一番大きなものは、「フィンガープリントを同一httpサーバで提示している事」であって、「SSLでない」というのはそれ程大きな問題ではない。
              それなら、そういうノイズによって「SSLじゃないから危ないんだ」というミスリードを引き起こす可能性のあるような問題の提起の仕方はマズいんじゃないかというのが私の考えです。

              親コメント
              • 本物のルート証明書をSSLなサーバに置いたとしても、そこへ至る経路がhttpであれば、別のサイトへ誘導される可能性がある。
                だから何回も何回も同じこと言ってんじゃん。どうしても理解したくないのか?

                ダウンロードする画面で、 あんたは、今見ている画面のURLを確認しないのか?
                確認するだろ。
                https://….soumu.go.jp/ のサイトであることを確認するだろ?
                証明書の所有者も確認するだろ?

                確認しないのならそれは自己責任です。

                「正しい」証明書が「正しいもの」と確認するためにはフィンガープリントという手段があり、その上SSLまでしなきゃいけないという必然性は無いのだから、「SSLじゃないから脆弱だ」と言う程の事も無いのでは?
                「その上SSLまで…」とかではなく、 SSLで上記の通り正しくダウンロードしたならフィンガープリントの照合は不要になるのです。
                親コメント
              • だから何回も何回も同じこと言ってんじゃん。どうしても理解したくないのか?
                そっくりそのままお返しします。
                どうも言葉をいくら重ねても言ってる事がわからないようなので、 具体的な例をあげてみます。
                現在の総務省のページはIEの場合だと
                1. 総務省:電子申請・届出システム(http://www.shinsei.soumu.go.jp/)
                2. 電子申請・届出システムを初めてご利用される方へ(http://www.shinsei.soumu.go.jp/first.html)
                3. 使用許諾(http://www.shinsei.soumu.go.jp/useconsent_ie.html)
                4. 安全な通信を行うための証明書の入手と設定(http://www.shinsei.soumu.go.jp/first_ie.html)
                5. ルート証明書(http://www.shinsei.soumu.go.jp/download/soumuca.cer)
                と辿る事になります。
                ここで、5.のルート証明書が通信経路の改竄やDNSスプーフィングによって差し替えられてしまう可能性があるのでSSLを使うべきであって、SSLを使えば5.のルート証明書が正しいものだと確認できるというのが趣旨ですね?
                それでは5.のルート証明書をSSLにしましょう。
                でも4.のfirst_ie.htmlは相変わらずhttpですから、同様に改竄されてhttps://www.shinsei.soumu.go.jp/download/soumuca.cerの代わりにhttp://www.shinsei.soumu.go.jp/download/soumuca.cerのリンクに置き換えられてしまうかもしれません。
                そうなればいくら本物のルート証明書がSSLであっても偽物のhttp://www.shinsei.soumu.go.jp/download/soumuca.cerファイルをダウンロードさせる事ができます。
                それでは4.も改竄されないように4.もSSLにしましょう。
                でも3.のuseconsent_ie.htmlは相変わらずhttpですから改竄されて...という繰り返しになって、結局 https://www.shinsei.soumu.go.jp/download/soumuca.cer に至る可能性のある全てのページがSSLでなくてはいけないという事になってしまいますね?
                もちろんそうしても良いのですが、そんな事をするぐらいならSSLに頼らなくても済むように、フィンガープリントの提供方法を見直せば良いのではないですか?
                「その上SSLまで…」とかではなく、 SSLで上記の通り正しくダウンロードしたならフィンガープリントの照合は不要になるのです。
                いつの間に「SSLにしたら手間が省ける」という話になったんですか?
                私は一貫して「SSLでないと脆弱だ」という主張に対して「SSLにしたからと言って脆弱でないとは言えない」という話をしてるのですが。
                親コメント
              • jbeefさんが前提条件として「その上SSLまで」
                ということは関係ないだろうということで
                > > 「その上SSLまで…」とかではなく、 SSLで上記の通り正しくダウンロードしたなら
                > > フィンガープリントの照合は不要になるのです。
                と書かれたのだと思いますが、違いますか?
                あ、なるほど。そういう事か。
                私が「その上...」と書いたのは、フィンガープリントという証明書の正当性を確認する手段があるのに、その上に「SSLにもしないといけない」「そうしていないのは脆弱である」という主張には必然性は無いという意味です。
                手順としてフィンガープリントを確認してその上SSLのサーバ証明書も確認するという意味ではありません
                (が、私的にはいくら正当そうなURLで正当そうなサーバ証明書があったとしても、ルート証明書というセキュリティ上重要なものはフィンガープリントも検証すべきだとは思います。あくまでも、この件はここでは触れていないという意味です)

                ご指摘感謝>AC氏

                親コメント
              • どうも言葉をいくら重ねても言ってる事がわからないようなので、
                わかってるってのあんたの言っているようなことは。もう一回頭から読み直してみなって。
                それでは4.も改竄されないように4.もSSLにしましょう。
                そう、そこで、ユーザは、4.のページが https://….soumu.go.jp/… になってて、そこのサーバー証明書が総務省のものになってることを確認するのが当然なの、と、何回も何回もネー、言ってるでしょ?
                でも3.のuseconsent_ie.htmlは相変わらずhttpですから改竄されて...という繰り返しになって、
                もしかして、あんた、今見てるページのURLを見ない人か?そりゃあ論外だよ。やられ放題だな、電子政府に限らず。
                親コメント
              • そう、そこで、ユーザは、4.のページが https://….soumu.go.jp/… になってて、そこのサーバー証明書が総務省のものになってることを確認するのが当然なの、と、何回も何回もネー、言ってるでしょ?
                だから、正しいページが正しくダウンロードされたなら、そうやってそれが正しいという事を知ることはできるよ。それは全然否定してないでしょ?
                問題はそうじゃなくて、その正しいページへ至る過程にhttpなページがあれば、その正しいページじゃなくて改ざんされたページに誘導されちゃう可能性があるという事を言ってるんだが...
                でも3.のuseconsent_ie.htmlは相変わらずhttpですから改竄されて...という繰り返しになって、
                もしかして、あんた、今見てるページのURLを見ない人か?そりゃあ論外だよ。やられ放題だな、電子政府に限らず。
                DNSスプーフィングされるという事は、ちゃんとhttp://...soumu.go.jp/というURLに見えるページが改ざんされちゃうという意味ですよ。わかってる?
                あらかじめhttps://...soumu.go.jp/というURLにルート証明書が存在する事がわかっていればルート証明書をダウンロードする所でhttpsじゃないからおかしいとわかるかもしれないけど、そんな前提知識は無いでしょ。実際httpにある訳だし、元々ルート証明書はフィンガープリントで真正性を確認るものであって、SSLで確認するなんていう常識は存在しないんだから。
                だったら、いくら本物をSSLで保護しても、そこまでにhttpなページがある限り、DNSスプーフィングで他の改ざんされたルート証明書に誘導されてしまう可能性は残るでしょ。
                これだけ書いても理解できないんだったらあなたに説明するのは放棄する。
                親コメント
              • そう、そこで、ユーザは、4.のページが https://….soumu.go.jp/… になってて、そこのサーバー証明書が総務省のものになってることを確認するのが当然なの、と、何回も 何回もネー、言ってるでしょ?
                だから、正しいページが正しくダウンロードされたなら、そうやってそれが正しいという事を知ることはできるよ。それは全然否定してないでしょ?
                問題はそうじゃなくて、その正しいページへ至る過程にhttpなページがあれば、
                だーーかーーらーー、「4.のページがhttps://….soumu.go.jp/… になっていることを確認するのが当然なの」って言ってるだろ、バカ?

                4.のページがダウンロードされた後に、URLと証明書を確認すれば4.のページは正しくダウンロードされたってこと。それを確認してから、そこからリンクされているルート証明書を安全にダウンロードするわけ。 最後のルート証明書のダウンロードを実行する直前で、今見ているページがどこなのか、SSLになっているのか、証明書は誰のものなのかを確認するのが、ユーザの当然のとるべき行動なのだ、って言ってるわけ。(あんたはURL見ないんだろうけどな。)

                DNSスプーフィングされるという事は、ちゃんとhttp://...soumu.go.jp/というURLに見えるページが改ざんされちゃうという意味ですよ。わかってる?
                だれが「http://」のページを確認しろなんて言った? 「https://...soumu.go.jp/」のページを確認しろと言ってんだよ。わざと「s」を削ったのか?いいかげんにしろ。
                あらかじめhttps://...soumu.go.jp/というURLにルート証明書が存在する事がわかっていればルート証明書をダウンロードする所でhttpsじゃないからおかしいとわかるかもしれないけど、
                だーかーらー、どうなっているかを知っていようがいまいが、とにかく、 ダウンロード直前の画面で、https://….soumu.go.jp のページで証明書を確認して、それからダウンロードするってのがユーザの責任だ(もしそこで、画面が http:// ならそのサイトは安全でないので使わないようにする)って、最初から言ってるだろ。
                親コメント
            • by tix (7637) on 2002年03月29日 20時57分 (#76611) ホームページ
              だからさ、そのフィンガープリントは今どこに置いてあるの? http:// のサイトに置いてあって、それと比べろって、総務省は言っているわけよ。
              総務省 CA ルート証明書 [soumu.go.jp]の fingerprint は現状ではどこかに置いてあるのですか? 探しても見つからなかったのですが……。

              証明書自体とその fingerprint とが同じサーバに置かれていたらほとんど意味がないのは言うまでもありませんが。
              --
              鵜呑みにしてみる?
              親コメント
              • by tix (7637) on 2002年03月29日 21時58分 (#76634) ホームページ
                元記事が紹介している「投稿した記事」にまさにそうだって書いてあるじゃん?読まずにカキコ?
                書いてありますね。失礼しました。ご指摘ありがとうございます。
                --
                鵜呑みにしてみる?
                親コメント
      • 元記事の「証明書のダウンロードがSSLでない」という話は、ピント外れですね。
        証明書というのは、その証明書のフィンガープリントと、公表されているフィンガープリントが一致する事を確認すれば正当性が認証できるのだから、SSLにする必然性は無い。
        元記事 [ryukoku.ac.jp]では、
        確かに、フィンガープリントを正しく照合するならば、証明書が偽物でないかを確認することができる。
        …云々、fingerprintについてもきちんと触れています。そのうえで、fingerprint自体が(通信経路での改竄やDNSスプーフィングで)詐称できることが信頼性を損なっていると記述されています。なので、ピント外れという指摘はあたらないと思います。
        親コメント
        • by seldon (5637) on 2002年03月29日 18時24分 (#76560)
          …云々、fingerprintについてもきちんと触れています。
          触れればOKという話でもないでしょう。
          このフィンガープリントという仕組みは「異経路で2つの情報を提供し、それらが一致する事で認証を行う」というのがミソであって、SSLかそうでないかなんて言うのは2の次です。(もちろんSSLの方が好ましいと言えるけど、「異経路」で「フィンガープリントが正しく伝えられる」という事の重要さに対して「証明書がSSLで伝えられる」という事の重要性はうんと低い)

          この問題に限らないけど、他人に対して指摘するのであれば、あれもこれもと言うよりは「本当に必要な事をピンポイントで提示する」というのが受け入れられる可能性の高い手法です。
          そういう意味ではこのSSL云々っていうのはノイズであって、相手に対して「あぁ煩いやつだなぁ」と思われるだけでしょう。
          そもそもついでの話を最初に持ってきて、本来必要な「異経路」で「フィンガープリントを正しく伝える必要性」がノイズと同列に扱われているのは「本当にこの人わかって言ってるの?」と思われかねません。

          売名が目的ではなく、真に「良い環境」を求めるのであれば、言いたい事を言いたいように言うだけでなく、「どう指摘すれば受け入れられるか」という事も考える必要があるのではないでしょうか?

          親コメント
    • by nasb (3002) on 2002年03月29日 16時59分 (#76507) 日記
      明示的に一業者に頼るのがイヤなのだと思います。
      親コメント
  • by Technical Type (3408) on 2002年03月29日 18時00分 (#76542)
    もし、総務省が産業技術総合研究所の高木さんに頭を下げてセキュリティーに関して事前に教えてもらっていれば、超強力な電子政府のシステムが出来たと思います? それとも、「せきゅりてー? それは一体何なのか」的な、この世の物とは思えない異次元的な会議の中で孤軍奮闘するも全く理解してもらえず、結局「彼ら」の原案通りで終わったと思います?
    • by ktoshiharu (8209) on 2002年03月29日 18時14分 (#76554) 日記
      お役人(とくに偉いヒト)には民間に教えを乞う、という発想が皆無ですから。
      仮に高木さんがオブザーバーとして呼びだされたとすると目的は権威のある(orありそうな)ヒトにお墨付きを貰いたいってだけでしょうから
      この世の物とは思えない異次元的な会議の中で孤軍奮闘するも…
      となるでしょうね。


      #そもそも役人が頭を下げる図が想像できません(^^;
      親コメント
    • 総務省?
      業者?
      そもそも「せきゅりてー?」とか訊いてくるヒトは民間にも死ぬほどいるんだし、いちいちその程度で異次元とかゆーのもどーだかな。
      親コメント
  • 証明書の使用許諾 [soumu.go.jp]によれば、
    2. 免責事項
    総務省は、利用者が安全な通信を行うための証明書の入手と設定を行ったことにより発生した利用者の損害及び利用者が第三者に与えた損害について、一切の責任を負いません。
    だそうです。こういうことをわざわざ書いたのは、何かまずいことが起きるだろうと思っていたからでしょうか。だとしたら許せません。

    許せないからどうするかというと、とりあえず使わないというだけなのですが。

    とりあえず書いておこうと深く考えずに軽い気持ちで書いているのなら、利用者を馬鹿にしていると思います。こういうことを続けていると、そのうち利用者も深く考えずに「同意する」をクリックするだけになるでしょう。

    「1. 禁止事項」のほうも意味がわかりません。どういう使いかたを禁止することを想定しているのでしょう。どういう使い方をされても総務省に害が及ぶとは思えないのですが。

    ひょっとして、「スラッシュドット(あるいはセキュリティホール memo リスト)でネタにする」という使い方を禁止しているのでしょうか。 :-)
    --
    鵜呑みにしてみる?
    • by jbeef (1278) on 2002年03月29日 20時17分 (#76604) 日記
      ヘルプデスクに電話して問い合わせてみました。
      • Q. 一切の責任を負わないという「損害」とは、どのような損害を想定しているのですか?
        A. お客様の操作ミスや、パソコンの環境などが原因で、パソコンに問題が生じるような場合です。
      • Q. それ以外の損害は想定していないということですか?
        A. はい。
      • Q. ええ?(驚)想定していないのですか?想定しないと対策できないと思いますが。
        A. 全くありえないということはないですが…。
      • Q. だから、具体的に何を想定したのですか?
        A. どのような問題があるとおっしゃっているのですか?
      • Q. ハァ?私があなた方の認識を訊いてるんだが?
      追試希望。
      親コメント
    • by Technical Type (3408) on 2002年03月29日 19時18分 (#76579)
      ですから、信頼性に関しては「免責事項に書いてある内容」に関して、つまり、損害について、一切の責任は取ってもらえないという文面に関してのみ信頼できる、といった所でしょうか。(笑)

      > 「1. 禁止事項」のほうも意味がわかりません。

      確かに。セキュリティーを、ちゃんとした技術的な方法ではなく、書面による禁止事項で得ようとしているつもりでは? (笑)

      親コメント
  • セキュリティ監査は誰がやったのですかね。
  • 日経新聞の記事にも書かれたよ!
    記事はここ [nikkei.co.jp]
    時々、Javaなんか動いて、裏でNotepadなんか動かそうとするから、見たい人は気をつけてね!
typodupeerror

クラックを法規制強化で止められると思ってる奴は頭がおかしい -- あるアレゲ人

読み込み中...