パスワードを忘れた？ アカウント作成
Close
13527 story

政府・官公庁の証明書をMSがWindows Updateで配布 93

ストーリー by yoosee
やっとあるべき姿に 部門より

第四種オレオレ運用中のSOggy曰く、"日本政府からの要請に基づいて、マイクロソフトがWindows Updateを使った GPKI (Government Public Key Infrastructure/政府認証基盤) および LGPKI (Local Government PKI/地方公共団体組織認証基盤) のルート証明書を配布する事となった。但し対象は現在サポート中であるXP SP1および2、Server 2003およびSP1、2000 SP4のみとなる。
生のhttpで提供するページ(文科省と厚労省はVerisignで証明されたhttpsなページあり)や官報または新聞にフィンガープリントを掲載して、証明書が真正である事を示す努力をしてきたGPKIおよびLGPKIだが、この配布によってオレオレ状態が多くのユーザーにとっては解消される事となる。

最後に、この問題点をまとめた高木浩光氏らによるGPKIおよびLGPKIにおけるルート証明書配布方式の脆弱性と解決策(PDFファイル)を参考に挙げておく。"

この議論は賞味期限が切れたので、アーカイブ化されています。 新たにコメントを付けることはできません。

政府・官公庁の証明書をMSがWindows Updateで配布 More

  • 国会議事録 (スコア:5, 参考になる)

    by Anonymous Coward on 2006年09月30日 17時56分 (#1029335)
    Microsoftのプレスリリース [microsoft.com]によると
    本年春、松田岩夫内閣府特命担当大臣（IT）（当時）より、「電子政府システム利用率が最も高いWindowsオペレーティングシステム（OS）において、当該ルート証明書をサポートしてほしい」との依頼が寄せられたことに伴い、マイクロソフトでは内閣官房、総務省をはじめとする関係省庁等の協力を得ながら対応準備を進めてきました。
    ということで、国会でも議論があったりするのだろうかと、国会議事録検索システム [ndl.go.jp]で「ルート証明書」で簡易検索してみたら平成14年11月19日の総務委員会の議論がヒットしましたよ。最近のはないんですかね。

    平成14年の議事録

    では、次に、私、公的な認証、個人認証の法案についても出ておりますので、これに関連して二、三質問しておきたいと思うんです。
    　特に、総務省の認証基盤システム、これはちょっと今回の住基とは別ですけれども、それで、今年の三月三十一日付の日本経済新聞に、「総務省の「電子申請」に欠陥」と、「個人の情報漏れる恐れ」という見出しの記事が掲載されました。これについて先日総務省の担当者に話をお伺いいたしましたら、それなりの言い分はあるようにお聞かせいただきました。少なくとも、しかし、一つはこの報道を受けて改善した点があったと、こういう御説明でありましたけれども、総務省からのルート証明書及びサーバー証明書の配付方法に関連して、今年四月以降で改善した点についてお答えいただけますか。

    ○政府参考人（大野慎一君）　ただいまのルート証明書の配付の問題でございますが、この真正性を検証するためにフィンガープリントというものを使うわけでありますが、万が一の成り済ましの防止ということを考えまして、四月以降フィンガープリントの確認をするサイト、これはサーバーというコンピューターなんですが、これを別に設けまして、電子政府の総合窓口というサイト、それから総務省のホームページにも設けました。それから官報ですね、官報にフィンガープリント、これは数字と記号の羅列でありますけれども、これを掲示をいたしております。

    ○宮本岳志君　つまり、このルート証明書とサーバー証明書というのは、万が一偽の総務省の窓口を作って人をだまそうという者が現われたら大変だと、そこで、確実に本物の窓口にアクセスするために使うものでありまして、それをインターネットで配る際にダウンロードした証明書が本物かどうかを利用者がフィンガープリントというもので最終確認するというシステムです。
    　当初、総務省がこの証明書をダウンロードするのと同じサイトにこのフィンガープリントを書いていたと、これは失礼だがお笑いな話でありまして、偽物の証明書を作って、送ってよこすようなサイトを本物の総務省のサイトだと信じてダウンロードしてしまった場合には、それをもらったのと同じ偽物のサイトに書いてあるフィンガープリントと照合してみたって、それはもう偽物に決まっているわけですから、こんなものが役に立つはずがないんです。こんな素人でも分かる理屈になぜ総務省は気付かなかったのかと思わざるを得ないんです。
    　実は、このことを指摘した産業技術総合研究所のスタッフがこの秋に発表した論文、研究論文を読ませていただきましたが、総務省が公開かぎ認証の仕組みを基本的な部分で正しく理解していないのではないかと疑わざるを得ないという指摘までこの論文には出てきますよ。今指摘した論文では、民間の暗号技術を使って証明書の配付をすべきだという主張もしておられます。このことについての総務省の見解はどうですか。

    ○政府参考人（大野慎一君）　私も、今の論文というか文章でございますが、文章も読みましたし、それから、何か会合でプレゼンをされたようでございまして、パワーポイントの資料もいただきまして、つぶさに検討させていただいておりますが、なるほど民間の認証機関のサーバー証明書を用いて暗号化通信をやって、それでルート証明書を送ったらどうかという御提言もあったりもいたしておりますが、仮にそうであったとしましても、サーバー証明書は、サーバーが存在していますよということはこれは証明できるんですけれども、そのサーバーが安全かどうかというところの確認まではなかなかできないんです。ですから、仮にそうであったとしても、サーバーが攻撃された場合には成り済まされる可能性はやっぱり残っているわけです。
    　そこで、私どもとすれば、民間認証機関によるサーバー証明書を使うということになりますと、政府の言わば公的な組織認証というものを民間に信頼の起点をゆだねることになってしまうということがあるものですから、これは私どもの政府認証基盤を作る考え方とは合わないものですから、フィンガープリントを配って、それを申請をされる国民の方々にきちんと確かめていただくという方法が、改ざんがあればフィンガープリントで確認できるんですから、現時点ではこれがいいのではないかというふうに思っております。

    ○宮本岳志君　なかなか不思議な論ですね。
    　今、政府のセキュリティーを民間の信頼に置くのはいかがなものかというふうにおっしゃいましたね。先ほどＩＰ―ＶＰＮの議論をやったときには、第一種通信事業者、ＮＴＴをあれほど信用しておられたあなた方が今度は民間には信が置けないんだという議論をされるわけですか。政府は、民間の中には信用できる企業と信用できない企業があるというふうにお考えなんですか。

    ○政府参考人（大野慎一君）　これは問題が全く違うわけでありまして、認証業務の認証の信頼の一番の始まりの点をどこにするかという問題でありまして、証明書の場合に秘密かぎで暗号化するわけですけれども、これを考えていきますと、だんだん上のランクに上がっていくという、その最後がルート証明書というものでありまして、自己証明をする、公開かぎと秘密かぎでやるということなんですが、この信頼の起点を、政府の認証基盤なわけですから、やはり政府の中できちんと確認するというのが一番いいということを申し上げたんであって、そこに民間のものを持ってきたんでは、起点のところに民間のものを当ててくるということにすると、全体の構成が崩れてしまうということを申し上げているわけです。

    • Re:国会議事録 (スコア:1, すばらしい洞察)

      by Anonymous Coward on 2006年09月30日 19時08分 (#1029359)
      この総務省の人は、クライアント認証とサーバ認証の区別がついていないね。

      サーバの視点で考えれば、なりすましを防ぐために通信相手が正当な人物か否かを政府認証基盤で確認するのは構わないけど、サーバを使うクライアントの視点では、通信相手のサーバが正当か否かの確認は、クライアントが信頼する認証局であればぶっちゃけ「どこでも」構わないんだよ。

      国のサーバだから政府認証基盤の発行するサーバ証明書でなければダメだ、という論理はシステムを使う側に国への信頼を強要することだ。

      国が国民を信頼するために政府認証基盤を使うのは問題ないが、国民が国を信頼するかはどうかは別問題だ。
      シェア
      親コメント

    • Re:国会議事録 (スコア:1)

      by akudaikan (26016) on 2006年09月30日 20時44分 (#1029393)
      なにこの答弁。腹立つなぁ。
      俺が14年よりも前に、地方の一担当者としてメールで長々と同様の苦情を書いて議論した時には、
      総務省の担当者は「予算がない」ので来年度予算に計上してみるとかと言ってたのに。
      上のほうの認識はこんなに馬鹿げていたんだなぁ。そりゃ、予算もつかんわ。
      シェア
      親コメント

    • Re:国会議事録 (スコア:0, おもしろおかしい)

      by Anonymous Coward
      もっとプラスモデじゃ！
      どんどんプラスモデじゃ！

      これをマイナスする暇があったらどんどんプレスモデじゃ！
  • 各団体での運用もしっかりしてくれないと困る。

    あと、変な運用をしているとかクラックされたりとかしたら、迅速に執行失効リストを出してくれないと困る気がします。

    # gpki.gr.jpをポータル化&静的なページ (各団体へのリンク集と失効リスト提示)にでもすればいいと思うID
    --
    M-FalconSky (暑いか寒い)

  • 恩恵を受ける範囲は? (スコア:3, 興味深い)

    by Anonymous Coward on 2006年09月30日 11時54分 (#1029197)
    MSのリリースを見ると配布されるのは総務省認証局のCA証明書(とLPKI)だけみたいだけど、
    そうすると他の省庁の認証局を使ってる人は恩恵にあずかれない?
    それとも、総務省CA証明書－ブリッジCA証明書－他の省庁CA証明書－検証対象証明書の証明書パスを
    アプリケーションが勝手に構築してくれるようになったのかな?
    # 電子証明書業界から離れて大分経つから現状が良くわかってないのでAC

  • 何かちょっと気持ち悪い (スコア:2, すばらしい洞察)

    by Anonymous Coward on 2006年09月30日 17時21分 (#1029322)
    WindowsUpdate などに
    「ルート証明書の追加」みたいな項目があって
    それを選んで追加する、
    のかと思ったらさにあらず、
    IE で電子申請のページなどにアクセスすると、
    勝手にルート証明書が取り込まれるようになっています。

    IE のつくりとしては、
    ユーザには何の断りもなしに
    勝手にルート証明書を裏で付け加えられるようにできているんですね…

  • GPKIの信頼性＜MSを認証しているCAの信頼性 (スコア:2, 興味深い)

    by Anonymous Coward on 2006年09月30日 17時28分 (#1029325)
    お上が「公的機関が民間認証局ごときに実在証明してもらう」のが許せないというのは終に折れたってことなんですかね。

    しかし、一般市民の使うブラウザはGPKIなんてデフォでは信頼してないし、各府省認証局の運用みても到底信頼できる運用とは思えないんだよなぁ･･･それを日本中の何も知らない人に半強制的に信頼させるなんて･･･。

    ところで、GPKIのルート証明書がWindowsUpdateで受け渡されるということは、GPKIルート証明書が真正なものだという信頼性はMSのSSL通信の信頼性にかかってるってことですよね。

    つまり、GPKIがどんなに高いポリシーで運用をしていたとしても、一般市民はMSを認証しているCAを信頼しないと国のシステムは使えない・・と。
    • 推測だけど、MSに完全に依存してしまう状態を回避するために、その都度証明書をダウンロードするような仕組みにしたのではないでしょうか？

      証明書の受け渡しにはMSの証明書の正当性を利用するけれども、そのたびに、フィンガープリントの確認をするとか、さらにその仕組みの監査も定期的に入れるとかしないと、国がやる仕組みとしては納得できない。

      まあ、MSの認証局とGPKIがブリッジ認証すりゃあいいんだろうけれど、それはそれでより詳細な監査・監督（もちろん、国から見て信用するという意味で）が必要になるだろうし、めんどくさい。
      シェア
      親コメント

  • スラドの過去ストーリ (スコア:2, 参考になる)

    by Anonymous Coward on 2006年09月30日 19時37分 (#1029368)
    この問題の解決にはスラドの果たした影響も大きいよね（たぶん）。 てことでこれ置いときます。

  • インフラ (スコア:1, 興味深い)

    by Anonymous Coward on 2006年09月30日 12時54分 (#1029223)
    必要なアップデートを、比較的信頼性が高く簡便なシステムでできるのは歓迎すべき事だと思います。
    銀行なども追随してくれると嬉しいです。

    問題は、実際に効果的な運用が出来るか不安である事と、OSがwindowsのみであることですね。

    • 海外の状況? (スコア:2, 興味深い)

      by s02222 (20350) on 2006年09月30日 20時45分 (#1029394)
      ここまでITが普及してくると、独立国家としての体裁を保つには、独自のルートCA局を運営するぐらいは最低必要だと思うのですが、日本以外の国はどうやってるんでしょう?

      このストーリーでも参照されてるオレオレ認証状態を見て、ああ、日本は遅れてるなぁ・・・と思っていたんですが、そういえば海外の状況って聞いたことがありません。
      シェア
      親コメント

    • Re:インフラ (スコア:0)

      by Anonymous Coward
      > 銀行なども追随してくれると嬉しいです。

      銀行でいったい何をアップデートするのですか？

    • Re:インフラ (スコア:0)

      by Anonymous Coward
      他のOSはWindowsから証明書を安全なルートでコピれってことなんですかね

  • なんで、素直に証明書を購入しないのか (スコア:1, 参考になる)

    by Anonymous Coward on 2006年09月30日 17時21分 (#1029321)
    何故、素直に証明書を購入しないんでしょうかね。
    独自にCAを立ててルート証明書を管理すると当然ながら莫大な金額がかかるわけですが･･･。
    もし、秘密鍵が漏洩でもしたら、日本全体のPKIを破壊しかねないので(銀行やらポータルやらのフィッシングサイトから何から何まで作られちゃう)、絶対に漏洩しないように管理をしなくてはなりません。
    VeriSignがルート証明書の秘密鍵の管理に年間何百億かけていると思っているんでしょうか。

    SSL 証明書 | ジオトラストのRapidSSL [onlinessl.jp] などで証明書を購入すれば、年間たった（税込＄32）の費用ですむわけです。
    (※もっと安いところがあったら教えて下さい。是非とも使わせてもらいます！)

    対応ブラウザもこれだけあるわけで、今回の対策で正規の証明書として認定される Windows+IE の組み合わせと比べたらけた違いです。
    IE 5.01+
    AOL 5+
    Netscape 4.7+
    Opera 7+
    Safari
    Mozilla 1+
    Firefox 1+

    こんなところで税金の無駄遣いをせずに、素直に証明書を購入すべきだと思いますけどね。

    今回の政策によって、より、OS依存、ブラウザ依存が高まるでしょう。
    電子政府のシステムを安全に使うには、Windows で IE を使う必要がでてくるわけですから。

    証明書の移行などは Windows をもってないとそもそも証明書入手できませんし、
    ブラウザにデフォルトで入っているのと比べれば非常に敷居が高いです。
    • | VeriSignがルート証明書の秘密鍵の管理に年間何百億
      ソースは？

      | 秘密鍵が漏洩でもしたら、日本全体のPKIを破壊しかねない
      VeriSignが悪さをしたらどうなる？

      刑事は論外。$32の契約を反故にされたところで幾らの賠償金を貰えるのか。民事も無理。

      VeriSignが何を売らんとしているか。要するに、客が店を信じるから物が売れるぞということ。信用を得ているものと安全なものとは違う。（VeriSignの商売がまやかしだと言っているのではない。インターネットで客を集めようとしている人には有益なサービスだと思う。）

      Give your customers the confidence they need to complete transactions on your site by displaying the VeriSign Secured Seal.

      • 4 out of 5 online buyers prefer to do business with merchants who display a trust mark like the VeriSign Secured™ Seal. (See E-Commerce Trust and SSL.)
      • 70% of online shoppers have abandoned an online purchase because they didn’t get a sense of security when it came time to provide payment information. (TNS Research, April 2005)
      • 90% of those shoppers report that they would have completed the transaction had a recognized trust mark, such as the VeriSign Secured Seal, been present. (TNS Research, April 2005)
      シェア
      親コメント
    • パソコンで動くブラウザは記憶容量をあまり
      考慮しないで良いので色んな証明書を持てますが、
      携帯電話だとVerisignかRSAを選んだ方が無難でしょう。
      というわけで、RapidSSLはどうかなと。

      - NTT DoCoMo [nttdocomo.co.jp]
      - KDDI [kddi.com]
      - vodafone [vodafone.jp]

      RapidSSLはジオトラストの証明書ですが、
      ジオトラストの説明 [geotrust.co.jp]によると、
      最近の携帯電話にはジオトラストのものも
      搭載されているようですね。
      シェア
      親コメント
    • 一国家の基幹となる証明書をいつまで存続するのか判らない民間企業から購入するわけにはいかないと思いますが？

      各機関のWebサーバの証明書ならまだしも、利用者(民間企業、個人)の証明書を発行しようとしたら、民間のCAのポリシーでは困る部分もあるのでは。
      シェア
      親コメント
      • だから、サーバー証明書の話だけをしているのでは？

        サーバー証明書なんてどのみち1年期限ですし、いつ作り直してもいいわけです。

        • > だから、サーバー証明書の話だけをしているのでは？

          ああ、#1029321 [srad.jp]の人はサーバー証明書のことしか考えてないんですね。
          それなら買ったほうが安いでしょうね…

          電子署名とかが必要な場合は、個々の利用者が自分で証明書を買うわけですね。民間のCAから(笑
          シェア
          親コメント
  • 当然、普通のオレオレ証明書です。
    改竄とかだけ考えるならまぁこれでもいいんじゃないかとも。
    # 関係者だけどID

  • Firefox や Opera で使えない時点で (スコア:0)

    by Anonymous Coward on 2006年09月30日 15時24分 (#1029281)
    Firefox や Opera で使えない時点で糞では？
    自分でエクスポートとインポートをすればいいかもしれませんが。

    • Re:Firefox や Opera で使えない時点で (スコア:3, すばらしい洞察)

      by Anonymous Coward on 2006年09月30日 15時35分 (#1029287)
      この場合糞なのはFirefoxやOperaじゃないのか？
      それともWindowsのデジタル証明書ってアプリからは一切参照できないものなの？
      シェア
      親コメント

      • Re:Firefox や Opera で使えない時点で (スコア:1, 興味深い)

        by Anonymous Coward on 2006年09月30日 16時56分 (#1029312)
        どちらかというとFirefoxからWindowsの証明書を全部信用してしまったらそっちの方が糞ですな。
        Windowsの証明書なんかどこまで信用できるのかわからないし、証明する基準なんて用途ごとに違ってきますから。
        Javaはランタイムで一括で持ってる部分もあるな。
        シェア
        親コメント
typodupeerror

未知のハックに一心不乱に取り組んだ結果、私は自然の法則を変えてしまった -- あるハッカー