「SSL 証明書の運用管理どうしてますか？」記事へのコメント

cacert

[nox_dot (11614)]

以前にも書き込みましたが、集団オレオレroot証明の
http://www.cacert.org/ [cacert.org]
もありますよ。
集団になるメリットもデメリットもありますので、皆さんにお勧めというわけではありませんが、面白い試みだと思います。

Re:cacert

[Anonymous Coward]

ぜんぜん面白い試みじゃないですね。

ルート証明書の配布はどうやってやっているんですか？
それを見れば、そこの人たちが何もわかってない素人集団だとわかりますよ。

自分達だけで自滅するのは自由ですが、他の人に勧めるのはやめてほしいですね。

Re:cacert

[Anonymous Coward]

> ルート証明書の配布はどうやってやっているんですか？

ImportRootCert [cacert.org] には RootCert の正当性を確認する方法としてのフィンガープリントの入手方法がいくつか載ってる。例えば「GPGでサインされたメール(GPGサインの正当性はWOTで確認)」「CACertのイベントでの確認」「(ドイツの?)Linux Magazinなどの印刷物」といった感じ。Debian ではパッケージでも配布されている(信頼性はほかのDebianパッケージに準じる)。

個別ユーザの信頼性はPGPみたいな信頼の輪モデル(WOT)や信頼できるサードパーティ(TTP)などを応用したポイントシステム [cacert.org](CAP)でやっているようだね

Re:cacert

[jbeef (1278)]

ImportRootCert には RootCert の正当性を確認する方法としてのフィンガープリントの入手方法がいくつか載ってる。

以前から疑問だったのですが、そのページを https: でアクセス、つまり https://wiki.cacert.org/wiki/ImportRootCert [cacert.org] にアクセスしてみると、このホストのサーバ証明書が CAcert自身のCAから発行された証明書になっていて、未確認の段階では安全に閲覧できないんですが、なぜここを、VeriSignなりの発行のサーバ証明書で運用しないんですかね。

みんなのために1枚だけ買う、その費用さえ出費できないんですかね。
それとも、自分達だけで完結することが目的なんですかね。（なんのために？）
あるいは、サイトが改竄されたりサーバ証明書の鍵が流出する危険があるから必ず紙で確認するべきだ、といった考え方なんでしょうかね。

Re:cacert

[Anonymous Coward]

> みんなのために1枚だけ買う、その費用さえ出費できないんですかね。

これは無いと思います。イベントを開催したりする費用や手間のほうが、どう考えても
SSL証明書をひとつかって設定するより普通ははるかに大きいはずですから。

> 自分達だけで完結することが目的なんですかね。（なんのために？）

なんとなくこっちな気はしますが確かに意味は分かりませんね。

> サイトが改竄されたりサーバ証明書の鍵が流出する危険があるから必ず紙で確認するべきだ

ここの信頼性を疑ったらそもそもCAが成り立たないような...