「Web開発者に告ぐ「失敗事例を学習せよ」」記事へのコメント

イタイと認識してくれたらいいんだけど

[Dentom (9064)]

>「自分自身が証明書発行機関となり発行」など、かなりイタイ例

正直、ええ？！こんなことできるの！！ってビックリしました。
それよりも怖いのは、これができることが知られることで
“便利な裏技”として悪用される危険のほうが大きいような気がするんですが。

Re:イタイと認識してくれたらいいんだけど

[Anonymous Coward]

OpenSSLで自分でCA署名して、mod_sslでHTTPS://なんてよく使いますよ。IPSecのCA自分で立ち上げるとか :-)

特定グループのみで運用する場合とか、ただただ暗号化したい場合なんてのは有用でしょう。要はメリットとデメリットを熟考の上選択すれば良いだけ。

Re:イタイと認識してくれたらいいんだけど

[ryu-2 (9699)]

ＬＡＮ内の通信を暗号化するために、
まさにこれをやろうとしていたところです。

ローカルな世界だったら、かまわないですよね？。ね？。
誰か「大丈夫。」と言ってくれぇ～～～。

Re:イタイと認識してくれたらいいんだけど

[zeissmania (3689)]

証明書の自己発行がよくない理由は、別の第３者がなりすましができる、ことでしょう。
ローカルな世界になりすましで詐欺を働くような人が絶対にいない、という前提ならば問題ないです。
詐欺をやりそうな人が、なりすまし証明書を使ってIP詐称したローカルなWebServerを他人に判らないように立てられる知識がない場合も、安全といえるかもしれませんが。
＃けどそういうことをする人が絶対にいないと言えるなら、暗号化する必要もないと思いますけど（笑）

Re:イタイと認識してくれたらいいんだけど

[ueda (2612)]

LAN 内のクライアントが DHCP を利用していたとすると、Linux BOX で DHCP サーバと DNS サーバを立てればいろんなことが出来ちゃいますよね。本来アクセスすべき Web サイトではなく、うその Web サイトに誘導してしまえば... ってことですね。

なので「大丈夫」と言い切るのはちょっと難しいです。

--
This is a test message :-)

Re:イタイと認識してくれたらいいんだけど

[jbeef (1278)]

その場合の問題点は、（ルート証明書の安全な配布の問題の他に、）そのとき作ったルート証明書の秘密鍵が盗まれると被害が甚大になることなので、必要なサーバ証明書を発行したら即座にルート証明書の秘密鍵を抹消してしまうということでどうでしょう？