「IE7の普及でサーバ証明書失効トラブルが続出するかも?」記事へのコメント

失効証明書＝０＜ローカル証明書

[Anonymous Coward]

失効ということはその証明書は何も証明していないわけで。
フィンガープリントを確認しているなど、ローカル証明書は条件によっては信用できます。

失効は一切閲覧させず、ローカル証明書はオプションで閲覧できるようにするのは合理的では。

Re:失効証明書＝０＜ローカル証明書

[Anonymous Coward]

高木氏のブログより、根拠を拾ってきました

＞オレオレ証明書の場合の警告では続行ができるのに、失効証明書の場合は続行を許さないというのには首をかしげる。
＞詐欺師がこうなるとわかっていてわざわざ失効証明書を使うわけがないし、失効証明書の秘密鍵を入手するよりオレオレ証明書を自作するほうがはるかに容易なのに。

まず、ろくな自己証明もせずに証明書を買える昨今、デフォルトで拒否されると分かっているなら詐欺師がわざわざローカル証明書を使うわけもないですね。
第二に、他人の失効証明書の秘密鍵を入手することを想定する以前に、単純に失効した証明書の持ち主が悪用する危険性を無視しています。例えば、ドメインを売る前に証明書を入手しておき、売った後に悪用するとか。

Re:失効証明書＝０＜ローカル証明書

[nisiguti (1286)]

この論拠は読みましたが、やはり高木さんの意見には同意しかねます。

一旦発行された証明書が信頼できない物であるという事象が起こったから、その
証明書が失効された訳ですよね。明示的に信頼できないという事が発生したのなら、
それを容易に続行する事ができる方が「首をかしげる」べきだと思います。
それができないようになったのなら、正しい方向に改善されていると思います。

#1144087がどういう主旨を指しているのか少し判りにくいのですが、
そういう事を仰っているんですよね。