「IE7の普及でサーバ証明書失効トラブルが続出するかも?」記事へのコメント

正しいんでは？

[Anonymous Coward]

とはいっても、オレオレの場合はオレオレなりに現状も有効な訳で、現状失効した物の方が厳しく弾かれるのは当たり前の様な。

一番正しいのはオレオレも弾くってのだろうけど、それはそれで現実的で無いし。

つーか、真っ当な機関なら失効しない様にちゃんとチェックしとけ、ってだけで良いんでない？
失効に対してオレオレ証明も用意しないんであれば、そりゃ見てもらう前提では無いって事で。

Re:正しいんでは？

[Anonymous Coward]

高木さんがいっているのは、リボケーションされた証明書で先に進めないようにするなら、
信頼されていないオレオレ証明書でも先に進めないようにしろ、ってことでしょう？
信頼できないという点で脅威の度合いは同じなんだし、差がついている理由がまったく無い。

Re:正しいんでは？

[Mayhem (33253)]

高木氏の言うことは、理論的には正しい。
しかし、実務的な面からは、IE7の実装も大いに理解できる。

すっごく身近な例だと、今Webベースの管理ツールとか標準で用意しているソフトなんか山ほどあって、そのほとんどが自己署名証明書を作成して、アクセスにはSSLを使わせるわけだけど、そのときいちいち先に進めなくなるとやってられない、という状況も起こるわけでして、まあ、このように管理者やインテグレータが困るのは氷山の一角で、世の中には、立派に使用されているプライベート証明書もたくさんある、それが使えなくなると、よほど混乱が起こると思う。

もちろん、ルート証明書をインポートしておけばよいのだけど、大きな問題として、ルート証明書の重要性というのが、いまいち理解しがたいという点がある。たとえばPKIを説明するときに、証明書はパスポートと同じ、って説明できるけど、じゃあ、パスポートを発行している日本を証明した証明書なんてないわけだし、メタファとして説明しづらい、って言うのがある。技術的に仕組みがわかると、なるほど大納得なんだけど、利用者に理解してもらうのは、おそらく非常に難しいでしょう。

それから、何でもかんでもオレオレ証明書と片付けられる風潮が作られつつあることも問題だな。今回の件のように、あまり一般に知られていない情報を広く公開してくれて、高木氏の活動には敬意を払わなければならない部分が非常に大きいのだけど、このキーワード主義は感心できないな...