パスワードを忘れた? アカウント作成
この議論は賞味期限が切れたので、アーカイブ化されています。 新たにコメントを付けることはできません。

IE7の普及でサーバ証明書失効トラブルが続出するかも?」記事へのコメント

  • by Anonymous Coward
    たとえオレオレ証明書であっても注意深く正しく運用できれば(例えば証明書を安全な手段で入手できれば)
    SSLが正しく動くというのは正しい

    しかし そのように正しく使われている例は非常に少ないし
    不特定多数に安全な手段で配ることは不可能に近い

    正しく使われていない場合には相手の確認もできないし
    暗号化にも意味がない

    だから オレオレ証明書は使うべきではない

    という高木さんの主張の前段を仮定をすっとばして

    オレオレ証明書に意味はない

    と意味もわからず叫ぶのは 高木さんにも 高木さんの主張を否定したい人にも迷惑っぽいです

    そして

    > オレオレ証明書の場合の警告では続行ができるのに、
    > 失効証明書の場合は続行を許さないというのには首をかしげる。
    (→ 失効証明書だけじゃなくて
       オレオレ証明書の場合も続行しないようにしろよ)

    という古文の二重否定のような文章を読み取れるように努力しないといけないようです
    • >たとえオレオレ証明書であっても注意深く正しく運用できれば
      >(例えば証明書を安全な手段で入手できれば)
      まあ、重箱の隅をつつけば疑問があるが… [takagi-hiromitsu.jp]

      その状況って、特定された少数を相手にするサービスでないとほぼ実現不可能でしょう。
      ブラウザに最初から導入されている証明局以上の担保を、利用者が判断するのは困難。
      オンラインで証明しようとすれば、再帰的矛盾に陥るのが目に見えている。

      >不特定多数に安全な手段で配ることは不可能に近い
      って書いてあるから、貴方は解っていると思うんだけど。解っている人であればこそ、
      具体的に「注意深く正しく運用」を設定せずに「問題な
      • Windowsは個人だけで使っている訳では無く会社とかでも使っているので
        社内限定であればCD等で管理者から証明書を配布すると言う手段を取る場合も考えられます

        つまり信用できる配布体制を作れるかどうかなんですよね
        なので自己証明書を使えるのが少人数のみと言われると、それはちょっと違うかなと思います

        そして個人で無く会社単位で社内作業者に対し配布という場合は、レアケースと言い切れないのではないでしょうか?
        SSLはインターネットでも使われてますが、インターネットだけで使われている訳ではありません
        無論WebサーバーもIEもインターネットだけで使われて
        • >社内限定であればCD等で管理者から証明書を配布すると言う手段を取る場合も考えられます
          >個人で無く会社単位で社内作業者に対し配布という場合は、レアケースと言い切れないのではないでしょうか?

          つまり、オフラインの信頼できる関係を担保に出来るケースに限られる。
          そうして問題なく運用されている会社があったとして、そこの閉じた常識で語る事に意味は無い。
          議論するもの同士が、客観的に確認出来ない状況を前提にすることは出来ない。
          インターネットで議論するのに、「問題ない」と言える前提条件としてはレア。
          会社規定を前提に法律を語るのに意味が無いように、セキ
          • IEの機能として、全ての自己証明書に対しアクセス出来ないようにする機能を搭載するのは
            好ましくないと言う事が言いたいだけですので、インターネット以外は関係ないと言うのであれば
            インターネット以外でも使うIEには自己証明書を使用可能にする機能は付けなければならない
            と言う事で良いと思って良いのかな?

            まぁオレオレ証明書=信用できるルートで供給されて居ない公開証明書という前提条件であれば
            無論自己証明書は条件を満たせば使えるって話になるんだけどね
            • >IEの機能として、全ての自己証明書に対しアクセス出来ないようにする機能を搭載するのは
              >好ましくないと言う事が言いたいだけですので、インターネット以外は関係ないと言うのであれば

              あらゆるオレオレ証明書がダメとは言って無い。
              だからといって、オレオレ証明書を使ってもいい/使わなければいけない状況の説明がなく、
              ただオレオレ証明書にアクセス出来なくするのは好ましくないという言い方は不適切。
              ここを見る殆どの人は、ここを見ている間はそういう環境に居ないのだから、
              まるでインターネットの一般的利用ケース(特定少数向けサービスを使わないアクセス)で
              オレオレ証明
              • 「失効された証明書も警告後に続行できるようにするべきだ」ではなく
                「オレオレ証明書も警告後に続行できないようにするべきだ」という話ならば、
                (賛同はできかねますが)そういう主張も理解できます。
                ただどうも違和感を拭いきれません。

                「オレオレ証明書は悪。警告画面が表示されるようなサイトは葬り去らねばならない」
                などという、妙な正義感に捕らわれているように気がしてなりません。

                不特定多数を対象とするWebサイトと限られた特定の範囲を対象とするWebサイト
                では、確かに比較にならない位の差が有ると思います。そういう視点で見れば、
                確かに後者はレアケースと見る事もできるでし
              • > 一人で数十台ものクライアントを設定して回る事なんて、できればやりたくないと思う
                > のが普通ですし、複数の拠点に分かれている状況ならば目も当てられません。

                それこそ証明書買えばいいと思うんですが…少なくとも管理者の人件費よりは安いでしょう。
                年間数万円の支出と情報漏洩のリスクを天秤にとれば、
                複数の拠点を持つ状況の会社がそのコストが妥当でないと判断することは多分ないと信じています。
                # 逆に台数が少ないんだったら頑張ってプライベートCA証明書をインストールして回ってくれ

                一方で、オレオレ証明書に対する警告を無視してもいいんだ~という習慣を普通の人が持つ事は、
                PKIの崩壊そのものなので『全く許容できません』
                親コメント
              • >それこそ証明書買えばいいと思うんですが…少なくとも管理者の人件費よりは
                >安いでしょう。

                ええ、証明書を購入する方が安価ならば、それを否定する理由は有りません。
                例えばGeoTrustのQuickSSLならば1サーバ当たり36,540円/年ですから、
                (特定の人しか利用しない場合など)当該サーバの本人性を利用者が確認する必要
                が無く、かつ当該サーバ数の台数×運用年間の合計費用が、プライベートCAに
                よるサーバ証明書を用いる場合より安価ならば、検討する価値は有るでしょうね。
                しかし、この条件に見合わないのならば他社よりサーバ証明書を購入する理由は
                無いと思います。

                >年間数万円の支出と情報漏洩のリスクを天秤にとれば、
                >複数の拠点を持つ状況の会社がそのコストが妥当でないと判断することは多分ないと信じて>います。

                それは比較の対象が不適切です。
                SSLを用いない事はここでは論じられていません。
                一般の認証サービスで発行される証明書と、プライベートCAが発行する証明書で、
                情報漏洩のリスクに差異は有りません。

                比較するのならば、先に挙げたようにプライベートCAによる運用コストと、
                他社より購入する証明書を用いる運用コストの比較、及び両者のリスクの
                比較をしなければ、意味が有りません。

                ># 逆に台数が少ないんだったら頑張ってプライベートCA証明書をインストール
                >して回ってくれ

                何故ですか?

                >一方で、オレオレ証明書に対する警告を無視してもいいんだ~という習慣を
                >普通の人が持つ事は、
                >PKIの崩壊そのものなので『全く許容できません』

                同感です。

                更に言えば「警告が表示されなければ良いんだ」という意識も、
                PKIの意味を取り違えていると思いますので『全く許容できません』。
                警告が表示されないのは危険の兆候が発見できなかったからであって、
                接続先のWebサイトが信頼できる事を意味しません。

                # そもそも崩壊以前の話として、PKIが正しく理解されているとは
                # 思えないんですけどね…。
                親コメント

192.168.0.1は、私が使っている IPアドレスですので勝手に使わないでください --- ある通りすがり

処理中...