パスワードを忘れた? アカウント作成
この議論は賞味期限が切れたので、アーカイブ化されています。 新たにコメントを付けることはできません。

オレオレ証明書の警告に「セキュリティ上の問題はございません」と解説する銀行が登場」記事へのコメント

  • by Anonymous Coward
    証明書の正当性は重要視してないけど、とりあえず、通信は暗号化したいってサイトが「オレオレ証明書」使っちゃうんだよね?

    で、疑問なんだけど、そもそも「暗号化」の為に「証明書」は必須なの?
    「証明書を必要としない暗号化」さえあれば、それで解決なんじゃないの?
    • Re:そもそも (スコア:4, 参考になる)

      by Anonymous Coward

      疑問なんだけど、そもそも「暗号化」の為に「証明書」は必須なの?

      必須です。

      「証明書を必要としない暗号化」さえあれば、それで解決なんじゃないの?

      そのようなものはありません。

      TLS-PSK (RFC 4279) というのがありますが、Webへの適用例は今のところありません。なぜなら、RFC 4279 に次の通り書かれているように、一般の公衆向けのサービスで利用できるものではないからです。

      1.1. Applicability Statement

      The ciphersuites defined in this document are intended for a rather limited set of applications, usually involving only a

      • Web接続で一般の公衆向けのサービスでは PKI をベースにした証明書で発信元を担保すべきだ、というのはその通りですが。

        でも 「暗号化」の為に「証明書」は必須なの? という問であれば 必須ではないですよ。

        OpenSSL の実装でも、暗号化スイートとして例えば ADH-AES256-SHA を選択すれば証明書なしで暗号化されます。
        この暗号化スイートは手元のマシンにおいて実際に Postfix によるSMTP接続においてはそこそこ利用されている状況にあります。
        • by Anonymous Coward
          でも 「暗号化」の為に「証明書」は必須なの? という問であれば 必須ではないですよ。
          出鱈目ですね。

          ADH-AES256-SHA を選択すれば証明書なしで暗号化されます。
          Anonymous-DH は、man-in-the-middle attack で盗聴されます。

          そもそも Anonymous-DH というのは(ADH-AES256-SHA というのは、DHE-RSA-AES256-SHA から証明書による認証を省いたものと等価ですから)、「オレオレ証明書」で運用する TLS 通信と同じことです。Webでは利用されていません。わかりましたか?

          Postfix によるSMTP接続においてはそこそこ利用されている状況にあります。

          元々暗号化されないメールの話を持ち出されても困るのですが。

          • もともとの質問は2行にわたっていて
              前段の 暗号化に証明書必須か? に対しては 必須ではない
              後段の それで解決するか に対しては 解決しない(安全じゃないから)
            というのが私の考えでした。が、後段の分を書かなかったのはそれはそれで誤解を生みますね。すみません。

            でまあ誤解が広まる源泉は「暗号化されていれば安全である という誤解」だと思っているわけですよ。
            少なくともオレオレ証明書を入れて銀行に納入してしまうような業者に向かって、
            「暗号化できているからといってそれだけで安全ではない」という意識を啓蒙するべきではないかと。
            可能なら業者は安全は何をもって担保されているのかを理解して欲しいところです。

            一般に向かっての啓蒙については 高木先生の方策に同意しています。
            • Re:そもそも (スコア:-1, フレームのもと)

              by Anonymous Coward
              あなたはまだ、Anonymous-DH でも「暗号化されている」と考えているようですが、それは誤りです。ここで言う「暗号化」とは「SSLでの暗号化」のことを指しています。なぜなら、銀行が

              サイト自体はSSL128bitによる暗号化通信を行っておりますので、セキュリティ上の問題はございません。
              と言っていて、それをテーマにしているから当然の前提です。その前提を置いたとき、「暗号化されている」というのは誤りです。

              「暗号化できているからといってそれだけで安全ではない」という意識を啓蒙するべきではないかと。
              反対です。そのようなやり方をすると、「そうそうセキュリティホールがあったら暗号化されてても無意味だしね」だとかいう話を招いて話をいっそう混乱させるだけでしょう。
              • by Anonymous Coward
                別に氏の真似をした風な書き方をしなくとも、単に、
                ttp://www.soumu.go.jp/joho_tsusin/security/kiso/k01_ssl.htm
                を、読め。でいいんじゃないの?

                「~でしょう。」という言い回しは気持ちが悪いのでやめて下さい。
              • by Anonymous Coward on 2007年11月28日 16時55分 (#1256978)
                単に、 ttp://www.soumu.go.jp/joho_tsusin/security/kiso/k01_ssl.htm を、読め。でいいんじゃないの?
                その総務省の解説もヤバイです。図に認証局がないですよね。TLSの解説には必ず第三者機関が登場してないといけないんですが・・・。こういうののせいで変な勘違いが後をたたないんでは?

                ・・・という話を高木センセイがどこかで書いてたような記憶があるのですが、見つからない・・・。

                親コメント
              • by Anonymous Coward
                バカな国民のためのバカな行政がバカな説明をしてなにがいけないのですか。
                日本人なら日本人らしくじぶんたちのバカさはたなにあげて中韓をバカにしてさえいればいいのです。

犯人は巨人ファンでA型で眼鏡をかけている -- あるハッカー

処理中...