「オレオレ証明書の警告に「セキュリティ上の問題はございません」と解説する銀行が登場」記事へのコメント

一般人におけるSSLの意味

[Anonymous Coward]

通信路が暗号化されている、くらいの認識しかないってことだね。
発行元が証明されているとか、中身が改竄されてないことを証明するってところは
あまり知られてないということ。

あまり知られてない理由に「重要なファクタについての啓蒙をしてこなかった」というのはあるけどね。
それをできるのは知ってる我々の役目でもあるということも肝に銘じておかねば。

Re:一般人におけるSSLの意味

[Anonymous Coward]

「一般人における」って、まるで自分はわかっているかのようなことをおっしゃいますが、あなた自身も理解していないようですよ？

> 通信路が暗号化されている、くらいの認識しかないってことだね。

通信路も正しく暗号化されていないというのが正しい理解です。

> 発行元が証明されているとか、中身が改竄されてないことを証明するってところは
> あまり知られてないということ。

そういう話ではありません。

Re:一般人におけるSSLの意味

[Anonymous Coward]

別ACですが、自宅鯖にオレオレ証明書で立てたSSLサイトがあったとして、DNSの詐称とかされてなくて、外部からちゃんと正しく自宅鯖に到達できているとして、その自宅鯖のSSLサイトにアクセスしようとした時にブラウザが出す証明書が正しくないというメッセージを無視してアクセスしたら、その後アクセス中に通信経路に流れているパケットは他の人が傍受しても暗号化されているので（コストに見合った時間内に）解読されることはない、という理解で正しいでしょうか？

Re:一般人におけるSSLの意味

[Anonymous Coward]

> 外部からちゃんと正しく自宅鯖に到達できているとして
それが本当に確認できて

> 自宅鯖のSSLサイトにアクセスしようとした時にブラウザが出す証明書
が自分と自宅の間にいる他の誰かがすりかえた証明書ではないことまで証明できればそのとおりです。

Re:一般人におけるSSLの意味

[Anonymous Coward]

つまりダムハブを経路に入れるなどしてパケットを単に盗聴して情報を見られる事に対してだけならオレオレ証明書は役に立つわけですね。
到達できているかあるいは証明書をすりかえられているかの確認はリスクですけど相手は自宅鯖なのでその辺はよしなにと言う運用はアリだと。

＃証明書についての正しい認識が広まってくれると、オレオレ証明書の自宅鯖SSLサイトを
＃訪れた人は門前で引き返してくれるから期せずして来る人が少なくなってうれしいかも。

Re:一般人におけるSSLの意味

[Ryo.F (3896)]

証明書をすりかえられているかの確認はリスクですけど相手は自宅鯖なのでその辺はよしなに

ではなくて、内容とフィンガープリントで確認せよ。

Re:一般人におけるSSLの意味

[nim (10479)]

両方自分の管理下なら、ブラウザ警告を無視するのではなく、
予めオフラインでデリバーした証明書をインストールすべきです。

イントラネットだと、自前のCAをたてて、その証明書を予め各人のPCに配布しておく
なんてことはよくあると思いますよ。

ただ、実際にCAの運営をちゃんとやるのは結構大変です。
鍵が閉まる小部屋にスタンドアローンでPCを置いて、
必要に応じて複数人で発行業務、というのが最低限だと思います。

Re:一般人におけるSSLの意味

[Ryo.F (3896)]

両方自分の管理下なら、ブラウザ警告を無視するのではなく、

無視しろ、なんて書いてないんですが…

予めオフラインでデリバーした証明書をインストールすべきです。

IEだとその方法はリスクが高い(参考 [takagi-hiromitsu.jp])ので、ブラウザのシェアとプライベートCAの運用コストから考えて、その方法は難しいんじゃないかと。

もし両端が自分の管理下という前提なら、ブラウザをFirefoxにして、CA証明書としてではなく、サイト証明書としてインポートして使え、となるのかな。
ブラウザがIE固定ならば、やっぱりフィンガープリントを確認することになるでしょう。