パスワードを忘れた? アカウント作成
この議論は賞味期限が切れたので、アーカイブ化されています。 新たにコメントを付けることはできません。

SSL証明書を使う詐欺サイトが急増中」記事へのコメント

  • EV-SSL の効果 (スコア:2, すばらしい洞察)

    by JULY (38066) on 2009年07月10日 14時52分 (#1603038)
    > EV-SSL証明書を取得したサイトが乗っ取られてしまったら結局変わらないと思うのだが……

    と自分も思ってしばし考えたんだけど、もともと、この話って、「SSL でつながったことで安心しちゃだめだよ」で、実際に証明書が証明してるドメイン名を確認して、意図したドメイン名と無関係だったら、危ないって判断できる。

    ただ、一般の人に取ってドメイン名で確認するより、EV-SSL だとブラウザに組織名が表示されるんで、その方が気が付きやすい、ということはあるかな、と。

    にしても、あの IT Media の記事を見たら、まるで証明書が偽装されているような印象をうけるよなぁ。あのイメージは元のブログだと、「ほら、Verisign の本当の証明書でしょ」というのを示していて、その後のイメージで、「でも、本物と乗っ取られたものでは、Issued to のところが全然関係ないドメイン名になっているんだよ」ということを示している。...と思う(英文を細かく読んでないけど)。

    元のブログ: http://www.symantec.com/connect/blogs/phishing-toolkit-attacks-are-abu... [symantec.com]
    • Re:EV-SSL の効果 (スコア:4, すばらしい洞察)

      by Anonymous Coward on 2009年07月10日 15時04分 (#1603049)

      > 意図したドメイン名と無関係だったら、危ないって判断できる。
      > ただ、一般の人に取ってドメイン名で確認するより、EV-SSL だとブラウザに組織名が表示されるんで、その方が気が付きやすい、
      日本では銀行のオンラインバンキングのサイトでなぜかNTTデータの名前が表示されたりする [takagi-hiromitsu.jp]ので、こういう状況に慣らされてしまうと結局役に立たないのです。米SymantecのBlogはそんなトンデモな状況がありうるなんて夢にも思っていないのでしょう。
      EV SSLを導入最初期の段階で早くも役立たずにしてくれたNTTデータは腹を切って死ぬべきであるとか思いました。

      親コメント
      • Re:EV-SSL の効果 (スコア:2, 参考になる)

        by Anonymous Coward on 2009年07月10日 17時30分 (#1603154)

        EV SSLを導入最初期の段階で早くも役立たずにしてくれたNTTデータは腹を切って死ぬべきであるとか思いました。

        いや、あれは他ならぬ、日本ベリサイン株式会社がNTTデータに売り込んだものでしょう。宣伝のためにね。

        プレスリリース - 2008 NTTデータ、インターネットバンキング「ANSER-WEB®」にEV SSL証明書を採用 [verisign.co.jp]

        親コメント
      • 確かに。

        何も解らない一般人(アレゲ的な意味で)は、戸惑いながら言われるままにパスワードを入力し、一般的じゃないアレゲ人は、SSL証明書を見てずっこけるという・・・。


        SSL証明書の存在意義を問う社会派ジョークなんだね。きっと。
        --
        事態は際限なく悪化する。
        親コメント
      • Re:EV-SSL の効果 (スコア:1, おもしろおかしい)

        by Anonymous Coward on 2009年07月10日 23時10分 (#1603272)

        本では銀行のオンラインバンキングのサイトでなぜかNTTデータの名前が表示されたりするので、こういう状況に慣らされてしまうと結局役に立たないのです。米SymantecのBlogはそんなトンデモな状況がありうるなんて夢にも思っていないのでしょう。

        そういうことが可能なレベルの運用しかされていないということであり、遅かれ早かれ破綻するレベルの仕組みなんでしょう。なので、

        EV SSLを導入最初期の段階で早くも役立たずにしてくれたNTTデータは腹を切って死ぬべきであるとか思いました。

        これはむしろ、この商品が役立たずで、販売者を儲けさせるためだけに存在するものであるということを身をもって実証してくれたNTTデータは賞賛に値すると思いますが。

        親コメント
      • by Anonymous Coward
        bluegate モナ
    • by elderwand (34630) on 2009年07月10日 15時30分 (#1603071) 日記

      > 実際に証明書が証明してるドメイン名を確認して

      ってことで、「URL窓 (ていうのかな?) を穴の開くほど見れ」というのだが、最近お値段の高い証明書使ってるサイトで、その緑色の蘊蓄が長くて、肝心の URL が読み取れないサイトがある。

      Whois ボタン [mozilla.org] でも追加して、どこに繋がったかを確認するのがいいかも。

      #はい、ごめんなさい。Firefox の話です。

      親コメント
      • Re:EV-SSL の効果 (スコア:3, 参考になる)

        by Anonymous Coward on 2009年07月10日 15時37分 (#1603072)

        EV SSLはドメイン名ではなく組織名で確認するものなので、ドメイン名の表示はあまり重要視されていないものと思われます。
        > 緑色の蘊蓄が長くて、肝心の URL が読み取れない
        これは話が反対で、確認が必要なもの(証明書の種類によって組織名だったりドメイン名だったりする)は緑色だったり青かったりする部分に常に表示されるという設計になっています(Firefox 3.5の場合 [takagi-hiromitsu.jp])。

        親コメント
    • by JULY (38066) on 2009年07月11日 8時14分 (#1603343)
      今見たら、IT Media の記事に貼り付けられていた証明書の画像が削除されていますね。

      元のブログに貼り付けられていた画像から、わざわざ証明書の部分(元画像の右下にある証明書内容を表示しているウィンドウ)を抜き出すように編集していたんで、それもどうなのかなぁ、とは思っていたけど。

      編集しているのがまずいと思ったのか、内容が不適切と思ったのか、画像を削除した理由は分かりませんが...
      親コメント
    • by rbinro (36658) on 2009年07月13日 10時00分 (#1603859) 日記
      EV-SSL証明の書の普及に伴って、「アドレスバーが緑→安全」という意識が広まってしまった場合、
      インラインフレームだとか共有サーバでのEV-SSL等での詐欺行為が楽になります。
      そういう意味では、SSLだろうとEV-SSLだろうと、セキュリティレベルはほとんど変わりません。
      親コメント

開いた括弧は必ず閉じる -- あるプログラマー

処理中...