アカウント名:
パスワード:
「暗号化」と「本人である事が安心なのか」はすべて別なのであります！フィッシングサイトだってちゃんとSSLを使っているんだしねｗオレオレ証明書が難無く通る仕組みを作ったうえでSSLの強制化を話してくださいｗオレオレでも暗号化については”同等に安全”なのは知ってるはずだろう？でなければやはり商売の香りがぷんぷんする。
オレオレを締め出した上に本来のSSLの趣旨であろう企業証明書？が別は枠で出来上がったのはなんでだろうね。
全く理解できない内容だけど、中間者かなにかに攻撃(頭殴られたとか)されたせいでおかしくなっちゃったんだよね？
Anonymous Cowardなのだから仕方ないね
個人情報を送受信するサイトじゃなければオレオレでもいいと個人的には思います。
個人情報を流すならちゃんとしたサーバ証明書は欲しいですが、単にデータの送受信であれば暗号化目的のオレオレで十分じゃないのかな、と思います。
通信の秘密を物理的に守る意味でも、ね。
＃ちゃんとした証明書だとサーバ側で金と手間が掛かる、と言うのもありますしね。
だけどそれをやると警告を無視するのがあたりまえになってしまうのでそういう習慣を付けさせるのは危険じゃないかなー……。
存在証明がないSSLみたいなのを明確に区別して、デフォルトの通信で使わせる（警告なども従来の平文通信と同じ扱い）というものを作るのはひとつの解決策かもしれません。同等に安全とか、これによって完全に安全であることを確保できるとかアレなことを言い出さなければひとつの手ですね。何もしないよりは安全なわけですし。
1、「ルート証明書にぶら下がった信用できるサイト」2、「ルート証明書にぶら下がった信用できないサイト」3、「ルート証明書にぶら下がれてしまった中間者ダミーサイト」4、「ルート証明書にぶら下がっていない(オレオレ証明書な)信用できるサイト」5、「ルート証明書にぶら下がっていない(オレオレ証明書な)信用できないサイト」6、「ルート証明書にぶら下がっていない(オレオレ証明書な)中間者ダミーサイト」2や3なサイトは非オレオレ証明書であっても個人情報を送っては駄目ですし、4であればオレオレ証明書であっても個人情報を送るのに
中間者がいる、つまりパケットを盗聴して、変なパケットを送りつけられる、という前提で、オレオレ証明書のサイトはどこの誰だか安心できないっていうのを知った上で？
第三種オレオレ証明書であれば>中間者がいる、つまりパケットを盗聴して、変なパケットを送りつけられるという前提はどうにかなりますネルート証明書インストールしちゃうと、どんなドメインでも発行できてしまうので所有者を信じていいのか悩みますが…
その証明書(CA/クライアント/サーバー)が全部オレオレでも、全部自分で作成してあって、自分以外が接続しない(させない)サーバーに適用してある分にはまあいいんじゃね。自分のサーバー/クライアントとつながってるのは当事者なら分かるだろうし。もちろんprivate key等が流出していない前提だけど。
そんなわけで第三者が接続する必要があるなら真っ当なCAで署名された証明書がいるだろうけど、個人や企業内で使用するものに関してもverisign等の証明書使ってないとエラーになるとかいうのは勘弁してくれっていうのは理解できる。
エラーになるのはverisign等の証明書じゃないからではなく、登録されていない証明書だからですよ。 個人や企業内で使用するものであれば、自分で証明書をインポートすればエラーはでません [www.idal.jp]。
なお、真面目にセキュリティを考えるのであれば、インポートする証明書は別途安全な手段で受け渡す必要があります。 verisign等の登録済みの証明書で運用されているサーバーからダウンロードさせるか、それが出来なければUSBメモリで手渡す等です。 （セキュアドか何かの情報処理試験でそんな問題を見た覚えもあります。） オレオレ証明書のWebページからダイレクトにインポートすることも出来ますが、その場合ドメインが既にすりかえられていた場合に検証できません。
一応ここに
(#2126870) だけど、OSなりブラウザなりにインポートできるシステムではあんまり問題じゃないんだ。いまならガラケーがインポートできないシステムの筆頭だし、androidも4.0までは(VPN用途以外には)できなかった。上記のシステムはverisignのルート証明書等を決め打ちで持ってるけど、決め打ちじゃない手法が一般的に可能であるわけじゃないので書いてみた。この手法が一般的に可能になるにはインポートを行う側のリテラシが著しく向上しないと無理だろうけどね。
その証明書(CA/クライアント/サーバー)が全部オレオレでも、全部自分で作成してあって、自分以外が接続しない(させない)サーバーに適用してある分にはまあいいんじゃね。
私も個人的なもので、そういうことをやったことあります。その場合は、OSなりウェブブラウザなりに、オレオレのルート証明書を取り込ませておけば、エラー・警告の類にはならないですよね。
そのオレオレ証明書が本当にそのサイトのオレオレ証明書であることはどうやって証明されますか？
政府認証基盤も第3種または第5種俺俺証明書ですネ
フィンガープリントを確認する。
次にお前は「そのフィンガープリントが正しいことはどうやって証明されますか？」という！
で、その答えは？
フィンガープリントは別の安全な経路で入手するべし
より多くのコメントがこの議論にあるかもしれませんが、JavaScriptが有効ではない環境を使用している場合、クラシックなコメントシステム(D1)に設定を変更する必要があります。
UNIXはシンプルである。必要なのはそのシンプルさを理解する素質だけである -- Dennis Ritchie
そもそも・・・ (スコア:0)
「暗号化」と「本人である事が安心なのか」はすべて別なのであります！
フィッシングサイトだってちゃんとSSLを使っているんだしねｗ
オレオレ証明書が難無く通る仕組みを作ったうえでSSLの強制化を話してくださいｗ
オレオレでも暗号化については”同等に安全”なのは知ってるはずだろう？
でなければやはり商売の香りがぷんぷんする。
オレオレを締め出した上に本来のSSLの趣旨であろう企業証明書？が別は枠で出来上がったのはなんでだろうね。
中間者攻撃こわい (スコア:1)
全く理解できない内容だけど、中間者かなにかに攻撃(頭殴られたとか)されたせいでおかしくなっちゃったんだよね？
Re: (スコア:0)
Anonymous Cowardなのだから仕方ないね
Re:そもそも・・・ (スコア:1)
個人情報を送受信するサイトじゃなければオレオレでもいいと個人的には思います。
個人情報を流すならちゃんとしたサーバ証明書は欲しいですが、単にデータの送受信であれば
暗号化目的のオレオレで十分じゃないのかな、と思います。
通信の秘密を物理的に守る意味でも、ね。
＃ちゃんとした証明書だとサーバ側で金と手間が掛かる、と言うのもありますしね。
Re: (スコア:0)
だけどそれをやると警告を無視するのがあたりまえになってしまうので
そういう習慣を付けさせるのは危険じゃないかなー……。
存在証明がないSSLみたいなのを明確に区別して、デフォルトの通信で使わせる
（警告なども従来の平文通信と同じ扱い）というものを作るのはひとつの解決策かもしれません。
同等に安全とか、これによって完全に安全であることを確保できるとかアレなことを言い出さなければひとつの手ですね。
何もしないよりは安全なわけですし。
Re: (スコア:0)
1、「ルート証明書にぶら下がった信用できるサイト」
2、「ルート証明書にぶら下がった信用できないサイト」
3、「ルート証明書にぶら下がれてしまった中間者ダミーサイト」
4、「ルート証明書にぶら下がっていない(オレオレ証明書な)信用できるサイト」
5、「ルート証明書にぶら下がっていない(オレオレ証明書な)信用できないサイト」
6、「ルート証明書にぶら下がっていない(オレオレ証明書な)中間者ダミーサイト」
2や3なサイトは非オレオレ証明書であっても個人情報を送っては駄目ですし、4であればオレオレ証明書であっても個人情報を送るのに
Re: (スコア:0)
中間者がいる、つまりパケットを盗聴して、変なパケットを送りつけられる、という前提で、オレオレ証明書のサイトはどこの誰だか安心できないっていうのを知った上で？
Re:そもそも・・・ (スコア:1)
第三種オレオレ証明書であれば
>中間者がいる、つまりパケットを盗聴して、変なパケットを送りつけられる
という前提はどうにかなりますネ
ルート証明書インストールしちゃうと、どんなドメインでも発行できてしまうので所有者を信じていいのか悩みますが…
Re: (スコア:0)
その証明書(CA/クライアント/サーバー)が全部オレオレでも、全部自分で作成してあって、
自分以外が接続しない(させない)サーバーに適用してある分にはまあいいんじゃね。
自分のサーバー/クライアントとつながってるのは当事者なら分かるだろうし。
もちろんprivate key等が流出していない前提だけど。
そんなわけで第三者が接続する必要があるなら真っ当なCAで署名された証明書がいるだろうけど、
個人や企業内で使用するものに関してもverisign等の証明書使ってないとエラーになるとかいうのは勘弁してくれっていうのは理解できる。
インポートすればエラーでないよ (スコア:2, 参考になる)
エラーになるのはverisign等の証明書じゃないからではなく、登録されていない証明書だからですよ。
個人や企業内で使用するものであれば、自分で証明書をインポートすればエラーはでません [www.idal.jp]。
なお、真面目にセキュリティを考えるのであれば、インポートする証明書は別途安全な手段で受け渡す必要があります。
verisign等の登録済みの証明書で運用されているサーバーからダウンロードさせるか、それが出来なければUSBメモリで手渡す等です。
（セキュアドか何かの情報処理試験でそんな問題を見た覚えもあります。）
オレオレ証明書のWebページからダイレクトにインポートすることも出来ますが、その場合ドメインが既にすりかえられていた場合に検証できません。
Re:インポートすればエラーでないよ (スコア:1)
一応ここに
(#2126870) だけど、OSなりブラウザなりにインポートできるシステムではあんまり問題じゃないんだ。
いまならガラケーがインポートできないシステムの筆頭だし、androidも4.0までは(VPN用途以外には)できなかった。
上記のシステムはverisignのルート証明書等を決め打ちで持ってるけど、
決め打ちじゃない手法が一般的に可能であるわけじゃないので書いてみた。
この手法が一般的に可能になるにはインポートを行う側のリテラシが著しく向上しないと無理だろうけどね。
Re: (スコア:0)
私も個人的なもので、そういうことをやったことあります。その場合は、OSなりウェブブラウザなりに、オレオレのルート証明書を取り込ませておけば、エラー・警告の類にはならないですよね。
Re: (スコア:0)
そのオレオレ証明書が本当にそのサイトのオレオレ証明書であることはどうやって証明されますか？
Re:そもそも・・・ (スコア:1)
政府認証基盤も第3種または第5種俺俺証明書ですネ
Re: (スコア:0)
Re: (スコア:0)
フィンガープリントを確認する。
次にお前は
「そのフィンガープリントが正しいことはどうやって証明されますか？」
という！
Re: (スコア:0)
で、その答えは？
Re: (スコア:0)
フィンガープリントは別の安全な経路で入手するべし