「Superfishのように勝手にルート証明書をインストールするソフト、続々見つかる」記事へのコメント

鍵管理

[iida (8060)]

単にルート証明書をインストールすることではなく、私有鍵をパクれるルートCAの証明書をインストールすることが問題なのです。

--
iida

Re:

[Anonymous Coward]

詳しい解説お願いします。

Re:鍵管理

[Anonymous Coward]

単にルート証明書が入っただけですと、そのルート証明書（A）で認証された証明書（B）が、正規の証明書として扱われます。
しかしAで認証された証明書を作れるのは、あくまでもAの秘密鍵を持つ人だけですので、誰でもBのような証明書を作れるわけではありません。

Superfishの場合は、Aの秘密鍵もプログラム内に埋め込まれていた為（というかリアルタイムで証明書を作成するんだから当然入ってる）、その鍵を解読した第三者が、誰でもBのような証明書を作れるようになってしまった。

つまり、当該ルート証明書が入ったPCに対してだけですが、第三者が勝手にオレオレ証明書を正規の証明書のように見せることが可能になった、というのが大きな問題点です。

Re:

[Anonymous Coward]

なるほど。わかりやすい解説ありがとうございました。