「Mozilla、Symantecが発行した証明書の信頼性回復に関する議論に参戦」記事へのコメント

なぜ、Google はユーザーが「認証局名」を確認する手段を奪ったのか？

[Printable is bad. (38668)]

Google ChromeでSymantecが発行したSSL証明書の有効期限短縮やEVステータス無効化を提案する [security.srad.jp] など、大手認証局の問題点を指摘していること自体は、Google 自身もルート認証局 [mynavi.jp] なことから中立性に疑問はあるものの、指摘の内容は今のところは評価できます。

しかし、その一方で、ここ最近（数か月～1年前ぐらい?）のアップデートで、Google Chrome (Windows 版) から、ユーザーが認証局名（証明書）を確認するための UI が削除されてしまいました。

どの認証局を信頼するかの決定権は、ブラウザベンダーではなく、ユーザーにあるべきです。にも関わらず、わざわざアップデートでユーザーが認証局名を簡単に確認できなくした

Re:

[Anonymous Coward]

Chromeのルート認証局ってChromeが自分で持ってるんじゃなくて、Windowsの証明書ストア使ってるんじゃないの？
Chromeの設定で「証明書の管理」ボタン押して出てくるやつってOS共通のやつでしょ。

だからサイトの証明書の判定はシステム的にOSに任されているわけで、ブラウザはユーザーに目的のサイトが正当な認証のツリーに属しているかどうかさえ伝えられればよい。
むしろ不適切なルート証明書がOSにインストールされていてもChromeはそれに関与せず、どの認証局を信頼するかの決定権は放棄しているように見える。

認証局の追跡が開発者レベルの機能ってのは全然問題ないと思うんだけど。
ユーザーがそういうのを一々確認しなくて済むように予め信頼する事にしたルート証明書を登録してるんだから。
「アクセスしたサイトの認証局を目視で確認して不可と判断する」ユースケースの想定自体がそもそもおかしくね？

Re:

[Printable is bad. (38668)]

Chromeのルート認証局ってChromeが自分で持ってるんじゃなくて、Windowsの証明書ストア使ってるんじゃないの？

#3205689 でも書きましたが、これはその通りです。

むしろ不適切なルート証明書がOSにインストールされていてもChromeはそれに関与せず、どの認証局を信頼するかの決定権は放棄しているように見える。

Google Chrome はOSの証明書ストアで信頼されていたとしても StartSSL の証明書を独自実装で拒否している [qiita.com] ので、どの認証局を信頼するかの決定権は放棄していません。

同じOSの証明書ストアを使っていても、IEでは受け付けるけどChromeでは拒否されるというケースがあります。

スラドをdisるのは止めろ！

[Anonymous Coward]

スラドは、GeoTrust の RapidSSL というDV証明書（ドメイン所有者の機械的なチェックのみ）なわけですが、フォーラムサイトなので適切なレベルの証明書だと思います。

スラドがただのフォーラムサイト？
報道機関＝マスコミだぞ

偽ニュースが社会問題になってるんだからEV SSL必須
偽スラドのフェイクニュースに騙されて世論誘導されたらどうするんだ

Re:

[Anonymous Coward]

スラドがマスコミ？？？
取材もしていないし、ジャーナリストも居ないのに？ (笑)

スラドって、パソコンの前にかじりついて他のサイトの情報まとめてるだけじゃん
やってることはただの劣化コピー
技術的な話題だから高度に見えるだけで、悪名だらけアフィブログ、はちま寄稿や俺的ゲーム速報JINと変わらんだろうが (笑)
トピックがゲームじゃなくて技術系なだけだわ

スラドは情報ソース＝リンクしか価値がないんで、偽サイトだとしても全く問題ないわ
まとめブログと同様、単なるリンク集と評価してる

Re:

[Anonymous Coward]

理研の時にスラドの記者が質問してたのすら知らないでdisって、
生きてて恥ずかしくないの？

Re:

[Anonymous Coward]

じゃあ、書き込む人も EV SSL 証明書を持っている人じゃないといけないね!