パスワードを忘れた? アカウント作成
この議論は賞味期限が切れたので、アーカイブ化されています。 新たにコメントを付けることはできません。

EV証明書を使用して既知の企業になりすませる可能性が指摘される」記事へのコメント

  • >EV証明書では厳格な審査が行われるとされ、アドレスバーが緑色に変われば安心ともいわれるが、実際には会社を設立すれば比較的簡単に取得できてしまうという。

    表示の実装方法云々じゃなくて、審査が不十分なのが全ての問題。ここを直さないと他にも問題がボロボロ出てくるし、逆に直せばほぼ全ての問題が解決する。

    --
    しもべは投稿を求める →スッポン放送局がくいつく →バンブラの新作が発売される
    • by Anonymous Coward on 2017年12月16日 14時37分 (#3330868)

      >Safariの場合、EV証明書を使用したWebページではアドレスバーにURLが表示されず、発行先の会社名のみが表示される

      >Safariのアドレスバーではstripe.ian.sh、stripe.comともに「Stripe, Inc」と表示されるのみで見分けがつかない。

      明らかに表示に問題があるだろ何いってんだ。

      親コメント
      • なかなか難しい (スコア:4, 参考になる)

        by ogino (1668) on 2017年12月16日 16時59分 (#3330908) 日記

        「アドレスバーでは…見分けがつかない」というのはより正しくいえば「アドレスバーをクリックしなければ見分けがつかない」ですね。このあたりスマートフォンなど画面の狭い UI と共通化を図っているせいかもしれません。

        逆に、他のブラウザでは URL と EV 証明書の組織名を両方表示しようとして、両方とも先頭部分しか表示されない場合がある、とも言えます。すると先頭部分だけ URL を似せておけば見ただけでは区別がつかない、という問題がでることになります。(Safari ならばクリックすると組織名の部分が URL になるのでスペース的に余裕がある) Chrome on iOS ではIPA [ipa.go.jp]の EV 組織名表示がされません。Safari on iOS なら Information-technology Promotion Ag ぐらいまで表示できます。

        # どちらかというと、Safari が EV 証明書の国コードを表示しない方が不安ではあります

        # 手元の IE11 on Win7 はタブの左のごく狭い場所にアドレスバーが表示される……解像度のせいか?

        もし、ユーザが接続したいサイト(企業)の正しい URL を知っていると仮定できるのなら、EV 証明書は不要でドメイン名を保証する証明書で構わなかったはず。EV 証明書は組織の正しいドメイン名を知らなくても組織を特定できるようにという意図で生まれたはずなので、両方を同時に表示して先頭部分しか表示されないよりも、より組織名・URL を表示するスペースを確保する、という考えも理解できます。

        ドメイン名を表示しておけばユーザーの責任、というのは多分間違いだと思うのですが、正しい組織名を表示してダメだとなると、州名など住所をより詳しく表示して情報量を増やすぐらいしか思いつきません。これをするとますます URL 表示に割ける面積が減ることになりますから、URL を常時表示するのは諦めた方が正解かも、とも思います。

        親コメント
        • このあたりスマートフォンなど画面の狭い UI と共通化を図っているせいかもしれません。

          これはセンスの無い設計ですね。画面(特に横幅)が狭いのでやむを得ず省略している情報は、PCの広い幅の画面ではきちんと表示すべきです。

          逆に、他のブラウザでは URL と EV 証明書の組織名を両方表示しようとして、両方とも先頭部分しか表示されない場合がある、とも言えます。すると先頭部分だけ URL を似せておけば見ただけでは区別がつかない、という問題がでることになります。

          確かにその通りですね。

          ドメイン名を表示しておけばユーザーの責任、というのは多分間違いだと思うのですが、正しい組織名を表示してダメだとなると、州名など住所をより詳しく表示して情報量を増やすぐらいしか思いつきません。これをするとますます URL 表示に割ける面積が減ることになりますから、URL を常時表示するのは諦めた方が正解かも、とも思います。

          スマホについては常時表示を諦めて、スクロールで消えるようにするしかないと思います。

          しかし、PCの場合は、アドレスバーを2行にする程度の余裕はあるので、EV証明書の場合は下記のように番地まで表示すべきだと思います。Stripe, Inc の場合には、次のようになります。

          🔒Stripe, Inc | https://stripe.ian.sh/
          212 N. 2nd St, STE 100, Richmond, Kentucky, 40475, US

          🔒Stripe, Inc | https://stripe.com/
          3180 18th St., Suite 100, San Francisco, California, 94110, US

          ゆうちょダイレクトだとこんな感じで、千代田区霞が関1-3-2のゆうちょ銀行なんだな、とユーザーが確認できます。

          🔒JAPAN POST BANK Co., Ltd. | https://direct.jp-bank.japanpost.jp/tp1web/U010101SCK.do
          1-3-2,Kasumigaseki, Chiyoda-Ku, Tokyo, 100-8798, JP

          ※上記の番地情報は、実際に使われている EV 証明書の Subject に含まれている Object Identifier (2 5 4 9) の Street address [oid-info.com] (CA/Browser Forum のガイドラインでは必須ではない) の情報

          スマホの場合も同じようにアドレスバーをURLと住所の2行で表示して、下にスクロールすれば隠れるようにすれば良いのではないでしょうか。

          意図的に組織名を長くして全部表示できなくするといった悪用方法も考えられるので、組織名や住所は省略表示をせずに長い場合には折り返し表示(3行以上になる)すれば良いと思います。

          親コメント
        • by Anonymous Coward

          ドメイン名、組織名(重複容易な為)、国と組織名(同一国内で重複出来ないとする)、国と組織名と所在地、国と商標、何を表示したとしても、ユーザがその名称と自分の目的とするサービスの持つ名称を比較しなきゃならないのは同じかと思います。

          ユーザが正しく認知している可能性が高いのを選ぶべきと考えると、商標で排他するか、
          ドメイン名ないし組織名を積極的に広報してもらってそれ表示するのが一番安全って事になると思うのですが、
          1組織で複数のサービスを展開することを考えるとドメイン名で済ますのが一番安全な気がします。

          もうどうせ大体のブラウザは国際化ドメイン名に対応しているのだし、
          「~で検索」とか言ってないで「国際化ドメイン名でサービス名.jp」へアクセス!とかCMすればいい。

          # 価格.com は早いところ xn--1sqt31d.com を取ってそっちでもサービスするべきだと思う。

      • by Anonymous Coward

        それはsafariの問題だよね。完全に。

アレゲはアレゲ以上のなにものでもなさげ -- アレゲ研究家

処理中...