「SSL/TLS証明書再販業者Trustico、メールで顧客の秘密鍵を送りつけて強制的に証明書を失効させる暴挙」記事へのコメント

そもそも崩壊していたのでは？

[Anonymous Coward]

メールで秘密鍵を送信したって事は、

• Trusticoが鍵を保管していた。
• そして鍵を第三者に送るような会社だった。

って事でしょ。
セキュリティとしては危険性が明確になりむしろ改善したといえる。
BRを基準として判断しているならそれが逆と判断されかねない。

誰にが思っているだろうけど、SSLはゴミ。
秘密鍵はサーバーで生成され、自由な強度が可能であるべき。SSHはそうなってる。
必ずインターネットその他の伝送路を介したり第三者を信用しなければいけない時点で話にならない。
中間者攻撃を恐れるなら公開鍵やそのハッシュとドメインや所有者に対して署名すればいいだけ。
相互承認を行って一つの会社の公開鍵が既知なら連鎖的に全てのサイトの鍵を検証できる仕組みなら望ましかったと思う。

Re:そもそも崩壊していたのでは？

[Anonymous Coward]

この文脈のSSLというのはPKIのことだと思うがもう一般的には区別されてないのかな

Re:

[Anonymous Coward]

元コメの理解が足りないんだと思う。