「NTT西日本、問い合わせサイトのSSLが「オレオレ証明書」」記事へのコメント

証明書の取らせかた

[Anonymous Coward]

この手のシステム構築のとき「証明書取って」と言うと、たいてい「暗号化はされてるから問題ないじゃん」と返されます。なぜ証明書を取った方が良いかを説明してもなかなか納得してもらえません。

この手の隙をついた攻撃があまり無いから具体例として被害の例も挙げることが出来ないですし、イマイチ良い説得方法が見付かりません。

...みなさんどうやって説得してるんですかね？

Re:証明書の取らせかた

[wtnabe (16084)]

• まともなブラウザか IE でも安全よりの設定
• 初心者

を用意して、できるだけ決済権に近い人の目の前でテストすることができれば、警告が表示されたときに戸惑う様を見せることができます。

というか、たいてい決裁権者は初心者なので、まともなブラウザや IE でも安全な設定で使わせて、警告を見せることができれば「かっこ悪い」と感じると思います。「なんだこの邪魔くさい感じは」と思わせれば少し道が開けるんじゃないでしょうか。

Re:証明書の取らせかた

[Anonymous Coward]

これをすると「ダイアログがでるのが問題だ」と誤解されてしまいます。
やはりマジメに危険性を訴えていくしかないかと。
過去の被害がまとまっている資料があればよいのですけど。

Re:証明書の取らせかた

[U-Chan (6901)]

そうなると、

　本物サイト←→中継サイト←→被害者

のデモ環境を作って、一通り実際に操作させてから「ほら、それだと全部だだ漏れになってます」と見せるしかないのかなぁ。