「NTT西日本、問い合わせサイトのSSLが「オレオレ証明書」」記事へのコメント

盗聴される？

[Anonymous Coward]

>これでは入力する個人情報も盗聴されてしまいかねない。

自認証局による証明書だって*暗号化には*問題ないんじゃ？

# 「オレオレ証明書」って初めて聞いたのでAC

Re:Linux やOS X の人

[namatias (4000)]

プライベート認証局がきちんと運用されていれば問題はありません．高木氏の分類では，そのようなものもオレオレ証明書（第三種）としているので，その点については，多少問題があるように思えます．

違う

[Anonymous Coward]

ここ [takagi-hiromitsu.jp]でも読めば、プライベート認証局と高木氏の言う第三種オレオレ証明書の違いがわかる。

Re:違う

[namatias (4000)]

ルート証明書を安全に配付，という言葉には，プライベート認証局をきちんと運営している，という意味も含まれるし，プライベート認証局，という用語を使った時点で当然のことながら，CPやCPSは設定されていると仮定されると思うのは世間を信用しすぎなのだろうか．

もちろん，上の匿名投稿で言いたかった内容は理解できるけど，，，

Re:違う

[Anonymous Coward]

要は..

1.証明書を、証明局が正式に発行した物で有ると確認出来る方式で渡せること
    (ネットワーク経由は偽装可能なので不可)
2.責任範囲は自社内等組織内で閉じている方が好ましい
    最低限でも何かあったときに即座に対応出来る範囲でなければならない
3.CAの秘密鍵は物理的にも論理的にも厳重な環境で保管されていること

上記運用状態がサービス停止まで継続して実施され、サービス停止後には責任をもって無効に出来る事

まぁ第三者にちゃんと提供するなら証明書買った方が安いとは思うね