パスワードを忘れた? アカウント作成
この議論は賞味期限が切れたので、アーカイブ化されています。 新たにコメントを付けることはできません。

無料Phishing対策ソフトが登場、しかし問い合せ画面は「オレオレ証明書」」記事へのコメント

  • おれおれ証明書って、もう当たり前のように使われてるんじゃないかと思うよ。あちこち使ってる感じじゃ。わざと言うより、経営側がコストけちってるとか、技術者が無知なのか。まぁ、前者だろうけど。技術への中途半端な理解が原因なのかなぁ。

    #NetscapeでHotmailのSSL認証にアクセスすると証明書を認めてくれないんよね。セッション中だけ通すことで使ってるけど、あれも問題ある証明書なのかしらん。

    • オレオレ証明書でも、他の方法で広くフィンガープリントを入手できるようになっていれば問題なんですがね。
      #そういうのはオレオレ証明書って言わないんでしょうか?
      • 前回ここでネタ [srad.jp]になったときに紹介された所の説明 [takagi-hiromitsu.jp]よると、ちゃんと運用されていればオレオレ証明書にはならないでしょうね

        ただし、認証や、アクセス規制がかからず公開されているWebページで使用されている自己発行証明書はオレオレ証明書扱いでしょう

        認証等で制限され、使用者すべてに自己証明書等が配布されている
        • > フィンガープリントだろうと、別ルートで公開キーを安全に入手出来るようにしてあろうと
          > それを該当ルートで入手してない人にとってはオレオレ証明書と変わらない訳だし、

          素朴な疑問として、ダウンロードしてきたブラウザとか、
          プレインストールさていたOSに最初から入っている証明書、というのは、
          どういう扱いになるんでしょうか?
          それを別途検証して使っているという人をあまり見たことがありませんが。
          そういう意味では、そういうものもオレオレ証明書と変わらん、
          と結論付けざるを得ないのではないでしょうか。
          • 信頼出来るルート=流通経路、配布元が信頼出来るかどうかでしょうから、無論その流通ルートが信頼に足る物では無いと判断するのであればオレオレ証明書と変わらないでしょう

            逆に言えば配布元、配布ルートが信頼できる物でありえるのであればそれはオレオレでは無いと言うことになります
            最終的に判断するのは使用者であり購入者です
            まぁいい加減な証明書を添付して配布していたら、購入者以外の人からのつっこみも有るかもしれませんね
            Microsoftや各ブラウザ提供者が配布している証明書は少なくとも信用できると一般的に判断されている?から使用されているのでしょう。

            そして各証明書等を持っていない場合は信頼できるかどうかですら、判断されていないわけですから、当然オレオレ証明書となるわけです
            • by Anonymous Coward on 2005年10月28日 18時40分 (#821855)
              たとえばFirefoxなんかは http://ftp.mozilla-japan.org/... とSSL通さずに配布されてる訳で、オレオレ証明書の危険性として指摘されている、経路迂回とかされちゃうと容易に配布元と違ったものがユーザの手に渡ってしまう事になりますね。
              こういうブラウザとかをダウンロードしてルート証明書まで確認する人がどれだけいるか?と言えば、ほとんどの人はそんなものまで確認しないんじゃないかな?

              でもなぜか信頼されてますよね。
              信頼されてると言うより、そこにオレオレ証明と同様な危険性があるとは誰も気にしていないし指摘している人もいないというか。
              それに対して、いわゆるオレオレ証明に対してはヒステリックに拒絶をするというのは、危険性の指摘にバランスを欠いていると感じます。

              ブラウザがhttpなんだからオレオレ証明でもいいじゃないかとか、オレオレ証明で騒ぐぐらいならブラウザの配布も問題にしろという話ではなく、どちらも同程度の危険性がある(むしろブラウザの方が明確にユーザがルート証明をインストールするという手順を経ない分危険かもしれない)にも関わらず、危険性の指摘がバランスを欠いているという事に対して、直感的な違和感があるというだけですが。

              親コメント
              • Firefoxのインストーラには Mozilla Foundation のデジタル署名があります。
                是非確認してみてください。ただし、V1.0には署名がありません。

                Windwos XP SP2 だと、チェックが少し楽になってます。
                インターネット経由でダウンロードしたプログラムには「インターネットからダウンロードした」というマークが付き
                コード署名されて正当性が確認できたときは軽い警告(黄色)が出て、そうでないときは強い警告(赤色)が出たはずです。
                親コメント
              • そうですね、オレオレと同様に配布元、流通側の双方も改竄されていないか、そして流通側は各配布元に秘密キーの管理体制を含め検査しているかどうか?等を確認する手段をもうけ
                出来るだけ安全な方法で配布する事が必要だと思います。

                Firefoxを使ってSSLでアクセスするのであれば当然考慮した方がよいでしょうし、信用できなければSSLのアクセスには使用しない方が良いでしょう
                オレオレと同程度に危険だと思いますし当然でしょう。
                SSLは公開キーの配布元、流通元、流通方法のすべてが信用できて初めて使用できる物だと考えます。
                もっともこれは公開キー暗号方式全般に言えることではあるのですが..
                親コメント
              • 代わりに実行ファイルに署名が付いてますけど、Win32版インストーラーだけですね。
              • そこにオレオレ証明と同様な危険性があるとは誰も気にしていないし指摘している人もいないというか。
                気にされてるし、指摘されてきましたが。あなたが知らなかっただけでは?
                「どうすればFirefoxを信じられる?」の件がやっと対処 [srad.jp]
              • あぁ舌っ足らずだ(苦笑)

                ちなみに..
                >SSLは公開キーの配布元、流通元、流通方法のすべてが信用できて初めて使用できる物だと考えます。

                この条件に合致するのは、あくまでrootCAの話で一般の公開キーは対象外です。
                親コメント
              • > 信用できなければSSLのアクセスには使用しない方が良いでしょう

                なぜSSL(TLS)限定?
                そこまで信用できないのなら、素のHTTPのアクセスだってぁゃιぃじゃありませんか。
                まあ、ソースコードを検証した上で、安全なOS・コンパイラでソースからmakeしたFirefox、
                というのなら話は別ですが、それは、自己署名証明書のフィンガープリントを検証するより
                はるかに難易度が高いのではないでしょうか?

                > オレオレと同程度に危険だと思いますし当然でしょう。

                それよりはるかに危険ですよ。
                だって普通、Firefoxのインストールって、管理者権限でバイナリを実行するでしょ?
                そんなことができるんだったら、ユーザのPCにイタズラし放題ですから。

                > SSLは公開キーの配布元、流通元、流通方法のすべてが信用できて初めて使用できる物だと考えます。

                で、その配布・流通を助ける一手段として、フィンガープリントが準備されているわけですが、
                なぜそこまでフィンガープリントを否定するんでしょうか?

                危険性の見積において、全体のバランスが取れていない印象を受けます。
                親コメント
              • で、そのMozilla Foundationの証明書の発行元って、Thawteなんですよね。
                同じThawte発行の証明書で、こういう問題 [srad.jp]が指摘されています。
                親コメント
              • 同じThawte発行の証明書で、こういう問題 [srad.jp]が指摘されています。
                そのリンク先のどこに Thawte の問題が書いてあるの?
              • #821855です。

                コード署名というのは、「改竄の可能性がある」と認識している人が「改竄されていない」と確認するための手段に過ぎません。
                いくら本物にデジタル署名を施しても、「改竄の可能性がある」と認識していない人には何の役にも立ちません。

                高木さんが「オレオレ証明は危険だ」と指摘し、広報しているのと同様以上の情熱(?)を持って、広く一般に「Firefoxをダウンロードしたらデジタル署名を確認しないと危険だ」と指摘し、広報している人がいますか?
                多くの確認もせずに使っている人が危険にさらされているという事を気にしている人がどれだけいますか?
                自分が危険かもしれないと考えている人はいるでしょうが

              • 高木さんが「オレオレ証明は危険だ」と指摘し、広報しているのと同様以上の情熱(?)を持って、広く一般に「Firefoxをダウンロードしたらデジタル署名を確認しないと危険だ」と指摘し、広報している人がいますか?

                これ [takagi-hiromitsu.jp] とかこれ [takagi-hiromitsu.jp] とかありましたね。

                少なくともmozilla-japan.orgのページには「ダウンロードしたらデジタル署

              • コード署名は改変されて無いらしいという意味しかないわけで
                悪意のあるスパイウエアとかにもコード署名は出来ちゃう。

                署名を良く見て判断ということになるのですが
                ホストのURLを注意深く確認するのは大変そう。

物事のやり方は一つではない -- Perlな人

処理中...