アカウント名:
パスワード:
デジタル認証が電子商取引に使われる以上、企業としての信頼度が必要になるのは当たり前というか、それが必要ないならオレオレ証明書で問題ないし。 認証局の仕事って証明書と企業の信頼度の紐つけでしょ。それができてないなら、そんな認証局が初期状態で信頼されてるってのは立派なセキュリティホールだと思うけどね。
それが必要ないならオレオレ証明書で問題ないし。
＃だから関係ないとは言いませんが、今回のトピックで問題になる話ではないかと
このページ [tdb.co.jp]には
TDBサーバ証明書はウェブサイト運営企業の実在性とウェブサイトの本人性を証明するものであり、その企業の信用度や支払能力までも保証するものではありません。
と書いてあるんだが。 ま、「保証」しないけど、それとは別に「調査」はしてるようだし、原文には「ますよ?」って疑問符は一応ついてるけど…
それに、「認証局の仕事」は、公開鍵証明書発行と、それに先立つ
でしょ。前者はふつう、CSRの署名検証で、後者がいわゆる審査ですね。
SSLでの信頼性や信頼度は、あくまで「サブジェクト」と「サブジェクトが主張する名前」の紐付けがどれだけ信頼、すなわち論拠にできるか、ってこと。それ以外のこと、たとえば「証明書と企業の信頼度の紐つけ」について、認証局やその証明書を論拠にすることは私にはできませんね。
より多くのコメントがこの議論にあるかもしれませんが、JavaScriptが有効ではない環境を使用している場合、クラシックなコメントシステム(D1)に設定を変更する必要があります。
目玉の数さえ十分あれば、どんなバグも深刻ではない -- Eric Raymond
サーバ証明書って (スコア:5, すばらしい洞察)
--
組織の信頼性をなんらかの方法で証明できるほうがいいとは思うが…
Re:サーバ証明書って (スコア:0)
Re:サーバ証明書って (スコア:1)
＃ここも認証サービス [tdb.co.jp]やってますね。
デジタル認証が電子商取引に使われる以上、企業としての信頼度が必要になるのは当たり前というか、それが必要ないならオレオレ証明書で問題ないし。
認証局の仕事って証明書と企業の信頼度の紐つけでしょ。それができてないなら、そんな認証局が初期状態で信頼されてるってのは立派なセキュリティホールだと思うけどね。
しもべは投稿を求める →スッポン放送局がくいつく →バンブラの新作が発売される
Re:サーバ証明書って (スコア:2, すばらしい洞察)
たとえば、man-in-the-middle攻撃とか防げませんよ。
Re:サーバ証明書って (スコア:1)
通信先までの経路が保障されても通信した先で何してるかわかりません、ってのは通信傍受されてるよりも悪質。
＃だから関係ないとは言いませんが、今回のトピックで問題になる話ではないかと
しもべは投稿を求める →スッポン放送局がくいつく →バンブラの新作が発売される
Re:サーバ証明書って (スコア:1)
このページ [tdb.co.jp]には
と書いてあるんだが。
ま、「保証」しないけど、それとは別に「調査」はしてるようだし、原文には「ますよ?」って疑問符は一応ついてるけど…
それに、「認証局の仕事」は、公開鍵証明書発行と、それに先立つ
でしょ。前者はふつう、CSRの署名検証で、後者がいわゆる審査ですね。
SSLでの信頼性や信頼度は、あくまで「サブジェクト」と「サブジェクトが主張する名前」の紐付けがどれだけ信頼、すなわち論拠にできるか、ってこと。それ以外のこと、たとえば「証明書と企業の信頼度の紐つけ」について、認証局やその証明書を論拠にすることは私にはできませんね。
iida
Re:サーバ証明書って (スコア:0)
違います。
Re:サーバ証明書って (スコア:1)
それは、PKIじゃなくても、ネット以外でも同じことです。
ネットを離れた身の回りで、信頼性をどう捉えているでしょう？
多分、厳密な証明を行っているわけじゃありませんよね。
それと同じことが、ネット上でも必要ってことでしょう。
PKIは、信頼性の判断を補強する材料にはなりえます。
Re:サーバ証明書って (スコア:0)
となると、何を証明すれば、文句を言っている人たちは納得するのだろう?実在性?
…でも実在性と信頼性は関係ないよなぁ。
どっかのあやしげな、詐欺商法な会社だって、
Verisign とかからちゃんと証明書を取得できますよね、
やろうと思えば。
Re:サーバ証明書って (スコア:1)
>Verisign とかからちゃんと証明書を取得できますよね、
>やろうと思えば。
それってライブド(ry
Re:サーバ証明書って (スコア:0)
# あそこは、それ以外の部分で(略)
そういうのでいいなら、他にも
--
今の状況って「報道被害」な面もある気がする AC
Re:サーバ証明書って (スコア:1, 参考になる)
法務局に登記されている会社なら証明書取得は可能ですね。
ベリサインはその組織が実在しているかなんて他人任せの
チェックしかしません。
実在するか怪しくても発行する可能性があるので、信頼性
なんて全く関係ありません。
たとえ暴力団の企業舎弟や幽霊会社で犯罪に使われる恐れが
あっても取れちゃうかもしれません。
逆にまっとうな商売をしていても個人事業では取得できません。