「「本物の」サーバ証明書を持つフィッシングサイト」記事へのコメント

サーバ証明書って

[docile-jp (16652)]

サーバ証明書って本来、そのサーバを持つ組織の信頼性を証明するものではないはずなので、発行する側でこれ(フィッシング)を完全に防ぐのは難しいのでは。

--
組織の信頼性をなんらかの方法で証明できるほうがいいとは思うが…

Re:サーバ証明書って

[Anonymous Coward]

組織の信頼性って、証明できるんだろうか？

Re:サーバ証明書って

[akiraani (24305)]

　日本の話になっちゃいますが、帝国データバンク [tdb.co.jp]とかはそういう信頼性を調査してると思いますよ？
＃ここも認証サービス [tdb.co.jp]やってますね。

　デジタル認証が電子商取引に使われる以上、企業としての信頼度が必要になるのは当たり前というか、それが必要ないならオレオレ証明書で問題ないし。
　認証局の仕事って証明書と企業の信頼度の紐つけでしょ。それができてないなら、そんな認証局が初期状態で信頼されてるってのは立派なセキュリティホールだと思うけどね。

--
しもべは投稿を求める →スッポン放送局がくいつく →バンブラの新作が発売される

Re:サーバ証明書って

[kgw (29702)]

サーバ証明書について誤解されているようですが、

それが必要ないならオレオレ証明書で問題ないし。

オレオレだと通信相手のサーバがURLの指し示している相手かどうかが保証されません。
たとえば、man-in-the-middle攻撃とか防げませんよ。

Re:サーバ証明書って

[akiraani (24305)]

　いや、中間者攻撃は通信先を送信者が信頼している場合に問題になるのであって、そもそも通信先が信頼できない今回のケースはそれ以前の問題。
　通信先までの経路が保障されても通信した先で何してるかわかりません、ってのは通信傍受されてるよりも悪質。

＃だから関係ないとは言いませんが、今回のトピックで問題になる話ではないかと

--
しもべは投稿を求める →スッポン放送局がくいつく →バンブラの新作が発売される