アカウント名:
パスワード:
突き詰めるなら、ブラウザなどにプリインストールされている証明書はいったん全て削除し、信頼できる証明書を自分で選定してインストールすべきですね。以前Comodoの再販業者が、身元確認もせずに正規の証明書を発行して問題になっていました [srad.jp]し。
# 面倒なので僕はやってません
「こいつは大丈夫」って意味じゃなくて「こいつはB氏本人です」って意味に過ぎませんよ。
B氏を信用するかどうかはあなた次第。信用しないなら、そのサービスを利用しなければいいだけです。
あなたにとっては名前を聞いたことがない会社かもしれませんが、ブラウザの開発元が「信用していいよ」っていってる組織なのです。それすら信頼できないというのは単に価値観の話ですが、少なくともオレオレ証明書と同等だとは思えません。
「ルート証明書もオレオレ証明書と同様に信頼できない。」 A:「だから、すべてのサイトで秘密情報を一切送信しない。」 B:「だから、オレオレ証明書のサイトでも躊躇なく秘密情報を送信する。」Aならともかく、Bは無いと思います。
「信頼」という言葉に過度に期待しすぎているのではないかと感じました。認証局に期待していいのは「鍵(証明書)がちゃんと管理されてる」ってことぐらいです。
「ちゃんと管理された鍵で暗号化されているから、秘密は守られる(通信経路上に限る)」「ちゃんと管理された証明書がついているから、本物だと確認できる」ただそれだけです。それだけですが、上記が「確実である」というのは、非常に意味のあることだと思います。
あなたが「認証局が鍵を紛失してるかも」って思うのは自由ですが、私はそういった話を聞いたこともありませんし、仮に漏れても失効リストが
> それをなぜ期待していいんですか?技術的に期待してよい範囲について書いたつもりでした。無論、最終的には人が処理する事ですから期待が裏切られることはあるとおもいます。これ以上のこと(証明書の発行先が健全な会社である等)を期待するのは、そもそも期待過剰だと言いたかったのです。
> ちゃんと管理されてなかった例がほかのコメントにあったように思いますが。 #1706525 [srad.jp]の話だと思いますが、あちらのストーリーについているコメント [srad.jp]によると、件の証明書はPKIの仕組みに従って、すぐに失効されたようです。
> オレオレというだけで信頼してはいけない、とはなら
ブラウザの開発元が認証局が信頼できるものかどうかを判定しているわけではなくて、WebTrustつまり米国とカナダの公認会計士協会が判定したものを受け入れているだけです。
とはいえ最終的に判断するのはブラウザの開発元なので、例えばIEはMicrosoftの独自認証局が入ってたり、WebTrust認定されてない段階で日本政府をフライング登録 [srad.jp]したりしますが。
より多くのコメントがこの議論にあるかもしれませんが、JavaScriptが有効ではない環境を使用している場合、クラシックなコメントシステム(D1)に設定を変更する必要があります。
クラックを法規制強化で止められると思ってる奴は頭がおかしい -- あるアレゲ人
オレオレで結構 (スコア:0)
オレオレよりも信頼できると考える理由がわからない。
Re: (スコア:0)
Re: (スコア:0)
ルート証明書を信頼済みにしたIEがインストールされます。
で、そういうルート証明書がオレオレ証明書より信用できる
理由はどこにもないと思うのですが、どうでしょう。
オレオレ証明書を信用しろといってるのではなく、
正規の証明書もオレオレと全く同様に、信用しないのが
いいのではないかと思うのです。
Re: (スコア:0)
突き詰めるなら、ブラウザなどにプリインストールされている証明書はいったん全て削除し、信頼できる証明書を自分で選定してインストールすべきですね。
以前Comodoの再販業者が、身元確認もせずに正規の証明書を発行して問題になっていました [srad.jp]し。
# 面倒なので僕はやってません
Re: (スコア:0)
私だったら、友人Aを信頼していたとしても、
彼が「こいつは大丈夫」と太鼓判を押すB氏を
Aと同等に信頼することは出来ません。
Re: (スコア:2, すばらしい洞察)
「こいつは大丈夫」って意味じゃなくて「こいつはB氏本人です」って意味に過ぎませんよ。
B氏を信用するかどうかはあなた次第。信用しないなら、そのサービスを利用しなければいいだけです。
Re: (スコア:0)
おっしゃるとおり。勘違いしてました。
問題は、認証局そのものを信用していいものかどうかが
わからんというところだった、というわけですね。
Trusted AuthoritiesにはいってるAAAとかいう
名前を聞いたこともない会社が、この人はBさんですと
保障してくれても、だから何? と。
# まだ何か間違ってるかな...
Re: (スコア:1, すばらしい洞察)
あなたにとっては名前を聞いたことがない会社かもしれませんが、
ブラウザの開発元が「信用していいよ」っていってる組織なのです。
それすら信頼できないというのは単に価値観の話ですが、少なくともオレオレ証明書と同等だとは思えません。
「ルート証明書もオレオレ証明書と同様に信頼できない。」
A:「だから、すべてのサイトで秘密情報を一切送信しない。」
B:「だから、オレオレ証明書のサイトでも躊躇なく秘密情報を送信する。」
Aならともかく、Bは無いと思います。
Re:オレオレで結構 (スコア:0)
仕込んだりはしないだろうという意味での信頼で、
彼らに認証局が信頼できるものかどうかを判定する能力が
あると考えているわけではない、としたらどうでしょうか。
私のスタンスは、秘密情報を送信するかどうか判断する際に
証明書がオレオレかどうかは判断材料にしない、です。
どなたかが書いてましたが、プリインストールのルート証明書を
全部消すのと同じイメージ。BよりはAに近いか、と。
Re: (スコア:0)
「信頼」という言葉に過度に期待しすぎているのではないかと感じました。
認証局に期待していいのは「鍵(証明書)がちゃんと管理されてる」ってことぐらいです。
「ちゃんと管理された鍵で暗号化されているから、秘密は守られる(通信経路上に限る)」
「ちゃんと管理された証明書がついているから、本物だと確認できる」
ただそれだけです。
それだけですが、上記が「確実である」というのは、非常に意味のあることだと思います。
あなたが「認証局が鍵を紛失してるかも」って思うのは自由ですが、
私はそういった話を聞いたこともありませんし、仮に漏れても失効リストが
Re: (スコア:0)
それをなぜ期待していいんですか?
ちゃんと管理されてなかった例がほかのコメントにあったように思いますが。
> オレオレ証明書という1点だけで「秘密情報を送信していけない」決め手になると思います。
それがおかしいと思うんです。
正規の鍵というだけで信頼してはいけない、はそのとおりですが、
オレオレというだけで信頼してはいけない、とはならんと思うのです。
たとえば、この件はオレオレだったわけですが、官報かなんかで
フィンガープリントを比べればいいわけでしょう。
Re: (スコア:0)
> それをなぜ期待していいんですか?
技術的に期待してよい範囲について書いたつもりでした。
無論、最終的には人が処理する事ですから期待が裏切られることはあるとおもいます。
これ以上のこと(証明書の発行先が健全な会社である等)を期待するのは、そもそも期待過剰だと言いたかったのです。
> ちゃんと管理されてなかった例がほかのコメントにあったように思いますが。
#1706525 [srad.jp]の話だと思いますが、あちらのストーリーについているコメント [srad.jp]によると、
件の証明書はPKIの仕組みに従って、すぐに失効されたようです。
> オレオレというだけで信頼してはいけない、とはなら
Re:オレオレで結構 (スコア:1)
ブラウザの開発元が認証局が信頼できるものかどうかを判定しているわけではなくて、
WebTrustつまり米国とカナダの公認会計士協会が判定したものを受け入れているだけです。
とはいえ最終的に判断するのはブラウザの開発元なので、
例えばIEはMicrosoftの独自認証局が入ってたり、WebTrust認定されてない段階で日本政府をフライング登録 [srad.jp]したりしますが。