「北京で店舗が提供する公衆無線 LAN に対し監視ソフトの導入を義務化」記事へのコメント

金盾はVPN検閲出来なかったはず

[hgsdrk (13085)]

>記事では Web であることが強調されているので、じゃあ SSH や VPN でどこかに抜けて……とも思ったが結局金盾が待ち構えているわけで

金盾はVPNの通信内容までは検閲できないので、VPNで海外に抜ければ、金盾はスルーできるんじゃないでしたっけ。現時点では。
VPN接続を切断することは出来るけど。
で、記事の装置は、「公衆無線LANからVPN張った奴って誰？」というのも含めて、利用者を特定するための装置ってことなんでは。

Re:

[Anonymous Coward]

そこでCNNICのルート証明書ですよ。すでにFirefoxには入っています。
理論的には企業がエンタープライズ証明書でSSL暗号を解除して検閲するのと同じことができるはずです。

Re:

[Ryo.F (3896)]

理論的には企業がエンタープライズ証明書でSSL暗号を解除して検閲するのと同じことができるはずです。

よく知らんので教えて欲しいんだが、どういう仕組みで「解除」できるんだ？そもそも「解除」ってのは、傍受の事なのか？それとも遮断の事なのか？
認証局側でサーバ証明書の鍵ペアを生成するのであれば、いろいろ悪さをできるのは理解できるけど、そう言う意味なのか？
それとも、認証局が偽証明書を発行して中間者攻撃とか？

Re:

[Anonymous Coward]

先日セミナーで聞いた程度の情報ですが、
とあるプロキシ型WEBセキュリティ製品の場合。

１）クライアントがHTTPSで通信を行う。
２）HTTPSサーバからの応答は、プロキシが復号化して、中身を検閲。
　　ここで言う検閲はVirusスキャンとかですが。
３）その後自身のSSL証明書を使って再度暗号化し、クライアントへ。

当然クライアントにはプロキシのSSL証明書で暗号化された状態で応答が届くのですが、
その機器が導入されていることがユーザにきちんと周知されていれば、問題ないはずです。

「封蝋をして手紙を送ったら、一度開封された後、検閲済みの封蝋を押されて届いた」ような状態かと。

Re:金盾はVPN検閲出来なかったはず

[Ryo.F (3896)]

なるほど。検閲したことを知られたくないわけではないから、それでも良いのか。

しかし、プロキシ側で、有効期限切れとかオレオレ証明書とかをブロックしちゃうと、いろいろとアクセスできないサイトが出てきて困りそうだなあ。まあ、それが組織のポリシってもんだろうけど。クライアントでは証明書の検証は行えないだろうから、ブロックしないわけにも行かない気もするし…

Re:金盾はVPN検閲出来なかったはず

[M-FalconSky (8868)]

まあでも、そういうのが増えると、あれなオレオレ系とかは徐々に減る...かなぁ?

それより先に犯罪側が正規の証明書を完備しちゃうだろうけど(今も一部は正しい証明書だったりするしねぇ)

--
M-FalconSky (暑いか寒い)