「GoogleがHTTP接続時に「安全でない」と明示することを提案」記事へのコメント

まあ確かに

[Anonymous Coward]

怪しい証明書のhttpsではしつこいくらいの警告を出したりするのに
httpでは大したことしない、というブラウザはポリシーがよく分からない。

Re:まあ確かに

[Anonymous Coward]

ですね。HTTPSだけですと、HSTSを使っても初回訪問時にHTTPで中間者攻撃ができてしまいます。
それを防ぐ方法として下のようなPreloaded HSTSへ登録するという手法がありますが、
あまり普及していませんし、スケールしないので普及できるものでもないです。
この問題を防ぐには、HTTPに警告を出すしか無いでしょう。

cybozu.com を真に常時 SSL にする話
http://developer.cybozu.co.jp/tech/?p=6096 [cybozu.co.jp]

Re:

[Anonymous Coward]

異常なものに警告を出して
正常なものには警告を出さないのは
至って普通ではいかと

Re:

[Anonymous Coward]

異常なものに警告を出す目的は「安全のため」なので
httpが安全でないなら当然警告するべきでは。

Re:

[Anonymous Coward]

いや別にそこは問題にすべきところじゃないと思う。
httpsだと、普通は「暗号化」に加え「正しいホストだと確認」することを期待してる。
怪しい証明書の場合、httpsだから一見安全そうだけどホストが本物かどうかわからないから警告する。
httpは何も気にしないモードだから警告もクソもない。

たぶん、証明書まで検証するかどうかで分けられればいいんだろうなぁ。httpssで検証付きみたいな。
検証モードで、証明書まで検証してダメなら警告出せばいいし。
とりあえず暗号化されてればいいか、ってサイトもあるし(某掲示板とか)、そこは証明書検証なしでいいし。

httpss 証明書検証付き暗号化
https 暗号化のみ
http なにもなし

みたいになれば。

Re:まあ確かに

[Anonymous Coward]

もっと信頼チェーンや中間者攻撃を勉強しましょう。# 検証なしで暗号化は全く無意味

Re:

[Anonymous Coward]

検証なしで暗号化は全く無意味ではありません。

Re:まあ確かに

[Anonymous Coward]

全く無意味です。
鍵交換を安全にできないなら暗号化する意味がない。

Re:

[Anonymous Coward]

盗聴できるけど改ざんできない(しにくい)状況では意味を持ちます。
そしてそういう状況は現実に割と多いです。

Re:

[Anonymous Coward]

そのような状況でも全く無意味ですね。

Re:

[Anonymous Coward]

JavascriptでOff-the-Record Messaging Protocol (OTR)あたりを使えば、意味がないことは無いかもしれませんが…

Off-the-Record Messaging Protocol implemented in JavaScript
https://github.com/arlolra/otr [github.com]

でも、悪意ある無線LANや経路ハイジャックを考えると、やっぱりHTTPSが欲しいと思いますね。

Re:

[Anonymous Coward]

おいおい。冗談だろ。
無意味だよ。まさか本気で...

Re:

[Anonymous Coward]

httpだってホストが本物かどうかわからないんだから警告する理由はある。
「一見安全そうだけど」などという前提条件に何の意味があるのか。