アカウント名:
パスワード:
一番正しいのはオレオレも弾くってのだろうけど、それはそれで現実的で無いし。
つーか、真っ当な機関なら失効しない様にちゃんとチェックしとけ、ってだけで良いんでない? 失効に対してオレオレ証明も用意しないんであれば、そりゃ見てもらう前提では無いって事で。
より多くのコメントがこの議論にあるかもしれませんが、JavaScriptが有効ではない環境を使用している場合、クラシックなコメントシステム(D1)に設定を変更する必要があります。
日々是ハック也 -- あるハードコアバイナリアン
正しいんでは? (スコア:2, 興味深い)
一番正しいのはオレオレも弾くってのだろうけど、それはそれで現実的で無いし。
つーか、真っ当な機関なら失効しない様にちゃんとチェックしとけ、ってだけで良いんでない?
失効に対してオレオレ証明も用意しないんであれば、そりゃ見てもらう前提では無いって事で。
Re:正しいんでは? (スコア:0)
信頼されていないオレオレ証明書でも先に進めないようにしろ、ってことでしょう?
信頼できないという点で脅威の度合いは同じなんだし、差がついている理由がまったく無い。
Re:正しいんでは? (スコア:1)
いいえ、脅威の度合いは違うと思います。
失効されているというのは、信頼できないという事です。
検証パスが通らないという事は、信頼できるとは言えないという事です。
前者は断定であり後者は疑念ですから、意味が違うと思います。
安全側に振るために両者を区別せず扱えという主張は、一つの考えとして理解できます。
ただ検証パスが通らないのは、ユーザ側では対処しようがない場合も有りますし、
100%賛同とまではできないですね。
私としては、警告が表示されるオレオレ証明書よりも、正しく認証されて警告も
表示されないけど、実際にはサイト運営者の本人性について全く確認されていない
証明書の存在の方が問題と思っています。
認証運用規程で表明したとおりの認証手続きに従って発行された証明書ならば、
その認証方針を納得できるかどうかは利用者側で判断すべき問題です。
しかしそういう判断ができないのが大多数だからオレオレ証明書が問題とされて
いるのですよね。警告が表示されない分、オレオレ証明書より悪用された場合の
危険度は高いとしか思えません。
Re:正しいんでは? (スコア:1)
しかし、実務的な面からは、IE7の実装も大いに理解できる。
すっごく身近な例だと、今Webベースの管理ツールとか標準で用意しているソフトなんか山ほどあって、そのほとんどが自己署名証明書を作成して、アクセスにはSSLを使わせるわけだけど、そのときいちいち先に進めなくなるとやってられない、という状況も起こるわけでして、まあ、このように管理者やインテグレータが困るのは氷山の一角で、世の中には、立派に使用されているプライベート証明書もたくさんある、それが使えなくなると、よほど混乱が起こると思う。
もちろん、ルート証明書をインポートしておけばよいのだけど、大きな問題として、ルート証明書の重要性というのが、いまいち理解しがたいという点がある。たとえばPKIを説明するときに、証明書はパスポートと同じ、って説明できるけど、じゃあ、パスポートを発行している日本を証明した証明書なんてないわけだし、メタファとして説明しづらい、って言うのがある。技術的に仕組みがわかると、なるほど大納得なんだけど、利用者に理解してもらうのは、おそらく非常に難しいでしょう。
それから、何でもかんでもオレオレ証明書と片付けられる風潮が作られつつあることも問題だな。今回の件のように、あまり一般に知られていない情報を広く公開してくれて、高木氏の活動には敬意を払わなければならない部分が非常に大きいのだけど、このキーワード主義は感心できないな...