「トルコの認証局、手違いで中間CA証明書を発行。早速攻撃に使われる 」記事へのコメント

updateできないデバイスは危険

[Anonymous Coward]

iOSやレガシーなガラケー（フィーチャーフォン）など、ファームウェア組み込みの証明書の有効無効が
個別対応できないものは全部危険ですね。今思いついたのはその二つですが、まだまだあると思います。

Re:

[Anonymous Coward]

日本のフィーチャーフォンにトルコの認証局の証明書が入っているとはとても思えない。

Re:

[Anonymous Coward]

証明書の仕組みわかってる？

Re:

[Anonymous Coward]

元のACとは別人だが分からないので教えてくれ。

証明書ってのは、公開鍵の正当性を証明するものだよね。
山田さんが公開している証明書で暗号の解読ができればその証明書で解読できる暗号を作れる秘密鍵を持った人しかいないので、この暗号データは山田さんしかありえない、と言うのが証明書の基本。

ただしこの状態だと、その公開鍵証明書は、そもそも本当に山田さんと結びつけられたものなのかと言う事が分からない。
その時「山田さんが公開している公開鍵証明書である」と言う事を証明する手段が、その上位の証明書ということだよね？

その上位の証明書というのが

Re:

[Anonymous Coward]

元ACが「TURKTRUSTの証明書が日本のフィーチャーフォンに入ってるとは思えない」と語っているけど、この推測が確かで、証明書の更新ができないような古いフィーチャーフォンにはTURKTRUSTのルート証明書が入っていないのだとすると、元が絶たれるわけでフィーチャーフォンは素性の分からない証明書だよと最低でも警告を出してくる（オレオレ証明書と同じ事になる）んじゃ無いかなあ。

ここ笑うとこ？

Re:

[Anonymous Coward]

あなたの方がわかってないと思いますよ。
ルートCAとしてTURKTRUSTが登録されてないならTURKTRUSTが認証した今回の中間CAも認証されない。その中間CAが認証した偽Googleも認証されない。信頼のチェーンが切れてるから自前CAのオレオレ証明書と同レベル。

Re:

[Anonymous Coward]

もう一度引用部分を読み解いてみるといいよ
分がよじれているのはわかっているからあえて出したまでだけど

Re:

[Anonymous Coward]

どう読んでも笑うところがありませんけど。
あなたは、自分の解釈が間違っていると言う考えは無いのですか。
あるいは間違っていることに気付いているが、それを認めたくないために具体的な指摘をせずに強弁を続けているのですか？

Re:updateできないデバイスは危険

[Anonymous Coward]

後者でしょうね。
このツリーには理解できてないのがいっぱい釣れてるみたいですし。