「Netscape/Mozillaに偽のURL表示が可能な脆弱性」記事へのコメント

その為のSSL証明書？

[jbeef (1278)]

部門名の「その為のSSL証明書」とは、おそらくこういうことを言いたいのではないかと思います。つまり、銀行など重要なサイトでパスワードを入れるときは、もともと証明書を目視確認するはずだから、このバグがあっても大丈夫のはずではないかと。これには述べておきたいことが2点あります。

まず、今回のバグを突いて偽の https:// サイトを表示した場合、錠前アイコンは施錠された状態となるようです。アイコンをクリックして「ページ情報」を出すと、「接続が暗号化されました」「認証局VeriSign Inc.によって確認されました」などと表示されます。しかし

うーん、微妙に論点がズレていませんか？

[annoymouse coward (11178)]

> 部門名の「その為のSSL証明書」とは、
> おそらくこういうことを言いたいのではないかと思います。

SSLが正しく機能していれば、
今回のブラウザの不具合を使った攻撃は事実上成り立たない、
ということで、この部門名になったのでは無いでしょうか？

SSLが正しく機能しない場合の例がいくつか挙げられていますが
SSLの証明書をどれだけ信用するかと言うような問題は
ここでは考えず、SSLが正しく機能し

Re:うーん、微妙に論点がズレていませんか？

[jbeef (1278)]

となるわけで、
SSLが機能していれば危険は回避できるように思います。

おっしゃることがよくわかりません。
仕掛けられた送信先が正規のサーバ証明書を使った任意のhttps:// のサイトであれば、警告は出ません。送信した後で、送信先が予期したところと違うとわかっても（わかりにくくすることも可能）、後の祭りです。

Re:うーん、微妙に論点がズレていませんか？

[Anonymous Coward]

>仕掛けられた送信先が正規のサーバ証明書を使った任意の>https:// のサイトであれば、警告は出ません。

正規のサーバ証明書で、
ほかのドメインの証明をすることは出来ないですよ。

そもそも、この点が理解されていないとしか思えないような
コメントなのですが。しかもスコア５も付いているし。

Re:うーん、微妙に論点がズレていませんか？

[jbeef (1278)]

仕掛けられた送信先が正規のサーバ証明書を使った任意のhttps:// のサイトであれば、警告は出ません。

正規のサーバ証明書で、 ほかのドメインの証明をすることは出来ないですよ。

他のドメインが、そのドメイン用の正規のサーバ証明書を使っている話をしているのですが。わかりませんかね。

そもそも、この点が理解されていないとしか思えないような コメントなのですが。しかもスコア５も付いているし。

なるほど、あなたは天才なのですね。（スラドもそろそろ終わりなのかなあ。）