T.Ozakiの日記： メガバンク＋ネット専業銀行のSSL対応状況（2016年10月版） 4
前回の2016年5月実施分はこちら。
調査方法はいつも通り ①ぐぐる→②銀行トップページ表示→③アドレスバーのhttpをhttpsに変える という単純な人海戦術方式です。
今回からゆうちょ銀行を調査対象に追加します。
また、評価基準のランクを以下のように設定しました。
※2016.10.29 21:50に評価DとEの判定基準を入れ換えました
---+------------------------------------------------------------
A++|常時SSL HSTS Preload登録済
A+ |常時SSL HSTS設定（Preload未登録）
A |常時SSL（HTTPからはリダイレクト転送）
A- |ランクA以上だが、設定にセキュリティ上の問題がある
---+------------------------------------------------------------
B |SSL/非SSL共に同一コンテンツでアクセス可能
B- |ランクBだが、設定にセキュリティ上の問題がある
---+------------------------------------------------------------
C |SSLは正しく設定されているが、コンテンツなし
---+------------------------------------------------------------
D |SSLは設定されているがOV証明書またはSHA-1 EV証明書が使用されている
---+------------------------------------------------------------
E |CDNの証明書が呼び出される等、SSLが正しく設定されていない
|（コンテンツアクセス不可は"F"判定とする）
---+------------------------------------------------------------
F |問題外（SSLが設定されていない、DV証明書が使用されている等）
---+------------------------------------------------------------
みずほ … 2016.10.23より常時SSL (A)
三菱東京UFJ … akamai CDNの証明書がｺﾝﾆﾁﾜ → 強行突破で非SSLサイトに301リダイレクト (F)
三井住友 … EV SSLだが404 Not Found (C)
りそな／埼玉りそな … EV SSLだが403 Forbidden (C)
ジャパンネット … akamai CDNの証明書がｺﾝﾆﾁﾜ → 強行突破で504 Gateway Time-out (F)
セブン … akamai CDNの証明書がｺﾝﾆﾁﾜ → 強行突破で504 Gateway Time-out (F)
ソニー … akamai CDNの証明書がｺﾝﾆﾁﾜ → 強行突破で504 Gateway Time-out (F)
楽天 … akamai CDNの証明書がｺﾝﾆﾁﾜ → 強行突破で504 Gateway Time-out (F)
住信SBI … 常時SSL。非SSLからは302リダイレクト (A)
じぶん … HTTP/HTTPS共に同一コンテンツ。証明書もSHA-256のEV SSLに更新済み (B)
イオン … HTTP/HTTPS共に同一コンテンツ (B)
大和ネクスト … EV SSLだが404 Not Found (C)
ゆうちょ … akamai CDNの証明書がｺﾝﾆﾁﾜ → 強行突破で302リダイレクトで非SSLのエラーページ（通常コンテンツ）を表示し、10秒後に非SSLトップへ (F)
前回ボロクソにコケ下ろしたみずほ銀行とじぶん銀行は、評価を一気にアップ。
この流れが他の銀行にも続いてくれるといいんですけどねぇ…。
…ちなみにこの調査中、「みずほ銀行」でググったらみずほ銀行が八分喰らってて笑い転げたのは内緒だｗ（なってない
[広告]はあったんですけど…。
あと、みずほはリダイレクト処理をもうちょっと考えてほしかったな…。
http://www.mizuhobank.co.jp/ をリクエストすると https://www.mizuhobank.co.jp/ に301リダイレクトして、そこから更に https://www.mizuhobank.co.jp/index.html へ301リダイレクトして、Cokkieがなければ https://www.mizuhobank.co.jp/top.html?rt_refhost=&rt_refpath=&redirect=on をリクエストするとか、馬鹿なんじゃないかと小一時間（ｒｙ
確認方法 (スコア:1)
https://www.ssllabs.com/ssltest/ [ssllabs.com]
ここつかって結果を残すのがいいのではないか?と提案
# 自分でやればいいんだけどね...
M-FalconSky (暑いか寒い)
Re:確認方法 (スコア:2)
あー…ここでわたしがやっているのって、あくまで「サイトを常時SSLにしていない銀行とかの金融機関をdisる」ことであって、Qualys SSL Labsでできる「SSLの設定に脆弱性がないかの確認」とはちょっと違うんですよね。
ちなみにSSL Labsは評価B以上のマイナー判定の確認で参考にしてます。
ご心配ありがとうございます。
Re:確認方法 (スコア:1)
あはは、了解ですw
M-FalconSky (暑いか寒い)
Re:確認方法 (スコア:1)
って、以前、こういう日記(https://srad.jp/~T.Ozaki/journal/606607/)があってコメントしたくらいなんで、知ってらっしゃるよね...
# なんかすんません。
M-FalconSky (暑いか寒い)