「日本PKIフォーラムでCNが間違っている証明書を使用中」記事へのコメント

バーチャルホストでSSLの問題

[Kazsa (25846)]

現行のSSL (https) は、SSLのネゴシエーション前にサーバーホスト名が伝えられないので、名前ベースのバーチャルホストがまず使えないんですよね。HTTP 1.1のUpgradeを使ってTLSに切り替えるようになれば可能になるんでしょうが、こちらはまだ使われてないようです。

Re:バーチャルホストでSSLの問題

[Anonymous Coward]

Server Name Indication(SNI)ですか。調べてみたら、
・OpenSSL 0.9.8fでこっそり対応されるわ(CHANGESで明記しろよ…)
・Firefoxは2以降で、Operaでも8でとっくに対応してるのに例によってIEだけ遅れてる
で普及はまだまだ先ですねorz

Re:バーチャルホストでSSLの問題

[might (194)]

IE7もSNIに対応しているみたいです。
ちょっとだけ、IE7の強制アップデートに期待。
http://blog.gcd.org/archives/51007168.html [gcd.org]

ただ、on Vistaのみととれる情報もあるので、真偽のほどは不明ですが。
http://internet.watch.impress.co.jp/cda/news/2005/10/28/9674.html [impress.co.jp]

IE6が残ってる限りはSNIへの移行は難しいでしょうね。
こういうものこそWindows Updateで自動配布してほしいものなのに。

Re:

[Anonymous Coward]

IE7もSNIに対応しているみたいです。
ちょっとだけ、IE7の強制アップデートに期待。

ただ、on Vistaのみととれる情報もあるので、真偽のほどは不明ですが。

いろいろなところを見てみた結果、Vistaのみの可能性が高いと思います。って自分で試してみればいいんですが...
Safariの情報が少ないですが、まだ対応してないのかな？

IE6が残ってる限りはSNIへの移行は難しいでしょうね。
こういうものこそWindows Updateで自動配布してほしいものなのに。

ん？それを2/13にやる（＝IE7の強制アップデート）って話ではないの？
それともSNI対応パッチをWindows Updateで配布しろって？

Re:

[Anonymous Coward]

http://websec-memo.blogspot.com/2007/07/virtualhostssl.html [blogspot.com] UpgradeよりもSNI(Server Name Indication)の方がスマートそうですね

Re:

[Anonymous Coward]

subjectAltNameを複数付けた証明書使えば今でも出来ると思うが。
発行してくれる認証局が少ないってだけで。