アカウント名:
パスワード:
日本の公的機関サイトへアクセスしたら、ブラウザが「政府認証基盤により発行された証明書を信用しますか？」と質問してくる、という話でしょ。さして変な挙動とは思えないんだけど。（まあ意図が分かり難い警告画面だけどさ）
ベリサイン発行の証明書とかは、初期設定で既に「信頼して、二度と警告を出さない」と設定されているだけで、本来ならベリサイン発行の証明書でも質問してくるのが正しい挙動でしょ。実際、初期登録のリストを消せばそういう挙動になる。
ユーザの中には「日本政府のお墨付きなんて信用できない！」って言って毎回確認しようとする奇特な人も、もしかしたらいるかも知れない。
電子証明書の仕組を理解していれば問題ないわけで、どちらかというと問題は、仕組を理解していない人が多過ぎることなんじゃないの。
違うね。
政府認証機関を語ったサイトが自分で作った証明書を提示して信用してくれと言う場合と、本物の政府認証機関のサイトが政府の証明書を提示して信用してくれと言う場合と。どちらも挙動はかわりませんよね。だからルート証明書をしかるべき手順でブラウザが持って判断するわけで。一般の人にフィンガープリント見ろとか無理ありすぎだしね。
> 電子証明書の仕組を理解していれば問題ないわけで、> どちらかというと問題は、仕組を理解していない人が> 多過ぎることなんじゃないの。その通りですね。
>政府認証機関を語ったサイトが自分で作った証明書を提示して信用してくれと言う場合と、>本物の政府認証機関のサイトが政府の証明書を提示して信用してくれと言う場合と。>どちらも挙動はかわりませんよね。
挙動が変わらない理由は、ブラウザは「真贋」ではなく「信用に足るか否か」を確認しているからでしょ。中間証明書発行業者がハックされて「本物のお墨付きの偽証明書」が発行された事例は、実際あるし。信用できない本物の証明書発行機関、というものも存在する。「信用に足るか否か」は個人の裁量の範囲でしょ。
>だからルート証明書をしかるべき手順でブラウザが持って判断するわけで。
そ
半端な知識では保身できないいい例だねぇ。
中間証明書のクラックの件は知ってるけど、dnsの危険性はご存じでない？検索結果が正しくてURLも正しくても、接続する先の端末が正しいとは限りません。
つまり、公式サイトに行ったつもりが偽装サーバに繋いでて、そんなところからダウンロードした証明書は偽物なわけですよ。公式サイトが公式であるかの証明はサーバ証明書で行うけど、サーバ証明書は公式サイトからダウンロードするって、本末転倒ですよね。
証明書の手動インストールは、一般人にはかえって危険だと私は思うんですけどね。ご指摘の中間証明書の漏洩に対応するために、削除方法は知っとくべきですけど。
ちなみにブラウザが判断しているのは、信用に足るかどうかでなく、真贋ですよ。しかるべき手続きを受けてインストールされているCAで署名されているかどうか。それだけです。だから中間証明がクラックされると危険。
自己レス。読み返してて気づいたけど、証明書と認証局ごっちゃにしてる。ほんとごめん。私が書いた「中間証明」「中間証明書」は、正しくは中間認証局。
より多くのコメントがこの議論にあるかもしれませんが、JavaScriptが有効ではない環境を使用している場合、クラシックなコメントシステム(D1)に設定を変更する必要があります。
UNIXはただ死んだだけでなく、本当にひどい臭いを放ち始めている -- あるソフトウェアエンジニア
そんなに変なこと？ (スコア:0, おもしろおかしい)
日本の公的機関サイトへアクセスしたら、ブラウザが
「政府認証基盤により発行された証明書を信用しますか？」
と質問してくる、という話でしょ。
さして変な挙動とは思えないんだけど。
（まあ意図が分かり難い警告画面だけどさ）
ベリサイン発行の証明書とかは、初期設定で既に
「信頼して、二度と警告を出さない」と設定されて
いるだけで、本来ならベリサイン発行の証明書でも
質問してくるのが正しい挙動でしょ。
実際、初期登録のリストを消せばそういう挙動になる。
ユーザの中には
「日本政府のお墨付きなんて信用できない！」
って言って毎回確認しようとする奇特な人も、
もしかしたらいるかも知れない。
電子証明書の仕組を理解していれば問題ないわけで、
どちらかというと問題は、仕組を理解していない人が
多過ぎることなんじゃないの。
Re: (スコア:0)
違うね。
政府認証機関を語ったサイトが自分で作った証明書を提示して信用してくれと言う場合と、
本物の政府認証機関のサイトが政府の証明書を提示して信用してくれと言う場合と。
どちらも挙動はかわりませんよね。
だからルート証明書をしかるべき手順でブラウザが持って判断するわけで。
一般の人にフィンガープリント見ろとか無理ありすぎだしね。
> 電子証明書の仕組を理解していれば問題ないわけで、
> どちらかというと問題は、仕組を理解していない人が
> 多過ぎることなんじゃないの。
その通りですね。
Re: (スコア:0)
>政府認証機関を語ったサイトが自分で作った証明書を提示して信用してくれと言う場合と、
>本物の政府認証機関のサイトが政府の証明書を提示して信用してくれと言う場合と。
>どちらも挙動はかわりませんよね。
挙動が変わらない理由は、ブラウザは「真贋」ではなく
「信用に足るか否か」を確認しているからでしょ。
中間証明書発行業者がハックされて「本物のお墨付きの偽証明書」
が発行された事例は、実際あるし。
信用できない本物の証明書発行機関、というものも存在する。
「信用に足るか否か」は個人の裁量の範囲でしょ。
>だからルート証明書をしかるべき手順でブラウザが持って判断するわけで。
そ
Re: (スコア:0)
半端な知識では保身できないいい例だねぇ。
中間証明書のクラックの件は知ってるけど、dnsの危険性はご存じでない？
検索結果が正しくてURLも正しくても、接続する先の端末が正しいとは限りません。
つまり、公式サイトに行ったつもりが偽装サーバに繋いでて、そんなところからダウンロードした証明書は偽物なわけですよ。
公式サイトが公式であるかの証明はサーバ証明書で行うけど、サーバ証明書は公式サイトからダウンロードするって、本末転倒ですよね。
証明書の手動インストールは、一般人にはかえって危険だと私は思うんですけどね。
ご指摘の中間証明書の漏洩に対応するために、削除方法は知っとくべきですけど。
ちなみにブラウザが判断しているのは、信用に足るかどうかでなく、真贋ですよ。
しかるべき手続きを受けてインストールされているCAで署名されているかどうか。それだけです。
だから中間証明がクラックされると危険。
Re:そんなに変なこと？ (スコア:0)
自己レス。
読み返してて気づいたけど、証明書と認証局ごっちゃにしてる。
ほんとごめん。
私が書いた「中間証明」「中間証明書」は、正しくは中間認証局。