「不正なSSL証明書のチェックをしないモバイルアプリにご注意を」記事へのコメント

証明書が正当なだけではだめ

[Anonymous Coward]

接続しようとしているサイトの証明書であるかどうか(Webブラウザであればアドレスバーの確認)をしないと。

世間一般ではそれを正当な証明書とは呼びません

[Anonymous Coward]

接続しようとしているサイトの証明書であるかどうか(Webブラウザであればアドレスバーの確認)をしないと。

試したことないでしょ？違うサイトのSSL証明書が使われている場合、IEでもChromeでも「問題がある証明書を使用しています」とちゃんと警告が出ますよ。
（例えば google.co.jp にこうやって [173.194.38.88]IPアドレスでアクセスすると、証明書のドメイン名とアクセスしているドメインが違うので警告が出ます。）

Re:

[Anonymous Coward]

URL直接叩きじゃない人もいるから、誘導される場合を考えると証明書のDNまでチェックしないとあかんよね。
本来はそこまで毎回やることが公開鍵証明書というかPKIの運用の前提ですよ。

Re:

[M-FalconSky (8868)]

DNS(SEC?)を枠に含めるかによるでしょうけど、初回に確認できてれば、基本後はURL見てOKな気はします。
ただ、もろもろ危険はあるので、毎回が安全ではありましょうね...

# というか認証局でのトラブルがいくつかあったので、端末側が安全と判断できても危険の場合があったりして
# そうなるともうPKI的にはどうしようもないなぁ...

--
M-FalconSky (暑いか寒い)

Re:世間一般ではそれを正当な証明書とは呼びません

[Anonymous Coward]

まあ、URLをちゃんと確認しないといけないのですが、ここを怠る人も一定数いるでしょうから、やはりPKI自体の
限界というかがあるわけですよねぇ。単にChainされている署名検証とRevocationのチェックだけでも、ちゃんとやっていない
デバイスは多数の上に、そもそも人間に頼っている部分があるので。