アカウント名:
パスワード:
タレコミの> Superfishでは自己署名証明書をシステムにプリインストールしておくことで
は、間違いで、
> 自己署名証明書を発行するルート認証局をインストールしていた (ZDNet)
が正しいようだ。
ああ、もしかしたら hylom によって、勝手に埋め込まれたってネタなのかもしれない。
本家ベータの直訳をタレ込んだのですが、ご指摘の点はご想像のとおりです。元記事自体がかなり分かりにくくて英文としても破綻していたので、あのままではちょっと辛いクォリティでした。恐らくそれを直して補足する中でそうなったのでしょう。
タレ込み時点では一部のセキュリティ関係者がツイッターで「英語圏で話題になっている」とコメントしている程度で、日本語情報がほとんどなく、でも「これはしゃれにならん」と。「オレオレ証明書」入りシステムが売られていたわけですから。
元記事ではどうやら「リカバリーかけてもSuperfishが入っている」ということだったようで、「メーカー純正システムイメージが汚染されている」ということから「自前のクリーンなインストールディスクと別途入手のドライバを」という話になったようです。
何にせよ、私の内部であの会社に対する信頼がついに木っ端微塵になってしまったのは確かです。持っているのはThinkPadですが、せめてVAIOみたいに会社レベルで分かれていないと、もうね。サーバーの商談が飛んでしまったとか、入札条件に「過去にセキュリティを低下させるソフトウェアを意図的にインストールした製品を出荷したことがないこと」という条件を追加されたりしたとか、あっても驚きません。
問題を大きくしているのは、それにプラスして、「CAの秘密鍵をプログラム内に保有しており、かつ全機器で共通だった」点ですね。これにより、当該CAで認証した証明書を誰でも偽造できるようになったということです。
秘密鍵を持ってなきゃ、改竄後に返すものを署名できないですよ。秘密鍵自体はMITMに必須で、それをPC一台ごとに変えていなかったのが特徴。もちろん、こういうものを作ったり仕込んだりすることに倫理観がないというのは前提として。
>それをPC一台ごとに変えていなかったのが特徴。この対策でもいいですが、それよりも外のサーバ(MITMする前)の認証を行うときにsuperfishのCAで署名されたものを弾くようにすべきでしたねたぶん作った人はセキュリティの知識がなんにもない or そもそもセキュアにする気がないのでしょう
にわかには信じられないほどすさまじいな…。こんなことやられたら何も信じられないね。
より多くのコメントがこの議論にあるかもしれませんが、JavaScriptが有効ではない環境を使用している場合、クラシックなコメントシステム(D1)に設定を変更する必要があります。
にわかな奴ほど語りたがる -- あるハッカー
自己署名証明書なら、ブラウザで警告出るだろう、と思ったら。 (スコア:1)
タレコミの
> Superfishでは自己署名証明書をシステムにプリインストールしておくことで
は、間違いで、
> 自己署名証明書を発行するルート認証局をインストールしていた (ZDNet)
が正しいようだ。
ああ、もしかしたら hylom によって、勝手に埋め込まれたってネタなのかもしれない。
Re:自己署名証明書なら、ブラウザで警告出るだろう、と思ったら。 (スコア:3, 参考になる)
本家ベータの直訳をタレ込んだのですが、ご指摘の点はご想像のとおりです。元記事自体がかなり分かりにくくて英文としても破綻していたので、あのままではちょっと辛いクォリティでした。恐らくそれを直して補足する中でそうなったのでしょう。
タレ込み時点では一部のセキュリティ関係者がツイッターで「英語圏で話題になっている」とコメントしている程度で、日本語情報がほとんどなく、でも「これはしゃれにならん」と。「オレオレ証明書」入りシステムが売られていたわけですから。
元記事ではどうやら「リカバリーかけてもSuperfishが入っている」ということだったようで、「メーカー純正システムイメージが汚染されている」ということから「自前のクリーンなインストールディスクと別途入手のドライバを」という話になったようです。
何にせよ、私の内部であの会社に対する信頼がついに木っ端微塵になってしまったのは確かです。持っているのはThinkPadですが、せめてVAIOみたいに会社レベルで分かれていないと、もうね。サーバーの商談が飛んでしまったとか、入札条件に「過去にセキュリティを低下させるソフトウェアを意図的にインストールした製品を出荷したことがないこと」という条件を追加されたりしたとか、あっても驚きません。
Jubilee
Re:自己署名証明書なら、ブラウザで警告出るだろう、と思ったら。 (スコア:2, 興味深い)
問題を大きくしているのは、それにプラスして、「CAの秘密鍵をプログラム内に保有しており、かつ全機器で共通だった」点ですね。これにより、当該CAで認証した証明書を誰でも偽造できるようになったということです。
Re:自己署名証明書なら、ブラウザで警告出るだろう、と思ったら。 (スコア:2)
秘密鍵を持ってなきゃ、改竄後に返すものを署名できないですよ。秘密鍵自体はMITMに必須で、それをPC一台ごとに変えていなかったのが特徴。
もちろん、こういうものを作ったり仕込んだりすることに倫理観がないというのは前提として。
Re: (スコア:0)
>それをPC一台ごとに変えていなかったのが特徴。
この対策でもいいですが、それよりも外のサーバ(MITMする前)の認証を行うときにsuperfishのCAで署名されたものを弾くようにすべきでしたね
たぶん作った人はセキュリティの知識がなんにもない or そもそもセキュアにする気がないのでしょう
Re: (スコア:0)
にわかには信じられないほどすさまじいな…。こんなことやられたら何も信じられないね。