「総務省「電子申請・届出システム」は信頼できるか」記事へのコメント

理由はあるの？

[shigezo (2455)]

＞証明書は自身をルート証明局としているが

　普通にVerisignとかで証明書取った方が面倒なくて良いと思うのですが
　自身をルート証明局にしなきゃいけない理由ってあるのかなぁ？

　ＥＣサイトの開発時やテスト時

Re:理由はあるの？

[seldon (5637)]

普通にVerisignとかで証明書取った方が面倒なくて良いと思うのですが 自身をルート証明局にしなきゃいけない理由ってあるのかなぁ？

国が一民間企業に証明をもらうってのが嫌なんじゃないかな？
まぁ、その気持ちもわからないでもないし、日本国よりも民間企業の方が信頼できるというのもアレゲな気はしますね。
本来であれば、ICANNなりの国際的に権威を持つ機関がルート証明局を運用すべきなのかもしれません。（もちろん実務は民間企業に委託しても良いのですが、証明はその機関が行う）

元記事の「証明書のダウンロードがSSLでない」という話は、ピント外れ

Re:理由はあるの？

[k3c (4386)]

元記事の「証明書のダウンロードがSSLでない」という話は、ピント外れですね。
証明書というのは、その証明書のフィンガープリントと、公表されているフィンガープリントが一致する事を確認すれば正当性が認証できるのだから、SSLにする必然性は無い。

元記事 [ryukoku.ac.jp]では、

確かに、フィンガープリントを正しく照合するならば、証明書が偽物でないかを確認することができる。

…云々、fingerprintについてもきちんと触れています。そのうえで、fingerprint自体が（通信経路での改竄やDNSスプーフィングで）詐称できることが信頼性を損なっていると記述されています。なので、ピント外れという指摘はあたらないと思います。

Re:理由はあるの？

[seldon (5637)]

…云々、fingerprintについてもきちんと触れています。

触れればOKという話でもないでしょう。
このフィンガープリントという仕組みは「異経路で2つの情報を提供し、それらが一致する事で認証を行う」というのがミソであって、SSLかそうでないかなんて言うのは2の次です。（もちろんSSLの方が好ましいと言えるけど、「異経路」で「フィンガープリントが正しく伝えられる」という事の重要さに対して「証明書がSSLで伝えられる」という事の重要性はうんと低い）

この問題に限らないけど、他人に対して指摘するのであれば、あれもこれもと言うよりは「本当に必要な事をピンポイントで提示する」というのが受け入れられる可能性の高い手法です。
そういう意味ではこのSSL云々っていうのはノイズであって、相手に対して「あぁ煩いやつだなぁ」と思われるだけでしょう。
そもそもついでの話を最初に持ってきて、本来必要な「異経路」で「フィンガープリントを正しく伝える必要性」がノイズと同列に扱われているのは「本当にこの人わかって言ってるの？」と思われかねません。

売名が目的ではなく、真に「良い環境」を求めるのであれば、言いたい事を言いたいように言うだけでなく、「どう指摘すれば受け入れられるか」という事も考える必要があるのではないでしょうか？