「問題のあるSSL証明書の安全性を担保するPerspectives」記事へのコメント

同時に

[M-FalconSky (8868)]

期間の長さやアクセス数の量で「ダメな証明証で運用しているランキング」を大々的に流してしまうのはどうかな。
で、ページトップには「企業内からの、これらの信用しにくい証明書を利用しているサーバへはアクセスを保留するほうが望ましいですよ!」とか煽ると。

実際、信頼できるかどうか(自分で最終的に決めること)と、このサービスが保障度を上げる(?)ことはイコールじゃないですし。
あと、どれくらいアレなサーバが稼働しているかの統計調査になりますからね。

# でもどっちかというとパスワード入力画面が非SSL(飛ぶ先はSSL、場合ではEVもある)なサービスの横行も問題な気がする
# もちろん、それが不要なくらい、というかさほど重要でないサービスならそれでもいいんだろうけど。

--
M-FalconSky (暑いか寒い)

Re:

[Anonymous Coward]

> で、ページトップには「企業内からの、これらの信用しにくい証明書を利用しているサーバへは
> アクセスを保留するほうが望ましいですよ!」とか煽ると。

いやー、「どこの馬の骨とも分からない輩が口走っていること」と「天下の○○株式会社のサイトが『無視して構いません』と言っていること」のどちらを信頼するかといえば、一般には後者でしょうね。

Re:同時に

[youichi (329)]

　その後者の有名な会社のURLだというのは、誰が保証してくれるの？
　大手銀行のサイトだからって、SSLの警告が出てるのに安心してパスワードを入力できますか？
　よく似たURLの偽サイトの可能性もありますよね。ドメインの有効期限が切れて乗っ取られたり。
＃ま、一般的ではなく、可能性の話ですけど。

Re:

[Anonymous Coward]

>> その後者の有名な会社のURLだというのは、誰が保証してくれるの？

誰が保証するとか，どっちが本当に信頼できるかとか，そういう話じゃないでしょ．

一般人が見た時に，そのユーザが有名な会社のURLと信じているwebページに「～に書いてあることはデマなので無視してください．法的措置も検討中です」とか堂々と書かれたら，その人が全く聞いたことも無いマイナーなwebページで書かれている「～のサイトは偽サイトの可能性があります」という情報とどっちが信用されるか，って話だよね．

Re:

[Anonymous Coward]

×：天下の○○株式会社のサイトが『無視して構いません』と言っていること
○：天下の○○株式会社を名乗るサイトが『無視して構いません』と言っていること

騙されてたことが明らかになってから必要以上に「擬装、擬装」と騒ぐのが正しい日本人

Re:

[Anonymous Coward]

ついでに伺いたいのですが、SSLなページ内でパスワード入力画面が Flash で表示される場合は問題無いんでしょうか？
入力されたパスワードがうっかり非 SSL で送信されてないかどうやって検証すれば良いんでしょうか？

Re:

[Anonymous Coward]

ローカルプロキシ

Re:

[Anonymous Coward]

官公庁や警察やTV等で大々的に注意喚起されている振込み詐欺の被害がなくならないことを考えると、ユーザーへの警告の有効性について悲観的になってしまいます。
フィッシング詐欺のページは大体「今すぐログインして･･･」などと「アクセスを保留」する隙を与えないようにできているものです。

とりあえず、証明書のSIベンダーによる代理取得（所有者までSIベンダーになってるもの）は公的にやめさせるべきだと思います。