「SSL証明書を使う詐欺サイトが急増中」記事へのコメント

べつに乗っ取らなくても

[Anonymous Coward]

べつに乗っ取らなくても共有SSLが使える無料サーバーでフィッシングしても同じことでは?
そもそもSSLなんてハンコつかなきゃ発行できないって類のものじゃないし、安いところなら年間3,000円も払えば偽名で取得できるわけで、技術的な側面を説明せず安易に「SSLなら安全」って間違った啓蒙だけをし続けてきたしっぺ返しがきてるってことじゃないですかね。

Re:

[Anonymous Coward]

技術的な側面を説明せず安易に「SSLなら安全」って間違った啓蒙だけをし続けてきた

ただ，これは「技術的な側面」を説明したところで

1. 単純に理解が難しい(暗号とはなんぞや，なにが担保されているのかなど)
2. そもそも，「(心中で思っている)お目当てのサイトであること」を確認する方法とは， SSL自体なんの関係もない

という問題があります．

後者は極めて根本的な問題で，SSL/TLS以外でも現在のところ なにも解決策は見つかってないんじゃないですかね．

# 「レピュテーション」でどうにかなると思うほど楽観的じゃない…

Re:べつに乗っ取らなくても

[Anonymous Coward]

昔はSSLでも身元確認しているので安全な時期があった。
今はそれはEV-SSL。
SSL証明書なんてただの会員証なんだから、SSL屋ではなく目的毎にちゃんと分類して発行/確認できるようになればいいんじゃないんですかね。
たとえば親会社が子会社のSSL証明書発行して身元保証するとか、JASRAC等々業界団体やなんとか協会が所属してるよ証明にSSL証明書発行するとか。

Re:べつに乗っ取らなくても

[Anonymous Coward]

昔はSSLでも身元確認しているので安全な時期があった。 今はそれはEV-SSL。

そんなあなたにはこちら [takagi-hiromitsu.jp]をどうぞ。

Re:

[Anonymous Coward]

ただの会員証だって言ってるのにそれ出されても、何の参考にもならない。
その企業がサーバ運営してるのは間違いないんだからそれでいいんじゃないの?
運営者以外の何かを保証しているとでも思ってた?

Re:

[Anonymous Coward]

> たとえば親会社が子会社のSSL証明書発行して身元保証するとか、JASRAC等々業界団体やなんとか協会が所属してるよ証明にSSL証明書発行するとか。
その親会社なり業界団体が発行した証明書は信用できるんですかね。

Re:

[Anonymous Coward]

今は製品やサービスごとにわけのわからないドメインが乱立してますよ。それがどこが運営してるかなんて、正直わかりにくすぎる。
何も素性がわからないペーパーカンパニーよりは身元の証明になるんじゃない?
発行管理は今までどおりのところに任せてもいいと思うけど、中間証明書に所属団体はさんでおけば、銀行なんかの業種を装うとか、そういうことはできなくなるんじゃない?
届け出、許可が必要な業種で、違反したら停止とかやりやすそうだし。
類似名称にご注意って事象等々は減る気がした。見せ方はそれなりに工夫する必要があるかも。