「Windows版Firefox 49ではWindowsの証明書ストアにインストールされたルート証明書を使用可能に」記事へのコメント

証明書ストアにマスターパスワード

[ogino (1668)]

Firefox のセキュリティ上の優位点としては FIPS を有効にすると証明書ストアにマスターパスワードを効かせることができることだと思っている。とくにクライアント証明書については重要だと思うので残念。

# 本当に暗号化しているかどうかは未確認ですが…

Re:

[manmos (29892)]

自分用のクライアント証明書じゃなくて、接続先のサーバのCAルート証明書とかじゃないかと。
社内CAとかの。

Re:証明書ストアにマスターパスワード

[nim (10479)]

証明書を暗号化するのがセキュリティ上の優位点ってこと？
だとすると、一体なにをいってるの？わけがわからない。

Re:証明書ストアにマスターパスワード

[ogino (1668)]

パスワードで認証するサイトがあったら、たとえブラウザを他人が触れたとしてもパスワードを知っている人が入力するまでログインできませんよね。しかしクライアント電子証明書認証であれば、たとえば IE ならブラウザを操作するだけで認証ができてしまいます。（ですよね？）

Firefox の独自証明書ストアであれば FIPS 設定をすることで電子証明書もマスターパスワードなしでは利用できないように設定できるということです。

Re:証明書ストアにマスターパスワード

[nim (10479)]

それは分かる（けど、Windowsの証明書ストアってクライアント証明書の利用時にPIN入力必須にできないっけ？）けど、ここではルート証明書の話をしているから。

元コメントでも、「とくにクライアント証明書については重要」と書いてあるけど、そもそも秘密鍵は秘匿する必要があるけど、証明書自体を暗号化する意味ってないよね。

クライアント証明書による認証時にPINが必要なのも、厳密には「証明書」ではなく「秘密鍵」を保護したいわけだし。