「Google、Chrome 94 以降で HTTPS 優先モードを導入する計画」記事へのコメント

イントラではやめて

[Anonymous Coward]

パッケージ入れたらブラウザで管理できるツールは中でイントラ用のサーバが立ち上がってるんだけど httpだけじゃなくてhttpsまでオレオレ証明書で入れてくるんで イントラならhttpがいいんだよ ウェブアプリ開発とかも同じです

Re:

[Anonymous Coward]

イントラ用のオレオレルート証明書を作って、
イントラのサーバは全部オレオレ認証局で署名、
各PCやブラウザにはオレオレルート証明書を１つインストールしておく

こんなのでいいよ

かえって危険になる

[Anonymous Coward]

ルート証明書の権限が強するので、オレオレルート証明書を入れるとかえって危険になるんだよね。
イントラアクセスするときには毎回ブラウザのセキュリティ警告無視した方がマシなレベル。

仮にオレオレ認証局のルート証明書の秘密鍵が漏洩したとする。
（インサイダーがHDD/SSDを直接読み取って鍵を盗んでも漏洩する）
そしてLAN内に悪意のあるホストが1台紛れさせて、そのホストはMACアドレスを詐称してルータに成り済ます。
でプレインストールアプリ等の https://.autoupdate.example.com/ [example.com] の通信を乗っ取って悪意のあるファイルを実行させることも可能。

OSプレインストールの既存の大手認証局と同レベルの管理ができないならばオレオレルート証明書をLAN内の端末にインストールする運用は止めた方がいい。
その認証局の秘密鍵が奪われたとき、LAN内のオレオレ証明書入れたマシンが一気に乗っ取られてしまう。

Re:

[Anonymous Coward]

一応、オレオレ認証局が勝手によそ様のドメインの証明書を発行することへの緩和策はいろいろある。が、ウェブブラウザ以外のクライアントの対応があまり期待できない状況だと思う。

• オレオレ認証局を作る側：証明書のName Constraintsで許可するドメイン名を指定しておく。
• インターネット上でHTTPSウェブサイトを公開する側：DNS CAAで自ドメインの証明書の発行を許可する認証局を指定しておく。
• 〃：証明書をCertificate Transparencyログに登録しておく（大抵のパブリックな認証局は証明書発行時にやってくれるので、現在特別な作業は不要）。

Re:

[Anonymous Coward]

自己レス、DNSのCAAはオレオレ認証局対策にはならないな。すまん。