SSL証明書を使う詐欺サイトが急増中

あるAnonymous Coward 曰く、

ITmediaの記事によると、正規のSSL証明書を使った詐欺サイトがここ一ヶ月で急増しているそうだ。

手口としては、SSL証明書を持っているWebサイトを攻撃者が乗っ取り、そこで詐欺サイトを運用する、という手口らしい。SSL証明書は正規のものなので、ユーザーは「詐欺サイトではない」と思い込んでしまうという。

ITmediaの記事によると、EV-SSLを使用することで詐欺サイトかどうか見分けられる、ということだが、EV-SSL証明書を取得したサイトが乗っ取られてしまったら結局変わらないと思うのだが……。

タイトルがおかしいのでは

[n_ayase (36873)]

「詐欺サイトが増加」というより「乗っ取られてるサイトが増加」と書くべきでしょう、ここは。

＃信頼された証明書を詐欺サイトが独自に取得して使っているなら前者だと思いますけど

--
神社でC#.NET

Re:タイトルがおかしいのでは

[pochi-p (37116)]

その通りですね。
ITProの記事 [nikkeibp.co.jp]でも同じ事思いました。
正確な表現をして頂きたいものです。
ITmediaやITProの翻訳がまずいのか、元の米Symantecの文章 [symantec.com]がまずかったのか、その辺ははっきり分かりませんが……。（英語に疎いので）

Re:タイトルがおかしいのでは

[bee-tom (28877)]

まさに、仰るとおりだと思います

広告？

[asanagi (22217)]

ソース記事の下にある関連ニュースも併せて、「いいから高い方を買えよ」って読めてしまう
個人的に優先順位低いなぁ>EV-SSL

Re:

[Anonymous Coward]

たとえばspamは携帯電話を改造して、数十万とか数百万とかの利用料を払っても元が取れるらしいので、金を掛けさせるというアプローチを取っても普通の人が不便になるばかりです。
で、SSL証明書業者乙と思ってたらネタ元がSymantecのBlogのようでびっくりしました。SymantecはSSL証明書業者からいくらもらって記事を書いたんでしょうね。
# とタレコんでみたらすでにタレコまれていたようなのでAC

Re:

[Anonymous Coward]

> 元々提灯記事や質の悪い記事の多いITMediaだけど
> 最近目立って低俗な記事が多すぎる。とくに「ねとらぼ」が酷い。

「目立って低俗な記事」よりも、
目立たない「提灯記事や質の悪い記事」の方がずっと有害じゃね？

役に立たないものがその様に明確に分類されて
「ねとらぼ」となっているので、避ける上では助かってるけど、

「このコンテンツが気に入らない」レベルの感想は場違いだよ。

Re:

[Anonymous Coward]

ねとらぼの中の人ですか?

Re:

[Anonymous Coward]

ねとらぼの中のヒトが、
ねとらぼは役に立たないから避ける、
とか言って回るのか。なんか自虐的だな。

EV-SSL の効果

[JULY (38066)]

> EV-SSL証明書を取得したサイトが乗っ取られてしまったら結局変わらないと思うのだが……

と自分も思ってしばし考えたんだけど、もともと、この話って、「SSL でつながったことで安心しちゃだめだよ」で、実際に証明書が証明してるドメイン名を確認して、意図したドメイン名と無関係だったら、危ないって判断できる。

ただ、一般の人に取ってドメイン名で確認するより、EV-SSL だとブラウザに組織名が表示されるんで、その方が気が付きやすい、ということはあるかな、と。

にしても、あの IT Media の記事を見たら、まるで証明書が偽装されているような印象をうけるよなぁ。あのイメージは元のブログだと、「ほら、Verisign の本当の証明書でしょ」というのを示していて、その後のイメージで、「でも、本物と乗っ取られたものでは、Issued to のところが全然関係ないドメイン名になっているんだよ」ということを示している。...と思う（英文を細かく読んでないけど）。

元のブログ： http://www.symantec.com/connect/blogs/phishing-toolkit-attacks-are-abu... [symantec.com]

Re:EV-SSL の効果

[Anonymous Coward]

> 意図したドメイン名と無関係だったら、危ないって判断できる。
> ただ、一般の人に取ってドメイン名で確認するより、EV-SSL だとブラウザに組織名が表示されるんで、その方が気が付きやすい、
日本では銀行のオンラインバンキングのサイトでなぜかNTTデータの名前が表示されたりする [takagi-hiromitsu.jp]ので、こういう状況に慣らされてしまうと結局役に立たないのです。米SymantecのBlogはそんなトンデモな状況がありうるなんて夢にも思っていないのでしょう。
EV SSLを導入最初期の段階で早くも役立たずにしてくれたNTTデータは腹を切って死ぬべきであるとか思いました。

Re:EV-SSL の効果

[Anonymous Coward]

EV SSLを導入最初期の段階で早くも役立たずにしてくれたNTTデータは腹を切って死ぬべきであるとか思いました。

いや、あれは他ならぬ、日本ベリサイン株式会社がNTTデータに売り込んだものでしょう。宣伝のためにね。

プレスリリース - 2008 NTTデータ、インターネットバンキング「ANSER-WEB®」にEV SSL証明書を採用 [verisign.co.jp]

Re:EV-SSL の効果

[Aron (37314)]

このコメントの右にベリサインの広告が表示されて笑った。

--
Aaron Rashid

Re:EV-SSL の効果

[tmki (18271)]

確かに。

何も解らない一般人(アレゲ的な意味で)は、戸惑いながら言われるままにパスワードを入力し、一般的じゃないアレゲ人は、SSL証明書を見てずっこけるという・・・。


SSL証明書の存在意義を問う社会派ジョークなんだね。きっと。

--
事態は際限なく悪化する。

Re:EV-SSL の効果

[Anonymous Coward]

本では銀行のオンラインバンキングのサイトでなぜかNTTデータの名前が表示されたりするので、こういう状況に慣らされてしまうと結局役に立たないのです。米SymantecのBlogはそんなトンデモな状況がありうるなんて夢にも思っていないのでしょう。

そういうことが可能なレベルの運用しかされていないということであり、遅かれ早かれ破綻するレベルの仕組みなんでしょう。なので、

EV SSLを導入最初期の段階で早くも役立たずにしてくれたNTTデータは腹を切って死ぬべきであるとか思いました。

これはむしろ、この商品が役立たずで、販売者を儲けさせるためだけに存在するものであるということを身をもって実証してくれたNTTデータは賞賛に値すると思いますが。

Re:

[Anonymous Coward]

bluegate モナ

Re:EV-SSL の効果

[elderwand (34630)]

> 実際に証明書が証明してるドメイン名を確認して

ってことで、「URL窓 (ていうのかな?) を穴の開くほど見れ」というのだが、最近お値段の高い証明書使ってるサイトで、その緑色の蘊蓄が長くて、肝心の URL が読み取れないサイトがある。

Whois ボタン [mozilla.org] でも追加して、どこに繋がったかを確認するのがいいかも。

＃はい、ごめんなさい。Firefox の話です。

Re:EV-SSL の効果

[Anonymous Coward]

EV SSLはドメイン名ではなく組織名で確認するものなので、ドメイン名の表示はあまり重要視されていないものと思われます。
> 緑色の蘊蓄が長くて、肝心の URL が読み取れない
これは話が反対で、確認が必要なもの(証明書の種類によって組織名だったりドメイン名だったりする)は緑色だったり青かったりする部分に常に表示されるという設計になっています(Firefox 3.5の場合 [takagi-hiromitsu.jp])。

Re:EV-SSL の効果

[JULY (38066)]

今見たら、IT Media の記事に貼り付けられていた証明書の画像が削除されていますね。

元のブログに貼り付けられていた画像から、わざわざ証明書の部分（元画像の右下にある証明書内容を表示しているウィンドウ）を抜き出すように編集していたんで、それもどうなのかなぁ、とは思っていたけど。

編集しているのがまずいと思ったのか、内容が不適切と思ったのか、画像を削除した理由は分かりませんが...

EV-SSL の『逆』効果

[rbinro (36658)]

EV-SSL証明の書の普及に伴って、「アドレスバーが緑→安全」という意識が広まってしまった場合、
インラインフレームだとか共有サーバでのEV-SSL等での詐欺行為が楽になります。
そういう意味では、SSLだろうとEV-SSLだろうと、セキュリティレベルはほとんど変わりません。

SSL証明書も社会的信用とセットでなければだめな時代

[akiraani (24305)]

　SSLは本来通信経路の信頼性を証明するものでしかないわけだけど、少なくともブラウザに最初からインストールされている証明書については、ある程度の社会的信頼を証明できるものでないといけない時代になっているのではないかと思います。

　アクセスしたサイトが信頼できるかどうかを担保にするためには、SSLのようなルート証明も必要ですが、サイト運営者の信用についても証明が必要になります。これはどちらか片方だけではだめで、両方セットになっていないと意味が半減します。
　今回のケースで言えば、Webサイトの乗っ取りを簡単に許して長時間気づかないようなゆるい運用のサイトがないかどうか定期的に監査するといったレベルのことまでケアするサービスが必要になっているのでは。

＃と似たようなことを「本物の」サーバ証明書を持つフィッシングサイト [srad.jp]にも思った。
＃これも関連ストーリーに追加すべきだと思う。

--
しもべは投稿を求める →スッポン放送局がくいつく →バンブラの新作が発売される

Re:SSL証明書も社会的信用とセットでなければだめな時代

[nisiguti (1286)]

> 少なくともブラウザに最初からインストールされている証明書については、ある程度の社会的信頼を証明できるものでないといけない時代になっているのではないかと思います。

いや、それは違うように思います。

実社会の「証明書」が、学生証や社員証といった特定の組織の所属を証明する物から、パスポートや運転免許証といった広く公に身元を証明する物、或いは公的な資格の取得を証明する物といったように、証明書が認証する範囲や内容が色々と有る様に、PKIの証明書に関しても様々な水準の証明書が使い分けられるべきだと思います。

ブラウザに予め格納されている証明書は「発行された証明書に嘘偽りが無い」という水準であって、その発行基準としてCP/CPSが公開されているのですから、それをユーザの自由意志で使い分けられるというのは、それほど間違っているとは思いません。
もし仮に社会的信用まで証明する必要が有るとなると、証明書を発行するための認証基準が現在のEV-SSL以上に高まるのですから、サーバ証明書を取得するための費用は数倍にも跳ね上がると考えられます。そのような高コストな証明書しか選択肢が無い状態は、サーバ運営者のTLS/SSL離れを呼ぶ事となりネットワークのセキュリティは返って低下するように思います。

Re:SSL証明書も社会的信用とセットでなければだめな時代

[meta (7332)]

akiraani (24305) 氏が書いている内容をどうこういうつもりはありませんが、
AC で書かれると氏の書き込みのスコア補正ができなくなってあなたが困りませんか？
2ch でも荒らしがコテハン外すと面倒ですよね。

テキに登録して、テキのスコアを -6 にすればいいのに。

Re:SSL証明書も社会的信用とセットでなければだめな時代

[Anonymous Coward]

敵とスコア補正でフィルタリングできるのに、わざわざACに紛れることを推奨する意味なんてないでしょ。
せっかくIDで書いてくれてるんだから気に入らないならID取得して敵登録すればいいのに。

Re:SSL証明書も社会的信用とセットでなければだめな時代

[Anonymous Coward]

そうじゃないでしょ。「邪魔だからACで書いてよ」というのは矛盾している。「邪魔だからIDで書いてよ」というべき。ACで書かれたらNGできなくなる。邪魔ならそれこそACで書かせるべきではない。

Re:SSL証明書も社会的信用とセットでなければだめな時代

[greentea (17971)]

内容としてはそこまでおかしなことを書いてあるとは思わなかったのですが、
出鱈目と言い切れるほどに間違っている部分って、どこらへんでしょうか？

> > SSLのようなルート証明も必要ですが、
> 何だそれ？「ルート」？「route」のことかい？
最初の行に
> SSLは本来通信経路の信頼性を証明するものでしかないわけだけど
とあったので、routeのことでしょう。

--
1を聞いて0を知れ!

Re:SSL証明書も社会的信用とセットでなければだめな時代

[akiraani (24305)]

　おそらく、SSL証明書発行サービスが他に付加価値的なサービスを追加することは間違いだとおっしゃりたいんだと思います。その前にあったストーリーでも似たような主張をされるACさんがいらっしゃったんですが、ネット上の保証をするところがネット外の保証も同時にやってはいけないという強迫観念のようなものがあるようです。

＃なぜそれがいけないのかについては、どのコメントからもさっぱり読み取れませんでしたが。

--
しもべは投稿を求める →スッポン放送局がくいつく →バンブラの新作が発売される

正規の詐欺サイト？

[hime (22842)]

SSLは盗聴防止でサイトを保証するものじゃないから

詐欺するためにいちからサイト立ち上げられたら
意味無いです

詐欺サイトっていうか悪徳商法サイトには無力です
(のっとるとかいう以前の問題)

--
〜〜 姫 〜〜

だからSSLもSPFも内容までは証明しないって

[Anonymous Coward]

言ったでしょ？！

ばっかじゃないの！　バーカバーカ。

Re:

[Anonymous Coward]

内容証明したって、サーバー乗っ取られちゃ意味がない。

サイトの内容、運営共に正常に稼動している（ようにみえる）が、入力された個人情報が全て別のサーバーにもコピーしているECサイト

なんてのが出てくるかもしれない。

Re:だからSSLもSPFも内容までは証明しないって

[Anonymous Coward]

出てくるかも、じゃなくてどのサイトもそういうものだと思って使うのがいいんじゃないかな。

インターネットバンキングを使う口座には盗られても悲しくない程度の金額だけ置くようにして、まとまったお金は他行のインターネットバンキング申し込んでない講座で管理する、とか、通販使うなら住所と名前とどんなもの買ってるかは世界中に公表されてると割り切るか、そうでなければ私書箱使うか。

SSLがどうこうなんて、リスク管理全体からしたら瑣末なことに過ぎないと思う。

Re:

[Anonymous Coward]

特許既に申請してますか？

申請してないのならこれで公知になりました残念賞。

べつに乗っ取らなくても

[Anonymous Coward]

べつに乗っ取らなくても共有SSLが使える無料サーバーでフィッシングしても同じことでは?
そもそもSSLなんてハンコつかなきゃ発行できないって類のものじゃないし、安いところなら年間3,000円も払えば偽名で取得できるわけで、技術的な側面を説明せず安易に「SSLなら安全」って間違った啓蒙だけをし続けてきたしっぺ返しがきてるってことじゃないですかね。

Re:べつに乗っ取らなくても

[makoto_h (976)]

SSLで暗号化してるから大丈夫って説明はなんかこう・・・・ですよねぇ。

EV-SSLも、緑色だから安全！、ってこう・・・、
EV-SSL提供する共用サーバを提供する業者とか、全然意味無いじゃん、

なんかこう、説明が面倒だからって肝心なとこ省かないでほしいもんです。

EV SSL 付きの共用サーバー?

[fcp (32783)]

緑色という色だけではなくて、緑色ならそこに表示されている会社名なり組織名なりを確認する、というのは当然として。

EV-SSL提供する共用サーバを提供する業者とか、全然意味無いじゃん、

そんなことをしたらサーバー会社の EV SSL 証明書の信用がなくなるわけで、そんな誰得サーバーあるわけないじゃん。

……と書こうと思ったら、 #1603143 [srad.jp] の人も紹介してくれている高木浩光さんの「EV SSL を緑色だというだけで信用してはいけない実例 [takagi-hiromitsu.jp]」 (高木浩光 @ 自宅の日記) によると、 EV SSL 付きの共用サーバーなんてものが実在するんですね。何でしょうこれ。 EV SSL に恨みを持つ誰かが EV SSL を亡き者にするために EV SSL に対する誤解を広めようとして捨て身の攻撃を仕掛けているとかだったら、理解できますが。

しかし、「共用SSL」サービスにEV SSLを用いることには意味がない。意味がなく、かつ、紛らわしく誤解をする利用者もいるだろうから、やめてほしいと思う。

という高木さんの感想にまったく同感です。

高木さんは実験のために月額 1,575 円のサービスに申し込まれたみたいですが、ほかに顧客がいないことを願います。

Re:

[Anonymous Coward]

> ほかに顧客が
少なくとも47件ほど利用者がいる [google.co.jp]みたいです。有償サービスだと賠償問題にも発展しかねないしもう後には引けないのではないでしょうか。

Re:EV SSL 付きの共用サーバー?

[fcp (32783)]

少なくとも47件ほど利用者がいる [google.co.jp]みたいです。

情報ありがとうございます。検索結果の 47 件の中にはこの共用サーバーへのサービス申し込みのためのページ等が含まれているので、 Google で見つかる利用者の数は 47 よりは若干少ないのですが、それでも 40 以上はいそうですね。

これは……これはきっと、全部セキュリティー研究者の実験に違いありません。なーんだ、びっくりした (現実逃避)。

有償サービスだと賠償問題にも発展しかねないしもう後には引けないのではないでしょうか。

賠償問題に発展する可能性がどれだけあるかはわかりませんが、今更後には引けないという面はあるかもしれませんね。

Re:

[Anonymous Coward]

技術的な側面を説明せず安易に「SSLなら安全」って間違った啓蒙だけをし続けてきた

ただ，これは「技術的な側面」を説明したところで

1. 単純に理解が難しい(暗号とはなんぞや，なにが担保されているのかなど)
2. そもそも，「(心中で思っている)お目当てのサイトであること」を確認する方法とは， SSL自体なんの関係もない

という問題があります．

後者は極めて根本的な問題で，SSL/TLS以外でも現在のところ なにも解決策は見つかってないんじゃないですかね．

# 「レピュテーション」でどうにかなると思うほど楽観的じゃない…

Re:

[Anonymous Coward]

昔はSSLでも身元確認しているので安全な時期があった。
今はそれはEV-SSL。
SSL証明書なんてただの会員証なんだから、SSL屋ではなく目的毎にちゃんと分類して発行/確認できるようになればいいんじゃないんですかね。
たとえば親会社が子会社のSSL証明書発行して身元保証するとか、JASRAC等々業界団体やなんとか協会が所属してるよ証明にSSL証明書発行するとか。

Re:べつに乗っ取らなくても

[Anonymous Coward]

昔はSSLでも身元確認しているので安全な時期があった。 今はそれはEV-SSL。

そんなあなたにはこちら [takagi-hiromitsu.jp]をどうぞ。

Re:

[Anonymous Coward]

ただの会員証だって言ってるのにそれ出されても、何の参考にもならない。
その企業がサーバ運営してるのは間違いないんだからそれでいいんじゃないの?
運営者以外の何かを保証しているとでも思ってた?

Re:

[Anonymous Coward]

> たとえば親会社が子会社のSSL証明書発行して身元保証するとか、JASRAC等々業界団体やなんとか協会が所属してるよ証明にSSL証明書発行するとか。
その親会社なり業界団体が発行した証明書は信用できるんですかね。

Re:

[Anonymous Coward]

今は製品やサービスごとにわけのわからないドメインが乱立してますよ。それがどこが運営してるかなんて、正直わかりにくすぎる。
何も素性がわからないペーパーカンパニーよりは身元の証明になるんじゃない?
発行管理は今までどおりのところに任せてもいいと思うけど、中間証明書に所属団体はさんでおけば、銀行なんかの業種を装うとか、そういうことはできなくなるんじゃない?
届け出、許可が必要な業種で、違反したら停止とかやりやすそうだし。
類似名称にご注意って事象等々は減る気がした。見せ方はそれなりに工夫する必要があるかも。

DNSSECしかないよ

[Anonymous Coward]

そうおもうんだな。