Japanの記事、日経ITProの記事、インターネットコムの記事などによると、クローバー・ネットワーク・コム社が、フィッシング詐欺とファーミング詐欺を防止できるとする偽サイト判定ソフト「DocWall」の無償配布を開始したそうだ。動作の仕組みは、同社がホワイトリスト(正規サイトのドメイン名とIPアドレス)とブラックリスト(偽サイトのアドレス)を管理し、それにしたがって、ブラウザ側で警告を出したり、本物サイトであることを表示したりするというもの。これらのリストは、自動アップデイト機能によってダウンロードされるという。利用者側は無料だが、サイト運営者側は同社のホワイトリストに掲載してもらうのに年額10万~200万円の料金が必要。「フル機能」の場合は、大手金融機関で契約金2000万円、年間運用費2000万円からとのこと。ところで、そのクローバー・ネットワーク・コム社のサイトには、SSLで接続される「お問い合せ」のページがあるのだが、これが先日話題となった「オレオレ証明書」で運用されているようだ。自動アップデイトの通信の安全性は大丈夫なのだろうか。技能オリンピックって知ってる?オレオレ証明書の警告に「セキュリティ上の問題はございません」と解説する銀行が登場この議論は賞味期限が切れたので、アーカイブ化されています。新たにコメントを付けることはできません。(#821698)大して役に立たないが、素人目にはなんだか役に立つかのように見えるクライアントソフトを、低コストで開発する。↓クライアントソフトを無料で配りまくる。↓パソコンメーカーに、掲載料を払ってでも、プリインストールしてもらって、とにかく普及させる。↓サーバーサイト側に「登録してあげます」と登録料を要求する。登録事務にかかる適正価格とは桁違いの値段を登録料とする。↓サイト側でかかった不要支出の分だけ消費者が見えないコスト負担を強いられる。消費者はなんだかよくわからないものを使わされるだけ。(#821736)いやギャグではないにしても。・ダウンロードはHTTP・実行ファイルにもデジタル署名無しオレオレ証明書の他にもやる気の無さは現れまくってますがな。これで何を保証しようというんだ。Bellコピペして修正し忘れたみたいですね。Files\docwall\list\webhostblackか?)には何も登録されていないようだ。ファーミングにも警告を出すとのことだが、hostsファイルを書き換えてフィッシングサイト(東京三菱銀行「www.btm.co.jp」にフィッシングサイトのIPアドレスを設定)にアクセスしてみると、「認証済みのサイトにアクセスしています。」と表示されてしまった。Files\docwall\list\webhostwhite)の改ざんチェックをしていない。空のファイルと置き換えてみると、それまで認証済みサイトと表示していたサイトが未登録サイトになってしまう。書き換えられちゃうわけですね。体験レポートがあるようです。Co.,Ltd.」とまさにオレオレですね(笑)しかも、タレコミにあるcnetなどの記事によるとホワイトリスト掲載などに必要な「Web認証登録」の料金は、年額10万~200万円。「フル機能」を利用する場合の価格は企業規模によって異なり、大手金融機関の場合で契約金2000万円、年間運用費2000万円から。ホワイトリストへの掲載は有償、いったいどこの会社が登録するのでしょうか?大体、特別なクライアントが必要で、一般的じゃないホワイトリストを利用するメリットが分かりません。前に話題になった例のとこみたいにならないと良いけどね。そのドメイン内のサーバであることを確認する。悪い人が使っていたとしたら、普通のユーザに区別がつくでしょうか。金融庁の管理する銀行サイトホワイトリスト)であれば有効だと思います。今回上記条件を満たしているかどうかは疑問ですが。そのドメイン内のサーバであることを確認する。クライアントが自動的に検査してくれるので、人が確認する必要はありません。(#821769)まあ、アドレスバーでも証明書でもどちらで確認してもいいと思うのですが、アドレスバー偽装(きちんとアップデートされているUAなら問題ないでしょうが)の可能性からアドレスバーよりもcnを見た方がより安全かなと思ってこう書きました。いう紛らわしい証明書は発行してもらえないはずでは。数千円で取れる証明書ではそんなチェックしてないでしょう。発行元が外国な場合は、類似してるかどうかもわからないし、どちらが本物かどうかの区別もできないでしょう。日記ホワイトリストに載せるお金を出さないと、ブラックリストに載せたり、フィッシングサイト作ったりするぞ。言うような新手の企業恐喝に使えそうですね。(#821748)Web認証登録ってのの値段は何処からくるのだろうか?ホワイトリスト掲載に載せたとして、その費用に似合うだけの何をやるのだろう。質の悪いミカジメ料にしか見えない。質の悪いミカジメ料にしか見えない。釣り堀入場料なのかも。2億1千万件に発信して、電話の使用状況を調査します。時々早朝や深夜にほんのわずかな時間、電話が鳴ることがあるんだがこういうののせいなのか。#なんとなく鳴ってるときにうまく取れたらいい事あるんじゃないかなー、とか考えてたけど。夜中にだだっ広いフロアで1人で仕事しているとき、フロアの端から電話の音が段々近づいてきて通り過ぎていくのは、ナカナカ怖いものがあります。最初に体験したときは、ビビッた。これかもしれないですねしかもわりと最近なので。(#821796)この手のソフトは昔から多数有りましたよ。私が3年前に引越しして固定電話を設置した当時、暫く毎日のように留守電に非通知・メッセージなしの着信があったのですが、最近は週に一回程度になりました。いうソフトを使ってる業者の間に"生きてる番号"として浸透したんでしょう。ちなみに、固定電話に非通知で毎日時間帯をずらして電話を掛けてきて、出た途端に切られる場合、その相手は"こちらが不在にする曜日・時刻パターン"を調べている泥棒とも考えられます。[2log.net]ようです。このときこの会社が売り出したのは「企業などの中傷を含んだ悪質なホームページを検索するサービス」だったとか。当事の議論では、これはむしろ悪徳商法を行なう企業に与しかねない危ういサービスではないか、という論調が見受けられます。いうのもあったろうに...。納得していないといけないわけです。日記...というような便乗詐欺にひっかかっちゃいけませんよ,というアピールをしているのではないかと妄想しました。(#821704)って何を基に作るのだろう?と素朴な疑問。見ただけなのでどこかに書いてあったらごめんなさい。日記ホワイトリスト掲載登録料金を払わない企業。[clovernetwork.co.jp]だそうですよ。(#821761)個人情報を入力するフォームなんかにSSL使ってるかどうかは聞かれましたけど。確かに、どういうサーバー証明書使ってるかまでは聞かれませんでしたねぇ。日記オレオレ証明書でも、他の方法で広くフィンガープリントを入手できるようになっていれば問題なんですがね。日記オレオレ証明書でも、他の方法で広くフィンガープリントを入手できるようになっていれば問題なんですがね。不特定多数に利用させることを想定していて、ルート証明書かサーバ証明書をインストールするよう促しており、安全なインストール方法が用意されているもの。(#821858)そもそもオレオレ証明書にあたらないのではないのでしょうか。件のページではオレオレ証明書の定義として次のようにあります。そのような証明書でありながら、サーバの管理者によって警告を無視していいと主張されている、あるいはブラウザの設定で警告を回避する(証明書を信頼できるものとして設定してしまう)ことが推奨されている証明書がいわゆる「オレオレ証明書」である自己認証の証明書でも、それが安全であると主張していなければ、単純にSSLを使っていないだけのページと同じ程度の安全性で、利用者もそのつもりで利用するというだけでしょう。安全でないものを安全だと嘘の説明をすることがオレオレ証明書の問題なので、安全だと言わない限りは非難される物でもないと思います。素朴な疑問として、ダウンロードしてきたブラウザとか、プレインストールさていたOSに最初から入っている証明書、というのは、どういう扱いになるんでしょうか?それを別途検証して使っているという人をあまり見たことがありませんが。いう意味では、そういうものもオレオレ証明書と変わらん、と結論付けざるを得ないのではないでしょうか。それを別途検証して使っているという人をあまり見たことがありませんが。結論付けざるを得ないのではないでしょうか。(#821791)信頼出来るルート=流通経路、配布元が信頼出来るかどうかでしょうから、無論その流通ルートが信頼に足る物では無いと判断するのであればオレオレ証明書と変わらないでしょう逆に言えば配布元、配布ルートが信頼できる物でありえるのであればそれはオレオレでは無いと言うことになります最終的に判断するのは使用者であり購入者ですまぁいい加減な証明書を添付して配布していたら、購入者以外の人からのつっこみも有るかもしれませんねMicrosoftや各ブラウザ提供者が配布している証明書は少なくとも信用できると一般的に判断されている?から使用されているのでしょう。SSL通さずに配布されてる訳で、オレオレ証明書の危険性として指摘されている、経路迂回とかされちゃうと容易に配布元と違ったものがユーザの手に渡ってしまう事になりますね。いうブラウザとかをダウンロードしてルート証明書まで確認する人がどれだけいるか?と言えば、ほとんどの人はそんなものまで確認しないんじゃないかな?でもなぜか信頼されてますよね。信頼されてると言うより、そこにオレオレ証明と同様な危険性があるとは誰も気にしていないし指摘している人もいないというか。それに対して、いわゆるオレオレ証明に対してはヒステリックに拒絶をするというのは、危険性の指摘にバランスを欠いていると感じます。ブラウザがhttpなんだからオレオレ証明でもいいじゃないかとか、オレオレ証明で騒ぐぐらいならブラウザの配布も問題にしろという話ではなく、どちらも同程度の危険性がある(むしろブラウザの方が明確にユーザがルート証明をインストールするという手順を経ない分危険かもしれない)にも関わらず、危険性の指摘がバランスを欠いているという事に対して、直感的な違和感があるというだけですが。デジタル署名があります。確認してみてください。V1.0には署名がありません。チェックが少し楽になってます。インターネット経由でダウンロードしたプログラムには「インターネットからダウンロードした」というマークが付きコード署名されて正当性が確認できたときは軽い警告(黄色)が出て、そうでないときは強い警告(赤色)が出たはずです。最終的に判断するのは使用者であり購入者ですであれば、フィンガープリントで検証するのもありですね。考えると、フィンガープリントを別途入手する手段が用意されているものを、そうでないものと一緒にして、ただし、認証や、アクセス規制がかからず公開されているWebページで使用されている自己発行証明書はオレオレ証明書扱いでしょうと括ってしまうのは、乱暴な議論じゃないでしょうか。いう立場の人が居ても良い訳ですが、そうでない立場もありますよ、ということで。(#821808)フィンガープリントをそれが参照する事の出来るすべての人に配布済みで、全ユーザーがアクセスする前orアクセスした直後に正常であることを確認するのであるのであれば、それはオレオレ証明書ではないでしょう。ちなみに出来ることが可能である事ではありませんそれは前の発言にも書いたとおりです、アクセスが確認できる人に制限されており、さらにユーザーに証明書等が信用できるルートで配布されていれば問題ないと言うこと逆に言えば参照できる全ユーザーがフィンガープリントを確認し、正常で有ることを確認するのであればオレオレではないと言うことです。確認しない人、まだ確認出来る物を持っていない人にとってはオレオレ証明書なわけです証明書の場合はブラウザが自動で確認してくれますから、少し条件が楽になりますが、フィンガープリントだと確認してもらわないといけないのでアクセスを限定しない限り実現するのは大変でしょう>と括ってしまうのは、乱暴な議論じゃないでしょうか。フィンガープリントを<<略>>確認するのであるのであれば、それと同等の検証を、ブラウザ・OSの配布・流通においては、どう行ってます?フィンガープリントが事前に全員に配られていなければならない、というのは厳しすぎる気がします。ブラウザやOSの配布・流通では、すべての人が検証手段を持っているわけですらないのですから。利用しようとする人のほとんどすべてが、フィンガープリントを(複数の手段で)入手できる、と言う程度が適当だと思いますが、どうでしょうか?それでも、ブラウザやOSの流通に比べて、厳しすぎるような気もしなくはないですが。-----...と、言うように、こう言った議論では、断定を避けるような議論になるかと思います。立場が違えば結論も違って当然なのですから。それも含めてどうでしょうか?-----ちなみに、ブラウザ・OSの流通だけでなく、管理者権限でインストールする必要のあるソフトウェア全般に対しても、同等の検証が必要になりますよね。(#821854)ブラウザの場合には、ブラウザを使わなければ当然ブラウザを使ってSSLでアクセスする事は不可能です。そのためにSSLの証明書はブラウザとともに配布されている訳でしょうまた各証明書発行団体の検証は配布側の企業・団体に委任されていると見て良いでしょう。[microsoft.com]それは、秘密キーの管理の確認であったり、発行先の身元の確認方法で有ったりするわけです。ユーザーはその配布団体を信用するかどうによって同時に配布されている証明書を信用するかどうかと言う事になりますそしてそのブラウザを使用して、配布された証明書を使用しSSLのアクセスを行うと言うことは、配布団体を信用するって事になるでしょう。発行元を信用するというのは...秘密キーの管理は厳重に行われる事を確認しなければ意味がありません。少なくとも他者に漏洩した時点でその鍵ペアは危険な物になりますから当然の最低条件です。自己証明の場合は上記を判断する事を流通を行う側ではなく、使用者個々人に対して要求する訳ですが、フィンガープリントとともに不特定多数対し判断可能な資料は提示されるのでしょうか?そしてそこまでを注意して個人に判断しろというのは、やはり不可能でしょうその組織が責任を持てる範囲なら自己証明で処理することは問題ないと思いますが、不特定多数にそれを実行する物ではないと言うことです。(#822007)>それと比べて、自己署名証明書とフィンガープリントの公告、という手段は、>どのくらい安全だといえますか?フィンガープリントはあくまで流通の正常性を証明するものですね。逆に言えばソフトMD5だったりするわけです発行者が信用できないのであれば双方とも安全ではないでしょう発行者や流通が信用できるものであれば、双方は信用できる元となりますそれに私はフィンガープリントで確認した証明書が安全ではないといっている訳ではありませんフィンガープリントで確認することが不可能な人、また確認しようとしない人にとっては、自己証明はオレオレ証明書でしかないのです。(#821860)当然なことだけど、秘密鍵がきちんと管理されていて、発行や失効のプロセスがちゃんとしていなければ、危険なことこの上ないですね。いうか、SSLと同じことをやろうとしてるわけ?大してスキルも無い人たちが、「SSLに換わるモノ」をでっち上げてるように見えるね。企業価値を粉飾するマネーゲームの一環なのかも知れないと穿った見方をしちゃうよ。警告メッセージを出すよう政府が指導すればいいのに。高木浩光氏曰く、病原体の発生源は政府である。この国のPKIはもう死んだに等しい。[takagi-hiromitsu.jp]--名物に旨いものなし!シェア親コメントより多くのコメントがこの議論にあるかもしれませんが、JavaScriptが有効ではない環境を使用している場合、クラシックなコメントシステム(D1)に設定を変更する必要があります。service.閉じるスラド読み込み中...。