高木浩光＠自宅の日記 - EV SSL導入に伴い生じ得る特有の脆弱性

ANSER WEBというASPサービスでインターネットバンキングを提供している金融機関が、EV証明書を導入した理由は、「NTT DATA CORPORATION」という社会的信頼の高い企業による運営であるという表示によって、利用者に本物サイトであることの確認手段を提供したことにあるのだから、これらの金融機関は、利用者が「NTT DATA CORPORATION」という名称さえ見てくれればいいことを前提としている。 しかし、もし、図3のように、ドブログのようなサイトでまで緑色で「NTT DATA CORPORATION」と表示されるような世の中になってしまったら、どうなのだろうか。 まず、少なくとも、EV証明書導入サイトがやってはいけないことがある。 もし、ドブログのユーザコンテンツ（つまりブログ）のページが、https:// でも表示できるようになっていたらどうか。どこの馬の骨ともわからな

[tinsep19]

従来のSSLではそのサーバ証明書の確認では、組織名と部門名と所在地を確認するものだった。ところが、EV証明書では、ブラウザが緑表示する会社名だけを見て判断することになる。

[itochan]

EV SSLが緑色でも、会社名が別なら信用しないこと。

[nihen]

【EV証明書は、その企業が実在することを証明するだけで、その企業が信用できる会社かどうかを保証するものではない】/【実在性を証明する基準が明確化され、認証局間で統一された】

[webmarksjp]

セキュリティ

[kgbu]

信頼できる「会社の名前」を表示しようというのがEV SSLの狙いらしい。その際、その会社が外部から取り込んだデータを表示する際にEV SSLを使うのは避けるべきだという話らしい。

[FTTH]

マッチでポンプな話。

[rna]

「ユーザコンテンツが https:// で表示可能で、かつ、EV証明書で運用されているとしたら、それは脆弱性」

[youhey]

会社を証明するという責任、EV証明書の看板としての功罪

[t-murachi]

humm...

[ardarim]

「企業名」で代表されてしまうわけだから、乱発していいものではないということか。企業ロゴとかと同じで厳密に（集中的に）ブランド管理する必要があるだろう。

[TakamoriTarou]

EV SSLの時と場合と使いどころ等の話。　なんとなく素人考えだが、証明書って名前が理解の妨げになってるのかなぁとか思ってみたり。　と言っても、いい言い換え思いつかないけれど……。

[inugamix]

<q>自由にHTMLコンテンツを書けるタイプのサービスで、ユーザコンテンツが https:// で表示可能で、かつ、EV証明書で運用されているとしたら、それは脆弱性であると言ってよいと思う</q>

[cubed-l]

SSL証明書の取得は法務が判断に参加すべき項目かもね

[nakag0711]

いよいよ証明書の取得企業が名板貸責任を負う時代が来るか

[koma-tak]

『EV証明書の導入にあたっては、会社単位で管理するべきであると思う』

[oldriver]

単純にEV SSLにすりゃいいってもんじゃないよ、という話。