高木浩光＠自宅の日記 - エコポイント申請画面が共用SSLサイト上にある件

■ エコポイント申請画面が共用SSLサイト上にある件 「エコポイント」の情報システムがわずか３週間で完成した理由, 有賀貞一, NIKKEI NET, 2009年8月26日 こうした問題を解決するために、エコポイント事務局と関係省庁が選択したのが、米セールスフォース・ドットコムの基盤サービス「Force.com」だった。セールスフォースはこのForce.comを「クラウドコンピューティングプラットフォーム」と表現している。利用者はサーバーなどのインフラを持つことなく、この基盤上で独自のシステムを構築できる。 という記事を読んで、「エコポイント」のサイトを初めて訪れたのだが、これはまずい。 「エコポイント」公式サイトの運営者は、「グリーン家電エコポイント事務局」となっていて、プライバシーポリシーでも個人情報取扱責任者が「グリーン家電エコポイント事務局」として書かれている。しかし、国民の視点か

[MinazukiBakera]

高木さんはセキュリティ研究者で、昔からずっと共用SSLサービスの問題点を指摘してこられています。たとえば http://t.co/3acM7HH

[nilab]

高木浩光＠自宅の日記 - エコポイント申請画面が共用SSLサイト上にある件:「政府機関のドメイン名であることが保証されるドメイン名（以下「政府ドメイン名」という。）を使用すること」「（ご英断に感謝します。） 」

[hiro55bs]

ケンチャナヨでも構わないところと、そうでないところを峻別する必要がある。

[ardarim]

こういうのって誰もセキュリティ監査しないの？ ルールはちゃんと決めててもまともに運用されてないという典型例だよねこれ…

[rti7743]

テスト工程と同じでセキュリティにかける予算なんてwww んなことだから世の中情報漏えいがとまんないわけだよなー

[takunama]

"なによりもまずいのは、こうした真正性の確認できないサイトで入力することに国民を慣れさせてしまうことだ"

[mi1kman]

すでにリンク元に表示されてるけど参考 http://oku.edu.mie-u.ac.jp/~okumura/blog/node/2440

[venture]

大多数の人はすでに "SSL = 安全"程度の認識だからなあ。

[nisshi_jp]

.go.jpでないのは事業事務の主体が国ではないからかな？とすると基準には抵触しない？Cf. http://www.env.go.jp/policy/ep_kaden/090601a.html／SSLで「グリーン家電エコポイント事務局」だと確認できても何それ？という根本的な問題が…

[itochan]

ブログにかける時間感覚。十分な検討をしていたら時間はかかって当然。それが見えない信頼の基礎。　　＞なお、この日記は、冒頭の記事を読んでからわずか1時間で書き上げた。

[JORG]

そもそも3週間で.go.jpってとれんの?（書類手配的な意味も含めて） / エコエコポインツエコエコポインツ

[Lunacat]

浩光先生，仕事が速い！

[kuracom]

形式的には *.sakura.ne.jp とか *.lolipop.jp を政府が使用しているのと変わらんよね

[f_oggy]

クラウドでサクっと構築した結果がこれだよ！って感じ

[yuchi]

エコエコポインツって...

[stealthinu]

むはー、なんでこんなところでケチるかね？てか単にgoドメインとるのがめんどくさかっただけなんでは。政府の仕事でお金もちゃんとでた仕事だろうに、こんなところ手抜いた仕事するんだね。

[deep_one]

サイトの正当性証明になっていない、ってことね。

[chroQ]

ダメ過ぎるw ドメイン名はまだしも共用SSLはさすがにアウトだな。

[somat]

共有/専用ドメイン と信頼性

[kdaiba]

salesforceの商品ラインナップに適切なものがなかったのかな？

[T-miura]

「内閣官房情報セキュリティセンターの「政府機関の情報セキュリティ対策のための統一基準」」とかも知らないと政府系のサイト作れないのか・・・・

[mitsuki_engawa]

「安くて早くて旨い」の裏にある、見えにくい「全体のコスト」の話。

[yasyas]

わははなーんも気にせず登録してたわwww

[mackey13]

公共サービスならなおさら気をつけないとね。

[fukken]

「信用度はドメイン名でかなり測る事ができる」という事実が、あまり一般に浸透していないのだろう。だから.co.jpや.go.jpではなく、.jpを平気で使う。なんだろう、独自ドメイン取らせると儲かるのかねweb屋って

[kazuhooku]

エコエコアザラク

[mumincacao]

共有 SSL ってそんなとこで経費削減しなくても…また『鍵が出るから安全です』とかなのかなぁ？（´・ω・｀；【みかん　経路での暗号化ができてもお届け先の保障がないのは行政さいととしてはちょっと…

[buty4649]

これはひどい･･･

[TakamoriTarou]

こんな事になってたのかぁ。Forceってよくわからないが、この手のやつってSSL使った所は普通ドメインぐらい簡単に分けられるようになってないのかなぁ。いくら時間がなかったからってもう少しなんとかならんのかと

[tagomoris]

霞が関クラウドが出来ても移らないし解決しないだろ。force.comのアプリ基盤があるから選ばれたわけで。／force.comを対外サービスに使うってのはどうなんかね。元々想定されてるのかな。