Let's encryptとSSL/TLSに関する誤謬 - Chienomi

全く以て意味不明な誤謬がはびこっていた上に、やたら上から目線だったので、消火しておこうと思う。 そもそもSSL, TLSとは何か SSL/TLSは暗号化技術である。 SSL/TLSのデータ通信自体は対称暗号である。ただし、暗号化に利用する暗号鍵は使い捨てる。 Cipherはかなり色々使えるのだけど、だいたいはTriple DES (3DES)かAESが使われる。 その手順は <- HelloRequest -> ClientHello <- ServerHello <- ServerCertificate <- ServerKeyExchange <- ServerHelloDone -> ClientKeyExchange -> Finished -> ChangeCipherSpec <- Finished <- ChangeChiperSpec <-> Application Dat

[koseki]

組織名がでるのは EV。 DV と OV は見た目がほぼ一緒です。

[localnavi]

年間数万～数十万のボロい商売をしていた会社からすれば、維持費0円でSSLが導入できる Let's encrypt は本当に疎ましいんだろうなあ、とは思う。無料で使って設定代行もしている当方としては Let's encrypt 様様だが。

[limithand]

「4.DVとOV」の説明、OVとEVごっちゃになってないか？ / 記述内容訂正されてました。DVとOVは外見上見分けつかないよね、そもそもエンドユーザはそんなの知らんわな

[masay_i]

　 li cVz

[houyhnhm]

ん？世界の三分の一くらい占めてるけどSymantec EVが手続き怪しかったりして既にEVの信頼性担保が出来ないという話があっての話だよねえ。つまるところEVの構想が失敗してんのですよ。

[hevohevo]

意味がないはさすがに言い過ぎじゃないかな。僕は「過剰なケースもある」だと思う。例えばac.jpやgo.jpドメインあたりはDVでも十分。むしろLet's encrypt利用してSSL化を進めるよう国で方針を定めて欲しい。

[qtamaki]

Let's encryptが駄目なんて言ってる連中がいるのか。どうせパスワード定期変更とか秘密の質問を有難がる連中と同属だろ。安全より安心ってね

[FOx]

単に Let's encrypt は無料で簡単にSSL化できない頃にポツポツ流行り出して、違法サイトとかにも使われてたのが当時は目立ってたから勝手な先入観で「危ない」と言う者が居るんだろう

[NOV1975]

当事者の問題意識は「簡単に発行されてしまうサーバ証明書怖い」なので「認証局を信頼できれば暗号化の安全性は保証できる」ということとは別個の（意味不明ではないが意味のない）心配をしているんだよなー

[OkadaHiroshi]

SSL は今はもっと安い、たとえば Namecheap だと一年間 $8.88 (1000円以下) ワイルドカード証明書でも $74.88 Let's encrypt の設定の手間を考えたら複数年分買ってしまったほうが楽なときもある。

[tmatsuu]

OVとDVという概念を作ったときに認証局からブラウザ実装者に対してOVの場合はOを表示するような働きかけがあったのかが気になるね。あと日本の企業は意外とOVな証明書を採用してるんだけど気づかないだけ。

[georgew]

そもそもSSLは暗号化が本筋であって、証明書が本体ではないので、そこに完璧を求める気もない仕様だ > これは腑に落ちる。

[tanigon]

Let's Encryptオカルトについて

[kkobayashi]

証明書のせいでやたらと面倒になってる感はある／opensshはopensslのライブラリを使ってるけどSSLではないよね

[tosebro]

DV/OV/EVを選択するガイドラインとかあると良さそう。

[belgianbeer]

よく書いてある良い解説

[defiant]

主題は確かにそうだけど細かい表現が微妙。3DESはイマドキそんなに使われますか? SSLは目的の相手と暗号通信するのが重要なんて暗号化だけが重要なわけではなく署名も重要。改ざんされてないことも確認しないとね。

[jtw]

どこの誰と通信しているのかを気にするやつなんていないと言い切るとは恐れ入る。こう考える人が個人サイトのみならず、政府サービスでも自分の会社の証明書とか使うんだろうな。

[yuno001]

暗号化だけであればオレオレでも良いが、dnsが汚染された時の対策としてドメインの認証された証明書を使用すべき、という意味かな。

[a-know]

よかった

[t-murachi]

MITMが盗聴より難易度高いのは異論はないけど、通信を保護する側からすれば、それが容易に可能な立場の人間 (ルーターを設置できる出入り業者等) からも情報が保護されていることを証明する必要はあったのよね(´･ω･`)

[yodelx]

　Let's encryptで無料でSSL導入がしやすくなったよね。善き哉。

[takhasegawa]

銀行のサイトだとか、重要な情報を扱うサイトにアクセスするときはEV SSLの企業名普通に確認するけどなぁ

[timeout]

至極真っ当な内容ですが、注目を集めているエントリである事に驚く。 って事はまさかここに書かれている事を理解していなかったわけ？え？っと詰め寄りたくなる。

[nati_ueno]

重箱の隅だけど、CRLを取得しないといけないから証明書の検証にもサーバアクセスは必要。まぁ 静的ファイルの配布なのでパフォーマンス上は問題ない点では同じ。

[Phenomenon]

別にオレオレ証明書でもええやんと思う。

[newmind]

ごめん。ラノベじゃないんだから。 言いたいこと先に言ってくれる？読めないわ。

[hirata_yasuyuki]

OVは証明書に組織名が入るけど、アドレスバーには表示されないのでは?

[KoshianX]

求められるセキュリティレベルなんてサイトによるのに、ただよ商品紹介ページをsslまで用意して保存してたことがすごいわ

[mcq]

暗号化の逆は、復号化ではなく復号

[aaaa_a4]

まぁ大手企業ならEV取ってくれるとアドレスバーで分かりやすいので安心感はある

[chuukai]

「誤謬がはびこっていた」ことのソースの１つとしては、追記前のスラドの記事があるなhttps://security.srad.jp/story/18/06/07/0535217/

[saharamakoto]

了解♪ SSLの目的は ・安全な暗号化を行う ・サーバーがドメインの所有者であることを確認する

[d0i]

盗聴は容易だが中間者攻撃は困難、って論拠なく断言してるけど何故？？

[love0hate]

内容はもっともではあるが、「全く以て意味不明な誤謬」のソースが示されてないので、若干何と戦っているのかよくわからん・・・。

[fk_2000]

10年前くらいに認証局自分で立ててオレオレ証明書を発行してテストすることからしか入門できなかったからね。正式な証明書を無料で発行できるLet's encryptと混同しちゃってるんだろうね。