高木浩光＠自宅の日記 - PKIよくある勘違い(3)「プライベート認証局が妥当ならオレオレ認証局も妥当だ」

■ PKIよくある勘違い(2)「安全に配布すればルート証明書を入れさせてよい」 オープンソースプロジェクトなので……？ 1月20日の日記「日本のPKIを殺した真犯人は誰か」に対して、「SQS Development:暫定的な方法：SourceForge.jp上のHTTPSで保護されたページを通じて，証明書のMD5SUM値を確認する」というトラックバックを頂いた。訪れてみると、オープンソースプロジェクトとして開発されている、「SQS SourceEditor」と「SQS MarkReader」というJavaアプリケーションが、Java Web Startの仕組みで配布されていた*1。 配布されている「SQS SourceEditor」を起動しようとすると、図1の警告画面が現れる。 「このコードをインストールおよび実行しないことを強くお勧めします」と警告されているのは、「この証明書の信頼性を検

[Akaza]

SSL / 企業のプライベートCAについての言及 / その正当性とオレオレ認証局との違い / CAの秘密鍵が流出した場合のリスクに着目

[deep-sound]

PKIのことを「PKI技術」などと書く人がいるが、PKIは技術ではないのだ。「I」は「インフラ」なのであり、PKIとは社会システムを指す。

[deep_one]

（5）の盗聴が可能、というのは表現として微妙な気がする。第三者中継の事か？

[JULY]

Linux のディストリビューションのパッケージみたいに、gpg が使えると良いんだろうけどなぁ。

[tgk]

「(自分が作った)ルート証明書の秘密鍵が流出すれば、その鍵を使って、たとえば「Microsoft Corporation」を名乗るコード証明書を作って、悪意ある署名済みソフトウェアを配布するといった悪事が可能になってしまう」

[nazoking]

もし、ルート証明書の秘密鍵が流出すれば、その鍵を使って、たとえば「Microsoft Corporation」を名乗るコード証明