上原 哲太郎/Tetsu. Uehara on Twitter: "うわー！証明書がLet‘s Encrypt！東証一部上場企業のサイトとしては衝撃的やな…この会社の情シスのレベルとか、この会社がサイバーでの信用というものをどう考えているかとか、色々考えさせられるわ… https://t.co/9UMVfA6BUl"

うわー！証明書がLet‘s Encrypt！東証一部上場企業のサイトとしては衝撃的やな…この会社の情シスのレベルとか、この会社がサイバーでの信用というものをどう考えているかとか、色々考えさせられるわ… https://t.co/9UMVfA6BUl

[Haaaa_N]

Let's Encryptで何が悪いんだろ サーバ認証と暗号化出来てて不足ないと思うんだが そんなにEV証明書って必要か?

[nakakzs]

大げさに言うほどはLet‘s Encryptで悪いとは思わんけど。|むしろ有償のものでも昨年あったChromeでのシマンテックSSL失効提案なんてのもあるわけで。

[SUZUSHIRO]

有料は良くて無償はダメ脳

[cocoonP]

Let's Encryptは多くのCDNとかで割と標準的に使われてるんで、上原先生みたいにセキュリティ界隈で権威のある人が「信用ならん」て言っちゃうと結構深刻なダメージが業界にあると思うんだよなあ。

[tarotheripper]

うわー、！「上原哲太郎 総務省」でググって2番目に出てきた総務省のページ、証明書がない！G7加盟国の行政機関のサイトとしては衝撃的やな…この国の情シスのレベルとか、この国がサイバーでの信用というもの…(ネタ)

[netcraft3]

何が問題なのかわからん。東証一部上場企業のサイトはEV証明書にしろってこと？

[mori_morix]

金払うDVにも問題は色々起こってるわけだけどLet's Encryptであるのが問題な理由がわからん

[j5ik2o]

なんでLet's Encrypt!がダメなんだろ…謎い

[NOV1975]

シマンテックがやらかして以降でこんな考え方を持っている人がベンダーとしてやってきたらお引取り願うかもしれん。

[shrkw]

このひとはフィッシング詐欺対策としてのサーバー証明書について言及してるんであって、みんな一旦落ち着け。あと、証明書情報のみにくさとかCAのチョンボとかは切り離して考えてくれ。

[naqtn]

誰もリンクしていないので一応： https://twitter.com/HiromitsuTakagi/status/1004027194371334144

[megascus]

何が問題なのかさっぱりわからん。。

[infobloga]

EV, OVじゃないということを指摘しているなら、一応話は分かるけど、他のDVと比べてセキュリティ上問題があるというのは全く意味が分からない。

[secseek]

確かにどうなのって話ではあるのですが、それで結果的に「じゃあ暗号化なんてしない方がマシ」という方向に行かないといいな、とは思います。Let's Encryptだって暗号化なしの平文よりはずっといいですから

[dazed]

通販サイトでLet'sはマズいんでないの。サブドメインだし本丸ドメインはGlobalSignだからいいのかも？だけど、安上がりにEC作りたかったっていうやる気のないポーズ的なサイトなんで同情も忖度の余地も無し

[nomanssky00]

ツイートなのに「、」や「。」じゃなくて、「,」「.」を使うさりげない知性アピールが可愛い。

[sucelie]

EV-SSLを1ヶ月更新してるなら許してやる

[te2u]

何が衝撃的なのか、何を考えさせられるのか、さっぱりわからなかった。

[dot]

エンジニア的には何が言いたいのか、訴えたいのか理解できぬ... DVサゲのEV/OVマンセー的な？だとしたら Let's Encrypt 関係無いし。

[morita_non]

買収したStartComの証明書管理が杜撰で大手のブラウザから軒並みブロックくらったりした中国のWoSiglnとかがいいんですね！

[mongrelP]

そもそもSSLですらない行政機関よりはマシじゃないの感。いやオンラインストアあるなら話は別だが。

[new3]

OV,EV使えって話し？

[n314]

他のツイート見たら、実装の汚さでEVが好きじゃないと書いてあるから、OV推してる意味はユーザー視点では特に無いんだろう。

[tapiokadon]

こんなに鬼の首とったような罵倒する必要はないと思うけどなー。レッツよりヤバイ証明書いくらでもあるよ。

[tbsmcd]

敢えて好意的に解釈すると、社会的な信頼性が高く「見える」ことがビジネス上重要なのは分からなくない。しかし専門家ならば「うわー！」ではなく技術的価値と顧客の安心を整合させる方向に動かないとダメだろう。

[shimokiyo]

エンジニア目線だと「暗号化してるならDVで十分」だが、一般ユーザーは「その企業の使っているドメインか(ドメインのwhoisで調査しないと)わからない」という問題が残るのでEVの方が良いだろうという話。

[ustar]

5月にカード情報流出をやらかしてるとか証明書の情報見ても会社名が出てこなくてこのドメインを信用してねということで顧客側にリスクを投げていないかとかそういう話だと思う

[FutureIsWhatWeAre]

その後つらつらと言い訳を述べているが説得力が無く馬脚を現した格好

[tyatya_moon]

とりあえず更新が面倒だけの意味では、DigiCertでもいいけど。ただ単純にSSLレベルで対応するなら無料で使えるLet's Encryptでいいんじゃないのかなぁ。信用を売りにしている銀行レベルならEVがいるかもしれないけど。

[moto_2010]

煽り気味につぶやいてみた結果、想定外の反応がきて一生懸命取り繕ってるのいいとおもいます。

[JULY]

個人的には、汎用JPドメインのような、個人でも取得できるドメイン名を使っている企業の方が、信用度が薄い。co.jp なら、少なくとも登記の情報が存在していた事になる。

[megamouth]

「私は電子フロンティア財団(EFF)の代表です」という展開を希望

[solidstatesociety]

レッツ¥くれぷと

[ssids]

真面目に考えれば信頼とは何ぞや、という話になるから難しい / ブラウザに入ってるルートCA証明書を利用者は盲目的に信頼していいのか、とか、WebTrust規準のプロセスさえ守っていれば信頼ってできるの？とか

[tohokuaiki]

何言ってんだ？東芝とかmixiとか、HTTPSでアクセスするとHTTPに飛ばされるんだぞ！総務省に至っては403だぞ！https://www.soumu.go.jp （論点ずらし

[KariumNitrate]

うーん、これは無償がだめなのか、実在証明が無いのがだめなのか、どっちだろう。▼その後のツイート見たら実在証明の様子。なるほど、通販サイトなのね。利用者に安心してもらうんなら現状EV一択ではあるけど。

[masatomo-m]

DV証明書とはいえ、morinagamilk.co.jpドメイン配下にあるわけだしそんなに問題があるとは思えないけどなあ。これが誰でも取れるkenko-morinaga.jpとかだったら確かに問題かもとは思う

[kathew]

根拠もなしにスレ立てとな？