証明書の内容についての記載は必要なのか? | 水無月ばけらのえび日記

しかし、これだけでは十分ではありません。実際にあった例では、フィッシング詐欺の偽サイトがSSLを利用していました。この場合、一見すると施錠された鍵マークが出ているので正規サイトと見分けがつきません。 (～中略～) ユーザーを大事にしている企業では、トップページなどに「当サイトのSSL証明書には次の様に記載されております」といった形で、内容が掲示されていることもあります。しかし、国内ではこのような対応をしている企業は少ないのが実状です。 いまいち意味が分からないのですが……そのような掲示に、何か意味があるのでしょうか? ここでは、攻撃者が自サイトの証明書を持っているケースを想定しているのですよね。であれば、攻撃者も「当サイトのSSL証明書には次の様に記載されております」として証明書の内容を記載する事が可能です。よって、その掲示自体が本物なのか否かを確認しなければならないはずですが……この掲示

[stech]

!

[cubed-l]

説明しても覚える気が無いと覚えないしねぇ…／女房は聞き流しやがりました

[janus_wel]

現行の証明書がとってる信頼モデルってよほど興味がないと理解されないと思うんだけどね

[ardarim]

「SSLを過信」というか、そもそもその時点で認識に誤りがあるような…。SSLがどういうものなのかitmediaは分かってない？ ネットを経由する以上絶対安全なんてない。最後は自分でURLを確認しないと、ってことかな。

[sugibuchi]

結局は「URLがもっともらしいか確認」という手段しか残されていないのか。証明書のOに自社名を埋めるには登記事項証明が必要だと思うので、これらの項目を確認させる事に一定の効力はありそうな気が。

[userinjapan]

「証明書の内容をよく確認して下さい」と書いとけばいいんでないかい（失効とかルートとか含めて）

[tsupo]

「当サイトは○○社に運営委託していますので、証明書は○○社のものになります」 / こういう記載がある事自体が不自然 / こういう記載があったら「怪しい」と思ってもらった方が良いのではないかと思います

[kmachu]

どういつ経路でフィンガープリントを提示するのが無意味ということと同じ話。なかなか前に進めないなぁ…。

[ockeghem]

御意