自社サーバと交信するスマホアプリにおけるサーバ証明書の発行手法について（SSL Pinningと独自CA再考）

■背景 自社のサーバと通信する自社アプリについて、本来不要であるにも関わらず他社であるCAに認証情報の管理を委託することが多いわけですが、CAが証明書を誤発行した結果情報漏洩が発生したとして、その責任は自社にはないと主張できるのか、もう一度考えなおしたほうがいいんじゃないかと思うんです — Kazuho Oku (@kazuho) July 15, 2014 .@ockeghem @smbd @ando_Tw スマホアプリの提供においてはコードの署名鍵を安全に管理することが求められますが、その前提において通信相手の認証管理をCAに委託することにどれほどの意味があるんでしょう — Kazuho Oku (@kazuho) July 14, 2014 ■他社CAは信頼できるのか 特定のCAにpinningするのはしないより安全だけど、そもそも誤発行しないCAなんてあるのかという議論は重要。見知

[rryu]

証明書自体をpinningするなら自己署名証明書でいいので自社CAもいらないと思う。

[oppara]

Kazuho's Weblog: 自社サーバと交信するスマホアプリにおけるサーバ証明書の発行手法について（SSL Pinningと独自CA再考） B!

[ssids]

認証局との賠償責任の契約次第だとは思うけど、保証上限額はだいたい話にならないぐらい安いレベルだったりするし、そもそもベネッセクラスのやらかしをしたとしたら客全員に払いきれるのかという問題も

[Jxck]

この辺について PKI おじさん達にも色々聞いてみたいなぁ。

[river2470]

Kazuho's Weblog: 自社サーバと交信するスマホアプリにおけるサーバ証明書の発行手法について（SSL Pinningと独自CA再考）

[nkgt_chkonk]

なるほど

[ya--mada]

SSL周りは勉強し直さないとワッカンナインダヨォ

[kazuhooku]

時間ないのでざっとまとめた