その証明書、安全ですか？ | IIJ Engineers Blog

はじめに いまやWebサイトはすっかりHTTPSが常識になりました。ほんの数年ほど前は「常時SSL」というキーワードをよく目にしましたが、それが実現した今となってはまったく見なくなりました。 平文のHTTPが安全でないのはわかるとして、HTTPSならばほんとうに安全なのでしょうか。 事例1: MyEtherWallet 2018年4月、MyEtherWalletという仮想通貨事業者の権威DNSサーバへの経路がBGPハイジャックされました。myetherwallet.comのDNS問い合わせに対して、偽の権威DNSサーバが偽のWebサーバにアクセスさせるような応答を返し、結果として、偽MyEtherWalletにアクセスすることになったユーザから15万ドル相当の仮想通貨が奪われました。 The Registerの記事 Oracleによる解説 ユーザが誘導された偽のWebサイトはHTTPSで動

[tmatsuu]

わいわい。事例2を防げるかもしれないのはDNS CAAかな。事例4はもう安全と思われるレジストラを採用するぐらいしかないのかも。

[Phenomenon]

ここ運転免許試験 「TLSの目的は「通信を解読されないようにする」ことではありません。「特定の相手以外に通信を解読されないようにすること」です。」

[ton-boo]

“ここまで挙げた3件の事例は、すべて攻撃手法として経路ハイジャックが使われています。経路ハイジャックは残念ながらありふれていて、twitter上でbotが毎日つぶやいてるぐらいには日常茶飯事です”

[csal8040]

“いまやWebサイトはすっかりHTTPSが常識になりました。ほんの数年ほど前は「常時SSL」というキーワードをよく目にしましたが、それが実現した今となってはまったく見なくなりました。 平文のHTTPが安全でないのはわかる