JVNTA#96603741: HTTPS 通信監視機器によるセキュリティ強度低下の問題

多くの組織で、マルウェア検知などの目的のために HTTPS 通信の監視を行うネットワーク機器が導入されています。 CERT/CC は 2015年3月のブログ記事 The Risks of SSL Inspection において、HTTPS 通信監視機器の導入によるセキュリティ上のトレードオフについて論じています。 HTTPS 通信監視機器を導入する場合、その製品が Transport Layer Security (TLS) の証明書検証を適切に行っていることを確認してください。TLS による適切な保護がなされない状態で通信が行われたり、検証失敗を示すエラーメッセージをクライアントアプリケーションに伝えなかったりする製品は、HTTPS で保護されるべき通信のセキュリティ強度を低下させます。 TLS やその前身である Secure Sockets Layer (SSL) は、クライアントとサ

[isidai]

クラウドEXPOで、HTTPS通信監視機器を売ってるブースに行って「せっかくEnd-to-Endで保護されてるものに介入して検証を妨げるものをセキュリティ強化というのは如何なものか」と言ったら担当者が黙ってしまったことがあっ

[isrc]

TLS による適切な保護がなされない状態で通信が行われたり、検証失敗を示すエラーメッセージをクライアントアプリケーションに伝えなかったりする製品は、HTTPS で保護されるべき通信のセキュリティ強度を低下させます

[ya--mada]

んー、主要ブラウザのルート証明書検証に追随するようには出来てないんですの？