証明書のピンニングはやめましょう

デジタルトラスト製品/サービス一覧： エンタープライズ IT、PKI、ID DigiCert® Trust Lifecycle Manager ウェブサイト＆サーバー DigiCert CertCentral TLS/SSL Manager コード＆ソフトウェア DigiCert® Software Trust Manager 文書＆署名 DigiCert® Document Trust Manager IoT＆コネクテッドデバイス DigiCert® IoT Trust Manager Matter による IoT デバイス認証 DigiCert® TrustCore SDK

[kuzumimizuku]

証明書のピンニングが当初考えられていたメリット以上にリスクが高くなることが明らかになっていて今は非推奨になっているというお話。なので、例の件の「ピンニングしていない=脆弱性」という指摘はあたらない。

[halfrack]

キーのローテーションや失効を妨害し逆に危険度が増すのでやめろなるほど

[nikoli]

その後うやむやになったけど、中間証明書を6か月おきに入れ替えようとする構想を打ち出した時期の「だからピンニングはしないでね」と伝えるための記事だしなぁ…

[kekera]

こういう正しいとされていることの移り変わりは追ってみると楽しい。なるほどなーって感じになる。よくわかってないけど。

[te2u]

人為的なミスや悪用が、得られるメリットよりもリスクとして大きかった、ということかな。

[shodai]

“セキュリティは強化されますが、ピン留めがそれほど優れたアイデアではないことをWebコミュニティが知るまでに時間がかかりませんでした。” そうなんだ。古いんだ。

[daruyanagi]

“得られるものよりもリスクが高い”

[cocoasynn]

ピンニングのデメリット無視できんよなとはずっと思ってた

[rrringress]

ほほう

[delphinus35]

なんほど。面白かった。例のツイートが問題にしてたやつね

[tagomoris]

まーそうじゃろ、システムに入ってるルート証明書信用できなくなったら何にもできないのでは

[miyako_suteking]

時事問題

[Shinwiki]

例の件のコメントに反応して上がって来たか

[nemuiumen]

ドメインをデジキャラットに空目した（575）

[stp7]

“これらの問題に加え、安全かつ確実にピン留めを実装することの難しさから、サイトの保護よりもピン留めにより弊害が起こるケースが増えてきました。” 証明書がPinningされてたら問題のある証明書の特定が困難。