認証局のSSL証明書発行に問題？ 不正取得で攻撃の恐れも

メールアドレスでドメイン所有者を確認している一部の認証局について、米機関などが問題視している。SSL証明書が不正入手され、盗聴行為などに悪用される可能性があるという。 SSL証明書を発行する一部のルート認証局が、メールアドレスで申請者がドメイン所有者であるかを確認している行為について、米CERT/CCなどのセキュリティ機関が問題視している。CERT/CCは「メールではドメイン所有者が正しい存在であることを証明できない」とコメント。第三者が不正にSSL証明書を取得して、悪質なHTTPSサイトを構築したり、暗号化通信の内容を盗聴したりする可能性があるという。 一般的にルート認証局は、証明書の発行を依頼した人物がドメイン所有者、もしくはドメイン所有者から了承を得た立場であることを厳密に確認してから証明書を発行する。証明書の発行を受けたドメイン側は、アクセスするユーザーに証明書を提示し、ユーザーは

[jt_noSke]

ウハッ、こういうの困る

[tmatsuu]

安いところはまぁ大体そうだよね。そういうの認証局は排除しないとダメちゃうか。俺も昔どこかのフリーメールでadministrator@のメールアドレス取得したからSSL証明書を取得できる気がする。

[daybeforeyesterday]

うーむ

[Jxck]

証明書の重要性があがってる一方で、既存の仕組みがそれに耐えられなくなる場面が出てるのかな。でも確認作業を厳格にすれば取得が面倒になるだけだし、難しいところな気がする。