高木浩光＠自宅の日記 - EV SSLを緑色だというだけで信用してはいけない実例

■ EV SSLを緑色だというだけで信用してはいけない実例 EV SSLに関して以前から懸念されていたことが既に現実になっていた。一時期、EV証明書を発行する一部のCA事業者が、EV SSLの宣伝で「緑色になったら安全」などといいかげんな広告を打っていて、誤った理解が広まりかねないと心配されていたわけだが、「緑色になったら安全」という理解がなぜ駄目なのか、その理由の一つは、いわゆる「共用SSL」サービスにEV SSLが使われかねないという懸念だった。 そして、その実例が既に存在していたことに気付いた。図1は私が作ったWebページである。 アドレスバーは緑色になっているが、ここに入力されたデータは私宛にメールで送信*1されてくる。（このページは既に閉鎖している。） 悪意ある者がこうしたページを作成*2し、何らかの方法でこのページに人々を誘導*3すれば、フィッシングの被害が出るおそれがある。

[takuya_1st]

フィーチャースピリッツカワイソス。やめなくても手はあったのにｗ

[t-murachi]

「EV SSL はもうダメだ」的なコメントをしてる人がちらほら…。最大の問題はあくまで「正しい使い方が周知されていない」事。使い方さえ誤らなければ非常に有用なセキュリティ技術であることに変わりはないよ。

[shioki]

"Webブラウザ利用者にとって正しいEV SSLの理解は、アドレスバーが単に緑色になることを確認するのではなく、緑色で表示される会社名を確認することである"

[ardarim]

無知ゆえに自分の首を絞めていることにさえ気が付いていないとは…。そのうちEV SSL自体も信用力が低下して無印SSLと同じ道をたどるのかも。結局間違った使い方を喧伝する馬鹿が居る限りどんな優れた規格も無意味だ。

[cubed-l]

アドレス欄が緑→送信データは運用者に渡るはず、が成り立たない実例

[caquu]

そろそろGS + Yahooの出番

[tohohomiti]

こんなSSLだけで十分なサービスに、なんでわざわざEV SSLを使って信頼を落とすマネを…

[kogawam]

verisign屋さんもこういう用途のドメインにはEV SSL発行しない方がいいんじゃないのか。一般人ついてこれないよ。

[nilnil]

脚注5のポイントは結構重要かも。

[itochan]

まあ「名義貸し」している人に全責任とってもらうしかないでしょうね。その為の本人確認証明なんだから。

[GegegeMokeke]

金と手間をかければ、ちゃんとしたものは作れると思う

[uunfo]

EV SSLも終わったか。「緑色になってお客様に安全・安心をアピールできる共有SSLですよー」っていうつもりなんだろうなあ。

[keygen_Monica]

然るべき部分に然るべき方法でセキュリティを構築する事の難しさよ

[n2s]

EV SSLが逆効果になる怖い話 / なんかこういう話題になると、喜び勇んで「安価なサービスは有害」だの「ルート証明書削除でボイコットだ」だの主張する人がよく出てくるなぁ。じゃあ高けりゃいいのかよ。

[kits]

共用SSLサービスに注意。

[Akaza]

暗号化だけを目的としたSSLの用途でEV SSLを用いられたケース。 攻撃者はEV SSLで認証されたCN及び社名の元、正当に罠ページを仕掛けることができるため緑になっているかどうかだけでは安全性を判断できない。

[y-kawaz]

>>id:sdv EVは高いのです。この記事の趣旨はむしろ、あなたのように盲目的に「一番高い奴にしとけば問題ないだろうし安心だろう」という判断が悪だということです。／EVには使うべきときと使うべきでない時があると。

[kamiaki]

“アドレスバーが単に緑色になることを確認するのではなく、緑色で表示される会社名を確認すること”

[pitworks]

「緑色になったら安全」という理解がなぜ駄目なのか、その理由の一つは、いわゆる「共用SSL」サービスにEV SSLが使われかねないから

[kirara_397]

悪例注意

[MinazukiBakera]

昔から「SSL共用って意味あるの?」とは思っていましたが……。イー・アクセスでびっくりした事例→http://bakera.jp/ebi/topic/2846 あとで整理しよう

[mahbo]

「自分がデータを送信しようとしている相手として相応しいかを確認すること」はEVSSL特有ではなくSSLに共通。正しい相手と確信できなければいけない。これは必要条件なので認証基準は無関係と思います↑HiromitsuTakagi

[sdv]

EVは知らないけど、安くてとりやすい証明書とか作るから氾濫するんじゃ。高いのだけにしときゃいいのに。

[orihime-akami]

セキュリティは全体の仕組みであって、個別のプラクティスの積み重ねではない、という重要なことを思い起こさせるエントリ。

[mitsuki_engawa]

共用EV SSL。

[otchy210]

こりゃもう、証明書の用途まで継続観測して共用 SSL などでは使用できないと定めた、ExEV SSL (仮称) でも作るしかないのではｗ　認証局はぼろ儲けですね。

[mumincacao]

変な使い方してる EV SSL の証明書はさくさくしまってくれるならいいけど『緑色になれば安全』って説明だけだとけっきょく通常の SSL でもあった『鍵ま～くが付いてれば安全』と変わんないよね…　（´・ω・｀；【みかん

[F-SQUARE]

いわゆる「共用SSL」サービスにEV SSLが使われかねないという懸念

[tsupo]

「共用SSL」サービスにEV SSLを用いることの危険性

[rna]

「「共用SSL」というサービス自体、どうなんだろうか」「「自分でSSLを用意したくない」…は満たされない」「満たされるのは、「入力フォームの受付システムを自前で用意したくないので、どこかのものを使いたい」」