ログインなどSSLのページで非SSLのログインページも用意している理由はなんですか? このはてなもそうですが、ログイン画面にはSSLと非SSLがあるサイトが多いです。(ヤフーも) HTTPSを使えないブラウザがあるのですか?
ログインなどSSLのページで非SSLのログインページも用意している理由はなんですか? このはてなもそうですが、ログイン画面にはSSLと非SSLがあるサイトが多いです。(ヤフーも) HTTPSを使えないブラウザがあるのですか?
Webの安全性を向上するとして期待されるEV SSL証明書。国内市場に登場しておよそ1年半が経過し、金融機関を中心に徐々に導入が進んでいる。実際には、どういった効果が期待されるのか。あらためて一般消費者や導入企業におけるメリット、および留意点を整理したい。 また、市場に浸透するにつれ、EV SSLには多くのプレイヤーが存在し、ゆえに絡み合って解決の糸口がなかなか見えてこない問題があることも明らかになってきた。 同特集では、そうした現状を数回にわたって紹介する。一回目となる今回は、EV SSLが登場した背景と一般消費者におけるメリットと留意点について、日本ベリサイン、マーケティング本部 マーケティング部プロダクトマーケティング プロダクトマネージャの阿部貴氏に話を聞いた。 ■ フィッシング詐欺によってWebにまん延した不信感 EV SSL証明書が登場した背景には、Webの危険性が高まったこと
本家記事で、Firefox 3のSSL対応方針や認証や暗号化のあり方について議論が起こっている。 Firefox 3では、自己署名されたSSL証明書や承認されていないベンダー(新興のものや非営利のベンダーなど)によって署名されたSSL証明書を使用しているサイトに接続しようとすると、警告が発せられる。この警告が発せられない状態にするには、サイトはFirefox認証のベンダーに有料の証明書を発行してもらう必要がある。 本家タレコミ人のChandon Seldon氏は、「この仕様があるがためにSSL証明書にお金をかけざるを得ないサイトが発生したり、SSL認証無しへの変更を強いられるサイトもあるだろう」と自身のブログに綴っている。氏は、「自己署名SSLのサイトがEV SSLと同じ扱いをされるべきとまでは言わないが、だからといって全く暗号化されていないサイトへの接続時よりも『安全でない』といった印象
同一ホスト上にHTTPとHTTPSのページが同居しているサイトをしばしばみます。 そんなサイトでは、本来はHTTPのページに、HTTPSでもアクセスできるようになっていることがあります。そういう場合、HTMLの中身によってはセキュリティ上の問題が出ますよという話です。 問題があるページ http://www.example.jp/index.html というURLのページがあるとします。 問題となるのは、そのページの中身に以下のようなHTMLがベタ書きされている場合です。 <script src="http://www2.example.jp/foo.js"></script> このページ(index.html)はHTTPでのアクセスを想定して作られているため、JSファイルをHTTPで読み込んでいます。 ここで、このページが実はHTTPSでもアクセス可能だとします。もしHTTPSでアクセス
独立行政法人情報処理推進機構(IPA)は29日、Webサイトの暗号通信に使われるサーバ証明書で不適切に運用されている事例が新たに発見されたとして、注意を呼び掛ける文書を発表した。この証明書は 「オラオラ証明書」 と呼ばれており、これまで知られているどんな不正証明書よりも高速かつ正確な攻撃が可能だという。 クライアント側で検証できない不適切に設定されたサーバ証明書については、これまで「オレオレ証明書」と命名され第6種までの存在が確認されてきた。しかし、いずれも攻撃力に乏しく、セキュリティオタクの電話問い合わせなどの嫌がらせでかんたんに粉砕することのできるレベルのものだった。 今回の「オラオラ証明書」は、オレオレ証明書が“矢”に刺されることによってスタンド能力を発現したもの。その能力は強大で、アクセスしてきたブラウザに対し 「オラオラオラオラオラオラオラオラオラオラオラオラ!」 と秒間16発の
セキュリティホールmemo (www.st.ryukoku.ac.jp)より、「Adobe Flash Player バージョン9.0.124.0導入環境においてベリサインセキュアドシール(Flash形式)の検証ページが表示出来ない事象について (www.verisign.co.jp)」。 Flash版のセキュアドシールが表示できないそうで。 ……しかしこれ、誰が困るのですかね。いつも思うのですが、そもそもこの「セキュアドシール」って何の意味があるのでしょうか。 ベリサインのサイトを見ると「毎日世界で約1.5億回表示」なんて書いてあるようです。シールを表示する際のログはきっちり記録されていて、それがベリサインのマーケティングに役立っているのでしょう。というわけでベリサイン側にはメリットがあるのでしょうが、これを貼る側にどういうメリットがあるのか分かりません。 ベリサインのサイトには以下のよ
ちょっと前にid:schwantnerさんが紹介しておられましたが、公文書管理の在り方等に関する有識者会議において、これからの公文書管理のあり方についての中間報告が取りまとめられています。 2008-07-01 http://d.hatena.ne.jp/schwantner/20080701/p1 まあしかし、中間報告名の仰々しいこと。 中間報告「時を貫く記録としての公文書管理の在り方」〜今、国家事業として取り組む〜 この報告はこちらを参照してください→http://www.cas.go.jp/jp/seisaku/koubun/index.html 文書管理のあり方そのものについてはエキスパートの方々にお任せするとして、中間報告においては電子文書の方向性、デジタル・アーカイブのあり方、文書管理システムなどについても多少の言及があり、電算担当としてもひととおり注目すべき内容となっています
現在位置: ホーム > 総合行政 ネットワーク > LGWAN全国センターからのお知らせ > 【報道資料】地方公共団体組織認証基盤(LGPKI)における「WebTrust for CA」検証報告書の取得について(平成20年7月7日) 財団法人地方自治情報センターは、総合行政ネットワーク(LGWAN)運営協議会の方針に基づいて運営する 地方公共団体組織認証基盤(LGPKI) の「アプリケーション認証局」において、このたび、「WebTrust for CA(Certification Authority)」の規準に基づく検証報告書を監査法人トーマツ(包括代表:CEO佐藤良二)から取得するとともに「WebTrustシール」使用の許諾を受けました。 「WebTrust for CA」検証報告書の取得は日本では3番目、日本の行政・公的機関では初の取得となります。 詳しくはこちら [342
会員限定サービスです 会員の方はこちら ログイン 有料会員(月額プラン)は初月無料! お申し込み 日経クロステック TOPページ
こんにちは、丸山満彦です。財団法人地方自治情報センターが、LGPKI の「アプリケーション認証局」において、WebTrust for CAの規準に基づく検証報告書を監査法人トーマツから取得し、WebTrustシールの使用の許諾を得たようですね。。。 WebTrust for CAの認証取得は日本では3番目(セコムトラストネット、インテックがすでに取得していますね。。。)ということのようです。。。 ウェブトラスト検証報告書はダイレクトレポーティングでも言明方式でもできますが、この検証報告書は言明方式で行われています。。。 ===== 当監査法人は、「経営者の記述書」が、認証局のためのWebTrust の規準に基づいて、平成20 年1 月16 日から平成20 年4 月15 日までの期間において、すべての重要な点において適正に表示されているものと認める。 ===== 【LASDEC】 ・2008
Firefox 3 では、SSL 接続時のロケーションバーの表示方法が変更されており favicon の背景色が青色になる ロケーションバーに背景色(黄色)が着かなくなった 暗号化を示す「鍵アイコン」がステータスバーに移動 このようになりました。favicon の背景色変更はいいと思うのですが、他の二つの変更で今までよりも解り難くなった様な気がします。 Firefox 2 Firefox 3 favicon をクリックすれば詳細情報が表示されますが、初めて訪れたサイトなら必須でも、毎度毎度確認するのも手間です。 これをもう少し解りやすい表示にする方法が、「ロケーションバーの色 - Mozilla Firefox Thunderbird の拡張あれこれ-MEMO」で紹介されていました。 about:config をロケーションバーに入力 Filter に browser.identity.s
ANSER WEBというASPサービスでインターネットバンキングを提供している金融機関が、EV証明書を導入した理由は、「NTT DATA CORPORATION」という社会的信頼の高い企業による運営であるという表示によって、利用者に本物サイトであることの確認手段を提供したことにあるのだから、これらの金融機関は、利用者が「NTT DATA CORPORATION」という名称さえ見てくれればいいことを前提としている。 しかし、もし、図3のように、ドブログのようなサイトでまで緑色で「NTT DATA CORPORATION」と表示されるような世の中になってしまったら、どうなのだろうか。 まず、少なくとも、EV証明書導入サイトがやってはいけないことがある。 もし、ドブログのユーザコンテンツ(つまりブログ)のページが、https:// でも表示できるようになっていたらどうか。どこの馬の骨ともわからな
「メールを暗号化している」の70%が、SSLを暗号化と誤解 (須藤 慎一=ライター) メールの暗号化について、インターネット利用者の多くが誤解している……情報処理推進機構が2008年4月15日に発表した「情報セキュリティに関する脅威に対する意識調査(2007年度第2回)」で明らかになった。 「メールの暗号化ソフト等を利用している」という回答者の70.4%が、具体的な方法として「SSL暗号化に対応したWebメール」を挙げたのだ。SSL対応Webメールは、パソコンとメールサーバー間だけを暗号化する。相手に届くまでの全区間を暗号化するわけではない。 どの区間が暗号化の対象なのかを明確にして、メール利用者の誤解を解消しないと危険だ。 インターネット利用者への調査で「誤解率」が判明 情報処理推進機構は、インターネットを利用する個人を対象に定期的に調査を行っている。毎回尋ねる同じ質問項目が
■ B-CAS社の個人情報登録サイトのSSL証明書がNTT DATA B-CAS社の「オンラインによるB-CASカードのユーザー登録」の画面から、登録画面に進むと、個人情報入力画面が現れるのだが、ここでページが https:// になっていることを確認の上、サイト証明書の内容を確認してみると、「NTT DATA CORPORATION」と表示される。 よく見てみると、さっきまでは b-cas.co.jp を閲覧していたはずが、この画面はいつのまにか、b-cas.jp という別サイトに飛ばされている。 しかも、b-cas.jp ドメインの保有者が誰なのか、whois で調べてみると、さらに別の会社になっている。 不特定多数からの大量の登録を受け付けるサイトにしてはずいぶんと稚拙だ。
日本ベリサインは4月22日、NTTデータが金融機関向けに提供するインターネットバンキングサービス「ANSER-WEB」に、EV SSL証明書を採用したと発表した。 NTTデータは、日本ベリサインのEV SSL証明書「ベリサイン グローバル・サーバID EV」を採用したことで、ANSER-WEBを利用している約80の金融機関について、Webサイトの安全性を証明できるようになった。 EV SSL証明書は、訪問したWebサイトが正規のものである場合、アドレスバーが緑色に変わるサービス。ユーザーはWebサイトが安全かどうかを視覚的に判断できる。 フィッシングサイトなどの増加に伴い、都市銀行や地方銀行などでEV SSL証明書の採用は増えている。国内では、2007年6月にソニー銀行が初めて日本ベリサインの同証明書を採用している。
自己署名の証明書になっていた。 これは明らかにセキュリティ脆弱性だ。この種類の脆弱性(ブラウザが証明書を検証しない)は、伏せておくよりも早く事実を公表して利用者に注意を促した方がよいという考え方もあり、すぐに日記に書こうかとも考えたが、このケースではIPA、JPCERT/CCを通した方が修正が早く行われるのではないかと考え、IPAの脆弱性届出窓口に通報した。 この届け出は3月27日に受理された。そして本日、JVNで公表となった。修正版が提供されているので、利用者はアップデートで対応できる。 JVN#76788395 ソニー製 mylo COM-2 におけるサーバ証明書を検証しない脆弱性, JVN, 2008年4月23日 パーソナルコミュニケーター "mylo" COM-2 セキュリティ脆弱性対策プログラムご提供のお知らせ, ソニー株式会社, ソニーマーケティング株式会社, 2008年4月2
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
処理を実行中です
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く