各省庁の認証局が自己署名証明書を暗号化されていない HTTP 経由で配布しているのは、何故なんだろうか。ずっとまえに memo ML で話題になっていた。memo ML のアーカイブは現在閲覧できない。
これでは各自己署名証明書に対して、Man-in-the-Middle-Attack による改竄の可能性がある。
最高裁判所は HTTPS で提供している。SSL の証明書の発行機関は VeriSign。
なぜ HTTPS 経由で証明書を配布しないか書いてありました。
Q.「安全な通信を行うための証明書」のような重要な情報のダウンロードは、SSL の環境下で行うべきと思いますが、なぜ、非 SSL の環境でダウンロードさせるのでしょうか？
A.まず、「安全な通信を行うための証明書」は、これを暗号化し、内容を隠す必要のある情報ではありません。また、SSL によるサーバ認証は、サーバの存在を証明するものではありますが、サーバの安全性およびサーバから送信される情報の真正性を証明するものではありません。すなわち、 SSL 環境であるからといって、入手した証明書が正しいということにはなりません。
ここで重要なことは、 SSL 環境か否かではなく、正確な「安全な通信を行うための証明書」が入手できているか否か、すなわち、入手した「安全な通信を行うための証明書」の真正性の認証であり、このためには、フィンガープリントを確認することが必要です。
なるほどと思って総務省の自己署名証明書のフィンガープリントを確認しようと
https://www.shinsei.soumu.go.jp/fingerprint_chk_ie.html
へアクセスしたら SSL の証明書は総務省認証局により署名されていた。この総務省認証局の署名の有効性を調べるには総務省認証局の自己署名証明書が必要だ。それこそは今まさにフィンガープリントを比べて真正性を確認しようとしている証明書ではないですか!!!
だーかーらー、これだと最初に HTTP 経由で取得した総務省認証局の自己署名証明書が改竄されていた場合、ユーザーは悪意ある第三者による https://www.shinsei.soumu.go.jp/ に対するなりすましを見破ることができない。ので、いくら HTTPS 経由で
https://www.shinsei.soumu.go.jp/fingerprint_chk_ie.html
にある証明書のフィンガープリントをチェックしたとしても、それは総務省認証局の自己署名証明書の真正性を何も保証しない。
フィンガープリントの確認は改竄の可能性の少ない別の経路(官報、FAXサービス)で行なう必要がある。実は
http://www1.shinsei.soumu.go.jp/fingerprint_ie.html
にはそれがちゃんと書いてある。しかしながら、
http://www1.shinsei.soumu.go.jp/fingerprint_ie.html
は HTTP 経由なのでページ内容である「フィンガープリントの確認手段」が悪意ある第三者により改竄されてしまう可能性がある。ユーザーが間違った手段で証明書の真正性を確認したつもりになっている可能性がある。
証明書の入手方法と設定方法が HTTP 経由で説明されている場合、Man-in-the-Middle-Attack による内容の改竄の可能性がある。要するにユーザーは悪意ある第三者にいわれたとおりにニセの証明書を入手して、悪意ある第三者に言われたとおりに間違った設定をしてしまう可能性がある。
上のような問題はなぜ起こったか。別に VeriSign から証明書を買う予算がなかったからではないと思う。各省庁の電子申請の URL は shinsei.example.go.jp となっている。んで、このサイトの証明書は各省庁の認証局の自己署名証明書でないといけない。でないと何のための GPKI か分からない。
となると、各省庁の認証局の自己署名証明書をユーザーがインストールするまでは、ユーザーは https://shinsei.example.go.jp/ にアクセスできない。よって、shinsei.example.go.jp の上では証明書の入手方法や設定方法を HTTPS で提供できない。
このようにして上のような事態が起こっているんだと思う。
この問題を解決する方法はいくらでもある。文部科学省のやり方が一番スマートだと思う。
https://shinsei-cert.mext.go.jp/
において はじめてのユーザーを
https://shinsei-cert.mext.go.jp/guide/manual/manual01/doc01.html
へ、すでに文部科学省認証局の証明書をインストール済みのユーザーを
https://shinsei.mext.go.jp/index.html
へ振り分けて誘導している。いずれも HTTPS である。
にしても、各省庁でこれほど対応が違うのはなぜなんだ。そこが一番の問題だと思う。各省庁の間で情報が共有されていれば簡単に解決できる問題だ。
総務省などでは他の省庁と違って「安全な通信を行うための証明書」は「認証局の自己署名証明書」でなくて、「運用支援認証局の自己署名証明書」なのね。ややこしい。
memo:3458〜 を参照。同じ議論をしている。
最近のコメント