<前の日記(2005-06-14) 次の日記(2005-06-17)> 最新

おおいわのこめんと (2005-06-16)


2005-06-16

[Security] SSL雑誌記事執筆

UNIX USER の今月号に、SSLの基礎、特にオレオレ証明書の危険性について、9pほど執筆しました。 これから「となりの席の先輩」がじっくりと読まれるそうで、……あとが怖いなぁ(笑)。

ちなみに、自分の担当した概説部分は Part 1 で、その他に Part 2 が商用CAの説明、 Part 3 が CACert の説明だったりします。この部分は別著者ね。 で、Part 3 の都合を無視して Part 1 でキッツイこと書きまくったわけですが、 いいんですかね(笑)。ちなみに今回は最終的な校了段階まで、他の人の執筆部分は読んでいません。

7月7日、超重要な追記あり……orz

CACert に関しては、あくまで個人的なセキュリティ感覚として、 CA Policy とか運営母体とかCAマスター鍵の保安度とかがまだまだはっきりしないんで、現段階で 自分のブラウザにルート鍵を組み込んで自分のWebブラウジングの安全性を (少なくとも Verisign/RSA や Entrust と同様の意味で) 任せる気にはなれません。まぁ一般に「無料の」CAと称するものの中では、 よくやっている方だとは思いますが、信用を得るという点で www.cacert.org のサイトやるきないもんねぇ。 そして、そういう意味から、自分が導入できないと判断しているものを 他人に導入を勧めることはできないので、www.oiwa.jp に導入する気もありません。 これに関しては、「CACert の鍵を既に導入している人にだけでも 確認可能な鍵を使う方がいいのかなぁ」、と悩んだこともありますが、現時点での結論は以上の通り。 もちろん、個人の判断で読者のみなさまが CACert の公開鍵を入れたり、 CACert から鍵を発行してもらうのは止めませんが、Part 1 を読んで(笑) リスクを自己責任で判断してくださいね。 正直、Verisign しか無かった頃は Inexpensive alternative の必要性を 感じていましたが、個人でも年1万円以下で買えるようになった現状では、 「有料じゃなきゃできないリスクマネージメントもあるよ」、という気もします。 特に Verisign 辺りは同一性確認をかなり慎重にやっているようですから、 それを見ちゃうと場合によっては安価な有料CAですら不安だったりします。

しかし、正直 Part 3 は不満だなぁ。というのは、 CACert の是非とは別にしても、ルート証明書の取得の部分、 あれじゃなりすまし防止という意味でもま〜ったく意味がないです。 平文の同じサイトからダウンロードした PGP 鍵で検証するほど、 馬鹿馬鹿しいものはないです。な〜んにも検証しないで「安全じゃないです」って 言ってるのとどっちがマシなんだかねぇ。不安の連鎖ではどこまで辿っても 安心できないというのは鉄則でありまして、実は Part 1 のコラムでの www.oiwa.jp での SSL + PGP の併用による安全性担保手法に関する主張が 慎重な*1 理由でもあるわけです。

で、何故不満かというと、折角紙媒体で、 そこそこ以上の規模の出版社が編集する雑誌に掲載するんだから、 本気でCACertを勧めるなら、安全性にいくらでも貢献する手段があるからなのです。

例えば、CACert の board member に連絡を取って、直接 PGP の鍵を入手して、 「安全に取得した」公開鍵の fingerprint を雑誌に掲載できれば*2、 1つの「確実で物理的な認証手段」として、不信頼の無限連鎖を絶つことが できるのです。できれば出版社の名義と責任で かっちりとやってしまうのも1つの手でしょう。結局今度は 「その記述が正しいこと」を読者が信用しなきゃいけないですからね。 今回の記事にも fingerprint が載っていますが、あれは信頼できない手段で 入手しているようなので、役に立ちません。

あるいは、同様に入手した「信頼できる」PGP鍵をCD-ROMに入れてしまう(でもって、 信頼できる根拠をちゃんと記事で示す)とかもいいでしょう。 さすがにCA証明書本体だと格好のオレオレ仕込場になってしまうので、 PGP 鍵だけにしておいて Web サイトも見に行かないといけないほうが、 extra safety measure かも知れないですね。この辺のバランス感覚はちょっと難しくて 悩み処かも。まぁ全部できるようにして読者に判断してもらう、 というのも読者が賢明ならアリですが。

これ、事前にわかっていれば著者間で連絡できて、改善できたかも知れないんで、 ちょっと残念です。雑誌によっては著者校正の段階で同一企画の別著者の原稿を読んで 若干の改善意見を流せることもあるようなんですけどね。

ちなみに先ほど、https://www.cacert.org/ に繋いでみましたが……… だめじゃん。もろにオレオレです。 まぁ、自分でCAやる以上自己署名は当たり前、と短絡的に考えがちですがね。 せめてここで Verisign とかからちゃんと買った鍵を使っておけば、 安全なルート鍵配送を実現できるのに、みすみす危険にさらしてどうする。

[Misc] ごみ

今日のでぢかめネタ。

[総武線ホーム]なんとなく面白かっただけ。ごみは嫌い。

[002222]OTPトークンでちょっと面白い数字が出たので撮ってみた。 当たり前だがとっくに無効なkeyなので悪しからず(何が悪しいんだ?)。 とっさにマクロ撮影の方法がわからなかったのでボケボケになってしまった。

誰か 000000 とか 777777 とかの写真もってないかな(笑)。

*1 コラム自体は、まぁ僕が執筆することになった きっかけでもあったので、省くわけにもいかなかったのです。

*2 実は安全な鍵配送の 手段の1つの実例 (半分ネタ) として、どさくさ紛れに自分のPGP鍵fingerprintも載せちゃおうかと 思ったのですが、さすがに却下されました(笑)。 既にページ数かなりオーバーして迷惑かけてましたから、まぁ当然ですね (^^;。 原稿ではコラムの図に「この記事 :-)」とかいう項目がありました。

本日のツッコミ(全1件) [メッセージを送る]
おおたき (2005-06-17 19:25)

おおお、すごい!
前に12345とかでた時の感動を思い出しました。

[TrackBack URL: http://www.oiwa.jp/~yutaka/tdiary/trackback.rb/20050616 (note: TrackBacks are moderated: spams will not be shown.) ]

大岩 寛 (おおいわ ゆたか) <yutaka@oiwa.jp.nospam ... remove .nospam> .

Copyright © 2005-2014 Yutaka OIWA. All rights reserved.
Posted comments and trackbacks are copyrighted by their respective posters.

記事の内容について (Disclaimer / Terms and Conditions)