高木浩光＠自宅の日記

■ オレオレ証明書の区分 改訂版

はてなキーワードに「オレオレ証明書」の項目ができていた。 ここにある冒頭の「(特にPKI上不適切な場面で使われる)自己署名証明書。」 という定義は私の定義とは異なる。自己署名とは限らないし、 不適切な場面とも限らないからだ。 そのためその下にある第一種〜第五種の区分の記述と矛盾が生じている。

私の定義では、クライアント側で認証パスを辿れない（検証できない）証明書 のすべてをオレオレ証明書としている。それは、サーバ側の設定ミスかもしれ ないし、設定が正しくても今まさに通信路上で攻撃を受けているのかもしれな い。証明書の発行の意図に関係なく、クライアントから見れば等しく「オレオ レ」と言っているようにしか見えない。

攻撃を受けている場合を除いて、クライアント側でオレオレ証明書となる場合 の、その原因別の区分を9月3日の注釈で書 いていた。他に第六種もあったので追記して以下に再掲する。

第一種オレオレ証明書

不特定多数に利用させることを想定していて、ルート証明書もサーバ証 明書もインストールさせるつもりのないもの。

第二種オレオレ証明書

不特定多数に利用させることを想定していて、ルート証明書かサーバ証 明書をインストールするよう促しているが、インストール方法として安全な手 段が用意されていないもの。

第三種オレオレ証明書

不特定多数に利用させることを想定していて、ルート証明書かサーバ証 明書をインストールするよう促しており、安全なインストール方法が用意され ているもの。

第四種オレオレ証明書

特定の者だけに利用させることを想定しているもの。

第五種オレオレ証明書

正規の認証局から取得したサーバ証明書であるが、一部のクライアント でその認証局がルートとして登録されていないもの。

第六種オレオレ証明書

正規の認証局（中間認証局）から取得したサーバ証明書であるが、中間 認証局の証明書をサーバに設置していないため、クライアントが認証パスを検 証できないもの。

ここではSSLのケース（サーバとクライアント）で示したが、同様に、S/MIME や、コード署名、その他文書への署名等のPKIにおいても同様となる。

■ Phishing被害者の実例

まつもとゆきひろ さんがPayPalを騙るphishingに引っかかってしまったそうな。たいへんだ。

以前、phishingの話題でテレビ局の取材を受けたときに、「実際に被害に遭っ た方をご存じないですか？」と相談された（映像に使う必要がるのだろう）の だが、あいにく紹介できる人がなかった。もし次の機会があったら、 まつもとさんを紹介しよっと。 きっと臨場感たっぷりに状況を語ってくれるに違いない。

■ ISPのパスワードを破ってメールを奪回する子供向けゲーム

「どうしよう…あんなメール出さなければよかった…」 「なんとかメールを取り戻してみよう！」と、 4つの「ISP」のうちいずれか2か所の「パスワード」を素早くクラックして メールを奪回するという、子供向け教育ゲーム（警察庁ご謹製）。