高木浩光＠自宅の日記

■ IE 7の普及でサーバ証明書失効によるトラブルが表面化する

Internet Explorer 6まででは、「サーバー証明書の取り消しを確認する」の設定（「インターネットオプション」の「詳細設定」タブのところにある）が、デフォルトでオフになっていたが、IE 7で、これがデフォルトでオンになった。

• Internet Explorer 7 における HTTPS セキュリティの強化点, Microsoft

  Windows Vista にパフォーマンス強化および OCSP プロトコルのサポートが追加されたことで、Windows Vista 上で実行される IE７ では既定で失効状態のチェックが有効になり、セキュリティが強化されます。

この影響が出始めているようだ。

• QNo.2856522 証明書エラーがでてしまいます・・, 2007年3月22日

  ビスタに変えてから、XPの時に普通に入れていたサイトにログイン出来なくなりました。（略）

  このサイトの管理会社に問い合わせても、異常がないのでそちらのPCの問題だと思うと言われてしまいました。（略）

  下記のURLが問題のサイトなんですが、会員ログイン、会員登録、お問い合わせ、いずれも「この Web サイトのセキュリティ証明書には問題があります。この組織の証明書は失効しています。」等と表示されてしまいます・・
  http://www.gootencash.jp/top.html

当該サイトの当該ページにIE 7でアクセスしてみると、たしかに図1のようになる*1。

図1: サーバ証明書が失効しているときのIE 7での表示の例

オレオレ証明書の場合の画面と異なり、「このサイトの閲覧を続行する」のリンクが用意されていない。

今後、サイト運営者が「失効確認の設定をオフにしてください」などと言い出すことが懸念される。

サーバ証明書が失効とされるのはどういう場合になのだろうか。また、どのくらい起きているのだろうか。

検索してみたところ、過去の事例が見つかった。

• ココログフリーのサーバ証明書, Brisk Diary, 2006年1月30日

このときは、IE 6なので、この方は自力で「サーバー証明書の取り消しを確認する」の設定をオンにしていたのだろう。そういうユーザは少ないだろうから、従来はトラブルが表面化しにくかったと思われる。

ちなみに、IE 6で「サーバー証明書の取り消しを確認する」の設定をオンにしている場合に出る警告はこうだ（図2）。

図2: サーバ証明書が失効しているときのIE 6での警告

とても冷淡な警告だ。

オレオレ証明書の場合の警告では続行ができるのに、失効証明書の場合は続行を許さないというのには首をかしげる。詐欺師がこうなるとわかっていてわざわざ失効証明書を使うわけがないし、失効証明書の秘密鍵を入手するよりオレオレ証明書を自作するほうがはるかに容易なのに。

ちなみに、オレオレ証明書が使われているときにIE 7が出す警告については、セキュリティベンダーであるトレンドマイクロが解説してくれている。

• 製品Q&A Internet Explorer 7の使用時におけるhttpsを用いたWebコンソールへのアクセスについて, トレンドマイクロ, 2007年1月22日
  

  製品のWebコンソールにアクセスすると「このWEBサイトのセキュリティ証明書には問題があります。」と証明書エラーのページが表示されます。

  「このサイトの閲覧を続行する（推奨されません）」をクリックすると、下図のようにWebコンソールのログイン画面が表示されます。

  Internet Explorer のアドレスバーの隣に「証明書のエラー」が表示されますが、以下の製品Q&Aにおいて対応している製品については問題なくご使用いただけます。

「問題なく」ねえ。やれやれ。