<前の日記(2009年06月21日) 次の日記(2009年06月29日)> 最新 編集

高木浩光@自宅の日記

目次 はじめに 連絡先:blog@takagi-hiromitsu.jp
訪問者数 本日: 3498   昨日: 5551

2009年06月27日

EV SSLを緑色だというだけで信用してはいけない実例

EV SSLに関して以前から懸念されていたことが既に現実になっていた。一時期、EV証明書を発行する一部のCA事業者が、EV SSLの宣伝で「緑色になったら安全」などといいかげんな広告を打っていて、誤った理解が広まりかねないと心配されていたわけだが、「緑色になったら安全」という理解がなぜ駄目なのか、その理由の一つは、いわゆる「共用SSL」サービスにEV SSLが使われかねないという懸念だった。

そして、その実例が既に存在していたことに気付いた。図1は私が作ったWebページである。

画面キャプチャ
図1: EV SSLサイト上に誰でも作成できるWebページの例

アドレスバーは緑色になっているが、ここに入力されたデータは私宛にメールで送信*1されてくる。(このページは既に閉鎖している。)

悪意ある者がこうしたページを作成*2し、何らかの方法でこのページに人々を誘導*3すれば、フィッシングの被害が出るおそれがある。

もっとも、このサービスの場合、画面のデザインの自由度が低くなっており、銀行などと見た目がそっくりな偽サイトを作成することはできないだろうから、実際にフィッシング被害が出るかというと、量的には少ないものになるだろう。

なお、こうしたいわゆる「共用SSL」サービスの場合、EV SSLを導入する意義はない。なぜなら、どこの誰ともわからない馬の骨と同じサイトを共用する以上、SSLは通信の暗号化*4のためのみに意味を成すのであり、サイトの場所(ページの設置者が誰か)を保証するものにならないし、サイトの実在性を保証する(緑色で表示される会社が運営するサイトとして)といっても、誰でも入力画面を作成できるサイトの実在性を保証したところで意味がない。

Webブラウザ利用者にとって正しいEV SSLの理解は、アドレスバーが単に緑色になることを確認するのではなく、緑色で表示される会社名を確認することである。そして、その会社が、自分がデータを送信しようとしている相手として相応しいかを確認することである。

ちなみに、このサービスは自分で自分の首を絞めているとも言える。図2は、このサービスの利用者(入力フォーム設置者)が管理画面(入力データのダウンロードメニューなどがある)に入るためのログイン画面であるが、これが図1と同じサイト上に存在している。

画面キャプチャ
図2: 入力フォームの管理画面が同じサイト上にある様子

アドレスバーを見ても、本物のログイン画面なのか、それとも、どこぞの馬の骨が開設した入力画面なのか、区別できない。このサービスの場合、画面のデザインの自由度が低くなっているため、本物そっくりのパスワード入力画面を作ることはできないだろうから、被害はでないだろうけれども、このような設計は避けた方がよい。*5

加えて言えば、このサービスの運営会社は、このサービスの存在によって、会社が今後運営することになるかもしれない本当にEV SSLを必要とするサービスにおいて、信用を得られなくしてしまった。会社名を見ても、どこの馬の骨が設置した入力画面かわからないのだから、信用できない。このことについては、2008年7月3日の日記「EV SSL導入に伴い生じ得る特有の脆弱性」でも次のように書いていた。

しばしば、「共用SSL」などとして、共同利用型のSSLサーバを提供しているレンタルサーバサービスを見かける。レンタルサーバ会社が代表でサーバ証明書を取得して、コンテンツは利用者に自由に書かせるというものだ。もし、こういったSSLサーバで、EV証明書が使われるようになると、運営会社の信用を誰でも汚すことができるようになってしまう。このようなサービスにEV証明書を導入する意義はなく、避けるべきである。

EV SSL導入に伴い生じ得る特有の脆弱性, 2008年7月3日の日記

ところで、そもそも、EV SSLに限らず(通常のSSLを使った)「共用SSL」というサービス自体、どうなんだろうか。以下に4つのケースに分けて検討してみる。

  • (a) http://example.com/ から「共用SSL」サイト上に設置された入力フォームにリンクしている場合、SSLによる通信の暗号化の安全性は達成されない。なぜなら、http://foo.example.com/ にアクセスした時点で、リンク先が改竄されている可能性があるので、ジャンプした先が https:// のページであることを確認しても、偽サイト、あるいは偽ページ*6の可能性がある。

  • (b) http://example.com/ 上に入力フォームを設置して、フォームの送信先を「共用SSL」サイト上のCGIプログラムとした場合、そもそも入力画面が http:// なので、SSLによる通信の暗号化の安全性は達成されない。

  • (c) https://example.com/ から「共用SSL」サイト上に設置された入力フォームにリンクしている場合、これはSSLによる通信の暗号化の安全性は達成される。しかし、入力画面で、入力する人が「ここは本物サイトかな?」と確認しようとしても、その場では確認できない。そこにジャンプする前のページが https:// の(本物サイトの)ページだったことを覚えているなら、入力ページも本物であると確認できるが、そのような確認を入力者に求めるのは非現実的である。

  • (d) https://example.com/ 上に入力フォームを設置して、フォームの送信先を「共用SSL」サイト上のCGIプログラムとした場合、入力者は、入力前に本物サイトの確認ができるし、SSLによる通信の暗号化の安全性も達成される。*7

このように、(d)のケースにおいて、いちおう「共用SSL」にも存在意義はある。*8

しかし、「共用SSL」サービスにEV SSLを用いることには意味がない。意味がなく、かつ、紛らわしく誤解をする利用者もいるだろうから、やめてほしいと思う。

図1のサービスでは、サービス開始時のプレスリリースで、次のように書かれていた。

従来の無料プランとは別に、新しく設定した有料プラン(月額\1,575)では、さらに上位のSSL証明書「EV-SSL証明書」に対応しており、サイトの安全性の高さを明示することができます。

■ 「EV-SSL証明書」とは

認証基準レベルが既存のサーバー証明書よりも厳格に行われる証明書です。EV証明書で認証されたWEBサイトは、ブラウザー(Internet Explorer 7)上でアドレスバーが緑色に変化し、WEBサイトの安全性を明示することができます。主要な最新ブラウザーのアドレスバーでは証明書に記載されている組織名と認証局名が表示されるため、通常の証明書よりもフィッシング詐欺に対して大きな効果を発揮します。

EV SSLが何であるか(もしかすると、SSLが何であるかさえ)誤って理解されていることが窺える。

追記

2009年8月24日、このサービスは中止すると発表された。

*1 このサービスの場合、メールの内容は暗号化されずに送られてくる。そもそも、SSLでの暗号化を約束して入力させたデータを暗号化せずにメールで送るというのはどうなんだという話もあるが、ここでは触れない。ちなみに、このサービスでは、https:のWeb画面からCSV形式のファイルとして入力データをダウンロードする機能も提供されており、それだけを使うようにすればよいわけだが、残念ながらメール送信を止める設定(あるいはメールは通知だけにして入力データを含めないようにする機能)は用意されていないようだ。

*2 このサービスの場合、EV SSL上にページを作成するのは有料で、クレジットカードが必要なのだが、フィッシング犯らは他人のクレジットカードを使用するだろう。

*3 フィッシングはメールによる誘導だけとは限らない。たとえば、公衆無線LANを使っている人は、こうしたサイトに勝手にリダイレクトされる(たとえブラウザのブックマークからアクセスしても偽サイトにリダイレクトされる)危険が常にある。

*4 中間者攻撃による盗聴の防止を含む。

*5 ログイン画面を設けたドメインのサイトでは利用者が入力画面を作れないようにし、入力画面などを自由に作らせる機能を提供するならログイン画面は別のドメイン名のサイトに設ける。たとえば、さくらインターネットの場合、利用者が作成するページは sakura.ne.jp 上にあるのに対し、利用者の管理画面は sakura.ad.jp 上にある。

*6 仮に、入力者が「共用SSL」サイトのドメイン名を知っていたとして、ドメイン名を確認したとしても、同じサイト上の別人が作った入力フォームにアクセスさせられる可能性があり、見分けがつかない。

*7 ただし、入力したデータが別サイトに送信されることについて、断り書きはしておいた方がよいかもしれない。

*8 ただし、(d)のケースでは、自サイトにSSLを用意しておく必要があるので、「自分でSSLを用意したくない」という目的で「共用SSL」を使いたい人達の要望は満たされない。それはしかたのないことで、格安のDV SSL(domain だけ validate する)を利用すればよい話である。(d)ケースで満たされるのは、「入力フォームの受付システムを自前で用意したくないので、どこかのものを使いたい」という要望であり、これは一応、意義のあるものだろう。

本日のTrackBacks(全10件) [TrackBack URL: http://takagi-hiromitsu.jp/diary/tb.rb/20090627]
検索

<前の日記(2009年06月21日) 次の日記(2009年06月29日)> 最新 編集

最近のタイトル

2016年12月04日

2016年11月29日

2016年11月23日

2016年11月05日

2016年10月25日

2016年10月10日

2016年08月23日

2016年07月23日

2016年07月16日

2016年07月02日

2016年06月12日

2016年06月03日

2016年04月23日

2016年04月06日

2016年03月27日

2016年03月14日

2016年03月06日

2016年02月24日

2016年02月20日

2016年02月11日

2016年02月05日

2016年01月31日

2015年12月12日

2015年12月06日

2015年11月23日

2015年11月21日

2015年11月07日

2015年10月20日

2015年07月02日

2015年06月14日

2015年03月15日

2015年03月10日

2015年03月08日

2015年01月05日

2014年12月27日

2014年11月12日

2014年09月07日

2014年07月18日

2014年04月23日

2014年04月22日

2000|01|
2003|05|06|07|08|09|10|11|12|
2004|01|02|03|04|05|06|07|08|09|10|11|12|
2005|01|02|03|04|05|06|07|08|09|10|11|12|
2006|01|02|03|04|05|06|07|08|09|10|11|12|
2007|01|02|03|04|05|06|07|08|09|10|11|12|
2008|01|02|03|04|05|06|07|08|09|10|11|12|
2009|01|02|03|05|06|07|08|09|10|11|12|
2010|01|02|03|04|05|06|07|08|09|10|11|12|
2011|01|02|03|05|06|07|08|09|10|11|12|
2012|02|03|04|05|06|07|08|09|
2013|01|02|03|04|05|06|07|
2014|01|04|07|09|11|12|
2015|01|03|06|07|10|11|12|
2016|01|02|03|04|06|07|08|10|11|12|
<前の日記(2009年06月21日) 次の日記(2009年06月29日)> 最新 編集