オレオレ証明書問題
余ってうち捨てられたPCに2003やらDominoやらWebsphere portalをぶち込み、ヘボい社内ポータルに取って代わるべき、部門ポータルを立ち上げるべく奮闘しているわけなのだが。「https://」も使えるようにしたほうがいいかな？
そういえば社内ポータルもアクセスするとき。いつもヘンな警告画面が出るんだよな･･･。「この Web サイトのセキュリティ証明書には問題があります。」とか言うの。
オレオレ証明書 おれおれしょうめいしょ
1. SSL等のPKIにおいてクライアント側で検証できない(認証パスを辿れない)サーバ証明書。
2. 1 のうち特に不適切な場面で使われるもの。■「クライアント側で検証できない」とは
SSL通信を行うサーバは、見知らぬクライアントから暗号化されたデータを受け取るために、データの通信を始める前にクライアントに暗号化のための鍵を送る。
しかし、盗聴者*1が通信に割り込んでこの鍵を入れ替えてしまうとクライアントが暗号化してサーバに送信したデータは盗聴者に丸見えになってしまう。
そこでサーバは「サーバ証明書」という形でクライアントに鍵を送る。サーバ証明書は「信頼できる認証機関」が電子署名を施した鍵のことで、クライアントは誰が誰の鍵に署名したかを検証することで、その鍵が確かに自分が通信しようとしているサーバの鍵であることを確認できる(電子署名の偽造はまず不可能だから)。
「信頼できる認証機関」というのは通常はウェブブラウザが知っている(ブラウザの製造元が信頼している)認証機関のことであり、ウェブブラウザは自分の知らない認証機関が署名したサーバ証明書が送られてくると、信頼性を検証できないという警告を出す。そのような証明書は通信に割り込んだ盗聴者が偽造したものと区別がつかないからである。
このような証明書が(広義の)「オレオレ証明書」である。
■「不適切な場面」とは
「SSLで暗号化されているので安全です」と主張する一方で「オレオレ証明書」を送るサーバがある。そのままでは安全ではないのでブラウザが警告を出すのだが、サーバの管理者が、この警告を無視すること、あるいはブラウザの設定で警告を回避する(証明書を信頼できるものとして設定してしまう)ことを推奨している場合がある。信頼の根拠が発行者の自己申告以外にない「オレオレ証明書」をそのまま信頼せよという主張は、「オレオレ詐欺」の犯人が「オレだよオレ」などといって祖父母に自分を孫だと信用させるようなもので、詐欺同然と言っていい。
このような「オレオレ証明書」の使い方は盗聴される危険があるだけでなく、本来注意すべき警告を無視してしまう悪い習慣を助長するという社会的な悪影響を及ぼす可能性がある。
オレオレ証明書とは - はてなキーワード
（以下略）
オレオレ証明書によるSSLって、SSLの用を全くなしてないんだ…。ユーザーの不安とブラウザの操作の手間とサーバーのCPU負荷が無駄になるだけか…。
部門ポータルの証明書は、当座アクセスするユーザーに暗号化ZIPかフロッピー手渡しで証明書ファイルを渡すか･･･。
