Mozilla Firefoxの保存されてるパスワードを確認してた。
Webサービスのパスワードは毎度入力すべきなのですが、
結構手間なんですね。それで保存しておくと。
それを保護するのはWindowsのログインパスワードとなるのかな。
席を外すときはロックをかけるというぐらいかな。
それで保存されてるページを見るとほとんどがhttps://…となってる。
一部http://…となっているのもありますが、
フォームの送信先はhttps://…になっている場合が多いです。
僕はCookieの受け渡しの加減から、コンテンツも全部HTTPSを使った方がいいと思うのですが、
セッションにIPとUA書いておけば、HTTPSでパスワードとセッションIDのCookieの受け渡しをして、
それでHTTPではセッションのIPとUAと一致してるか確認すれば、まぁ許容範囲か?
しかし、IPとUAが一致したら意味ないと思うけど。
とはいうもののもっとも大切なユーザー名とパスワードだけは暗号化するためにHTTPS使うと。
それだけでも十分と言えるかも知れません。
HTTPSはサーバーへの負荷が高いですからね。全部これだと実用的じゃないのかも。
ちなみにHTTPで受け渡しするにも関わらず登録されてるのは3箇所だった。
LibserverにおいてもCentOS移行後からHTTPSを採用しています。
オレオレ証明書を使う都合、身内専用という問題はありますが…
SSLの証明書というのは信頼した相手に対して署名していくという方法で、
なりすましでパスワードなどを盗もうとするのを防ごうとした。
しかし、証明書の信頼性なんてかなり怪しいものです。
オレオレ証明書が何の意味もないことは確かですが、
そうでなくても、無料で証明書に署名してもらえるサービスあるけど、
こういうのって本当にその会社であることを確認して署名してるか怪しいよねって。
ブラウザに登録されてるルート証明書に連なる証明書は全部信頼するとか無理だよね。
そういう都合があって、最近ではEV SSL証明書を使ってるところありますよね。
実在していることを証明できることが条件で、かなり厳格。
しかしこんな風にしないといけないぐらいSSL証明書の信頼性は落ち込んでたと。
EV SSL証明書はいいと思いますよ。イーバンク銀行とか採用してるけど、
アドレスバーにeBank Corporation (JP)と表示され、
確かに イーバンク銀行株式会社 が署名を依頼したものであることがわかると。
今までは証明書にそう書いてあっても、結構怪しかったんですよ。
だって僕も作れるし。けどEV SSL証明書の発行できる認証局はそういうのは作ってはいけない。
SSL証明書の署名に実在している会社であるとかいう条件課しているところしかできないから。
というわけで今後はEV SSL証明書が重要視されるんじゃないかなと。
ただし認証局最大手のVerisign社の証明書の値段を見て、これは流行らんかもとも思った。
というのももっとも安価なセキュア・サーバIDについていうと、2年間で
EV SSL証明書でないものは160,650円に対して、EV SSL証明書は330,750円…
2年間で16万円というのも高いのだが、
そもそも厳格な審査をしてるはずなのに、EV SSL証明書にしたら2倍以上って…
まぁVerisignは特に高いですからね。セコムならこの半値以下でOKです。
それはそうとこれほど高価だと流行るかよくわかりませんねー。
しかし、そうなってくると今までのSSLの認証の制度はなんだったんだと。
別に、自分で証明書を発行して、これをApacheで配信すれば事は足りるんじゃないかと。
DNSが汚染されてなければ、URLにあるサーバーに送るのは確かですね。
https://libserver.ddo.jp/secure/に送るとき、暗号化されたデータはlibserver.ddo.jpに送られると。
あとはlibserver.ddo.jpはHidemaroのサーバーという事実がわかれば、
libserver.ddo.jpでHTTPSを使えば、Hidemaroだけにパスワードを送れますね。
まぁ結局の所はドメイン名を覚えることが、一番重要なフィッシング詐欺対策だということ。
イーバンク銀行に行きたければ、http://www.ebank.co.jp/と入れて、
パスワードを取り扱うところではHTTPSを使ってるか確認すると。
これで大体OKです。URLを確認せずにクリックすることはしないと。
これでパスワードはイーバンク銀行だけに届きます。
まぁこういうことをユーザーがしてくれるなら、高い金払って署名してもらわなくてもいいですねと。
現状ではブラウザに搭載しているルート証明書からたどれない証明書は、警告を出してきて使わせてくれない。
だから独自に作ったルート証明書を導入してもらわないと行けない。めんどくさい。
だけどEV SSL証明書でない証明書はほとんど役に立たないなら、
わざわざルート証明書からたどれるか検査しなくていいじゃないって。
そうすれば商売する人は、EV SSL証明書を発行してもらうように、高い金を払ってでも会社に頼むだろうし、
商売しないけどHTTPS使えたら便利だよなってところは、特に金を支払うことなく、気軽にHTTPSを使える。
HTTPSでなりすまされたらとても危険なのは確かだけど、
むしろルート証明書を導入しないで警告出るのを嫌って、セキュアな方を使わずにするほうがよっぽど危険ですからね。
全部のクライアントがHTTPS使えるとも言えないから、併用してるところはあるけど、そういうとき問題だと。
とりあえずSSLというのも実は大切な事ではあります。
あとは一般的なフィッシング詐欺対策を徹底して欲しいと。
とはいっても、DNS汚染されたら意味ないけどね。
libserver.ddo.jpはHidemaroのサーバーと知ってても、
DNSが改ざんされて、悪意のサーバーに飛ばされるかも知れない。
まぁそういうことにはもうお手上げですね。
EV SSL証明書は、証明書自体に会社名が証明されていると。
だからイーバンク銀行では、証明書はEV SSL証明書だから、
そうじゃない証明書だったらおかしいよねと気付かないといけない。
そうじゃない証明書は、パスワードを盗むために誰かが作った偽物であると。
じゃないとフィッシング詐欺は防げませんね。
本当はこれをSSL証明書で実現したかったけど、実際はそうもうまく行かなかったと。
DNS汚染を防ぐためにIP直打ちという方法もあるらしいですけどね。
10.10.10.10はExample社のIPアドレスだから、HTTPSになってれば安心ですね。
なんて確認してくれるユーザーがどれぐらいいるのか疑問ですけどね。
HTTPSというのは本当に便利なものです。
Webサービスで大切なデータを入力するとき、相手のところまで暗号化して送られる。
安心して使えますね。本当にありがたい。
他のセキュアなプロトコルも同様です。パスワードの漏洩防止には大切ですね。
だけど本当に安心して使うためには、本当に相手のところに送るのってことに気をかけないといけない。
アドレスバーになんて文字が出てるか見てますか?
ここでおかしいと思えるかどうかが騙されないためのポイントです。
というかイーバンク銀行の偽Webページがあっても、
イーバンク銀行は何も悪くないわけですからね。
ちなみに、EV SSL証明書を導入しているところはたまに見ます。
Mozilla Firefox 3、Opera 9.50、Internet Explorer 7、Safari 3.2以降は対応しています。
Firefoxではアドレスバーの左端に薄緑色の背景で、社名が表示されてます。
ここはセキュアなプロトコルでなければ灰色、その他HTTPSなら水色になってます。
IEではアドレスバー全体が薄緑色になり、右側に社名が表示されます。
その他HTTPSのときは右に鍵マークが表示されるだけです。
Operaはアドレスバー右側に社名に薄緑色の背景に社名が表示されます。
その他HTTPSのときは背景が薄黄色と。目立ちませんねー。
Safariはもっと目立たない。ウインドウの右上に鍵マークと、緑の字で社名が表示される。
その他HTTPSのときは社名が表示されないだけ。かなり目立たない。
とにかくこの表示があるところは覚えておくことですね。
今のところ、イーバンク銀行とゆうちょ銀行とmixiとMozilla(Firefox Add-ons)ぐらいかなぁ…
まぁ発見したら覚えておけばいいんです。
そういうところはまずEV SSL証明書の表示を確認すると。それがよろしい。