ベリサイン、SSLの証明書期限切れ問題を警告(impress.co.jp)。

ベリサインは現在、同社の「グローバル・サーバID」を利用しているウェブサイトの管理者に対して、古い中間CA局証明書を利用している場合にはhttpsによる暗号化通信が拒否される可能性があることを通知し、中間CA局証明書の更新を促している。

いわゆるman-in-middle attackに対応するためには証明書のようなシステムが必要になるわけだが、この方法でいいのかどうかについては不安がある。

例えばこのサイトの「なんちゃって証明書」だと、有効期限は今年の8月までなのである。だから、8月までに私がなんとかしなければならない。なかなか憂鬱な話ではないか。「通信(の秘密)は守られるべきである」というだけのことにこれほどのシステムが必要になるとは思えない。

もっとシンプルに実現している例もある。

同様に安全な通信を行なうSSHだと最初のログイン時にダイアログでyesと答えると相手側の情報が~/.ssh/known_hosts{,2}に保存される。また、~/.ssh/configでStrictHostKeyChecking noとしておけば、公開鍵の保存ダイアログすら出ないが、。同じホストでキーをインストールし直した場合は(OSの再インストールも含む)手動でknown_hosts{,2}を編集して該当の行を削除する必要がある。この情報が前回のものと合っているかどうかを検出することによって(検出すると猛烈なワーニングが出る)、man-in-middle attackは防ぐことができる。有効期限はない。セキュリティだけならこの程度で問題ないのだ。

私はSSLの経緯についてはNetscape社が作ったこと以外はあまり知らないが、SSLの証明書に有効期限があるのは恐らく商業化しようと思ったからだろう。有効期限を設定しておけばちびちびとカネを取れる。このへんはGNUあたりになんとかしてもらいたいと、ひそかに希望している。…希望とは道のようなものである、と偉い人も言ってるが(苦いなぁ)。

GNUは現在、Entrust.net(entrust.net)を利用している。

なんか全体的に苦いよなぁ、この文章。SSLについてはよくわからないことが多いので、使っていて気になるのだ。ちゃんと勉強したほうがいいかもしれない。