Pasiri blog: 証明書が証明する物

2005年10月14日

SSLサーバ証明書が会社で必要になったので買うことになったのですが
Verisignの年間8.5マソから年間$31といった格安サービスまである

オレオレ証明書は論外としてこれに一体どの程度の違いがあるのかと
思い始めたら止まらなくなってしまった

私程度の知識では間違いも多いと思うので
あくまで「一般人」にとってという前提条件で考えると

CSRと秘密鍵は漏れない、SSLの暗号化の解除は極めて難しい
よってサーバーとクライアントの通信はほぼ盗聴されず問題なく暗号化される

という条件で進める事が出来る、ていうかこの前提条件で争いたくない・・・

そこそこ信頼できて安いのはGeoTrustなんですけど
海外で注文すればさらに半額程度まで下がるので安いですね

んでサービス一覧を見てみると
一番安いSSLサービスでも128bitの暗号化はあって証明されるわけで
そんなに証明に差があるわけでもない

ただ本人確認の手続き方法を見るとメールでroot@とかにメール送って受け取る事だけで認証しているので
そもそもその証明書自体の信頼性が疑問状態ですが
認証されたらお高い証明書との違いが「一般人」にはわからないみたい

もちろん鍵マークで証明書の中身を見ると結構違うみたいですが
そんなのに拘る輩は「一般人」にはいませんからねぇ・・・

んでGeotrustでも高い奴とか、セコムとかベリサインは
Secureシールとかサイトシールとかいう証明をするシールがある分高い模様
(セコムやベリサインはもともとシール無しプランはありませんが)

まぁシール偽装とかの信頼性を問わないと駄目な世界になりますが
一応書類等での確認が入るのでそこまで信頼できない物ではないみたい

一部の所の売りはルート証明書を持ってるかどうかとかの条件もあるけど
基本的にどこでもユーザーには警告が出なければわからないわけで

要するに値段は証明する企業の価値(信頼するに至るか)
サイトシールが欲しいか？

しか現状としての差はない模様

万一どっかのルート証明書を持ってるところがハクされて
適当に証明書とかが出回ったらどうなるんだろうか・・・

いくらベリサインで証明してますから大丈夫とか行っても
偽サイトでブラウザ警告が出ないわけで・・・
まぁその為にはDNSいじらないと駄目なので難しいところもありますけど

とりあえず今回の検討結果からすると
社内向けのサービスだしとりあえず安いGeoTrustで良いか・・・
DNSが狂った時にSSL証明書は本当に信頼できるのかが疑問・・・

投稿者パシリ : 2005年10月14日 16:52

このエントリーのトラックバックURL:
http://www.pasiri.net/mt/mt-tb.cgi/167

ベリサインのシールってあれ意味無い物じゃなかったでしたっけ？
以前高木先生がネタにしてから改善されたのかな？

ジオトラストって日本ジオトラストから買ってるんですか？
それとも海外のジオトラストと直購入？

半額近くになるのでおいしいのですけど・・・

投稿者 Pasiri : 2005年10月17日 04:54

ウチはジオトラストですね。

というものの、決め手はやはりシールです。
昔はどの一流企業もステータスのようにベリサインのシールを
トップページに貼っていたものですが、いまは軒並みなくなり
ました。（更新していない企業は未だに貼っていたりします）

となると、右下にカギマークが付けば良いわけで、安い
ジオトラストでもぜんぜん問題ありません。
現にウチではまったく問題は起こっていませんね（ｗ

投稿者 Cnoda : 2005年10月15日 22:51