水無月ばけらのえび日記

無意味な SSL

セキュリティホール memo で紹介されていた高木さんの日記。

これを読んで、SSL つながりで思い出したことがひとつ。

諸事情により表立って名指しで書くことはできないのですが、某サイトの SSL の説明は書いた人間が状況を勘違いしていたという壮絶なものだったりします。安全だと思って安全だと書いたのに、実際に出てきたものを見たら実は駄目で、しかもちゃんと駄目だと説明したのに対策は取られず、勘違いによって書かれた「SSL だから安全」とかいう文章がそのまま掲載されて放置されているという状況だったりします。

問題についてもう少し具体的に言うと、フォームが SSL ではないためにフォームの改竄、受け側サーバの成りすましが可能というケースです。SSL のフォームがなくなるという話を聞いていなかったというパターンです。

※しかし、サーバのなりすましって実際問題としてどのくらい危険なのかと質問されると、ちょっと答えに詰まるところがあります。論理的に可能なのは間違いないのですが、それが実際に行われた例というのはあるのでしょうか？

この話にはもう一つオチがあります。実はそのサイトには、安全にアクセスする方法が存在するのです。このサイト、リニューアルによって SSL がヤバくなったので、リニューアル前のフォームを利用すれば安全なのです。そして、その昔のフォームは昔のままサーバ上に残されています。そこから行くと改竄や成りすましの危険なしに SSL が利用できるのですが、その安全な場所はもはやどこからもリンクされていません。ずっと昔からそのサイトを利用していないと、その存在にはまず気づかないでしょう。

安全なアクセス方法を提供するのは簡単ですし、実は既にひっそりと提供できているくらいの勢いなのです。にもかかわらずそれが改善されないのは、一つにはマーケティング戦略の絡みがあるらしいですが (ユーザの動きなどが戦略的に計算されているということらしい)、企業がお役所体質だったりすると、末端の担当者は問題を理解していても上の承認が下りないと動きようがないとか、なかなか複雑な問題もあったりするようです。

ともあれ、危険なら危険で良いから危険だと言って欲しいし、せめて安全だというのをやめて欲しいと個人的には思います。自分で危険性を見抜ける人には問題ないのですが、多くの人はそうではないでしょうし……。

• 「無意味な SSL」へのコメント (1件)

関連する話題: Web / セキュリティ / SSL/TLS