鳩丸ぐろっさり (用語集)

信頼できない SSL のサーバ証明書のことです。証明書は「あなたの通信相手は○○です」と主張しているのですが、その主張に裏付けがないため、電話口で誰かが「オレオレ!」と言っているのと同じ程度の信頼性しかありません。

この呼称はLucky Lovely Laboratory(2005-01-12) (www.cubed-l.org)が発祥で、高木さんの 2005-01-15 の日記 (takagi-hiromitsu.jp)で広められました。

普通、SSL のサーバ証明書は以下のような要件を満たしています。

• 信頼できる発行機関から発行されている
• その通信しようとしているドメインに対して発行されている
• 有効期限が切れていない

このいずれかを満たさないサーバ証明書には問題があります。

• 信頼できる発行機関から発行されていない = 悪い人が勝手に証明書を発行して使っているかもしれない
• 通信しようとしているドメインに対して発行されていない = 悪い人が、どこか別のちゃんとしたサーバで使われている証明書をコピーして持ってきているのかもしれない

ということです。通信はいちおう暗号化されますが、サーバのなりすましが行われて別人に届いている可能性が否定できません。また、仮に正しい相手に届いていたとしても、途中で man-in-middle 攻撃 (中間者攻撃) が行われているかもしれませんので、傍受されている可能性が否定できません。暗号化というのは「傍受されない」ために行うわけですから、これでは意味がありません。