認証局が発行するデジタル証明書の意義は？

質問

SSL通信を実現するために多くのサイトで認証局のデジタル証明書を使用しています。これを取得するためにはお金を払って認証局から証明書を発行してもらわなくてはならないようですが、認証局が発行する証明書はお金を払ってまで取得する価値はあるのですか？自己書名の証明書より大きい意義を見出せません。

回答No.3

jjon-com · ベストアンサー

パブリックな証明書をお金を払ってまで取得する価値はないと思うので，オープンソースソフトウェアを利用して独自にプライベート認証局を稼働させました。
利用者の皆さん，私のWebサイトにアクセスしてSSL暗号化通信を始めると，証明書／認証局関連の警告メッセージが毎回表示されますが，ダイジョーブですから警告を無視して受け入れてください。
警告メッセージが表示されるのが嫌なら，私のプライベート認証局を「信頼されたルート証明機関」としてあなたのPCにインストールしてください。ダイジョーブです。

....という方針で行く，というサイト管理者であるなら，パブリック証明書に大きい意義を見出せないでしょう。個人の自由ですからその方針でもいいんじゃないですか。

逆に言うと，多くのサイトでは，利用者に対してはそういう不安を抱かせたくないし，PC設定の手間もかけさせたくないと考えている。利用者にそういうサービスを提供できるのがパブリック証明書であるのなら，お金を払ってまで取得する価値があると考えているわけです。

回答No.7

jjon-com

> 保険証や運転免許証、パスポートなど第三者機関が発行する
> 身分証明書には価値がないと言っているようなものですよ。(ANo.5)

間違っています。GPKIやLGPKIではないのだから，代表的な認証サービス事業者であるVeriSignやCybertrustも第三者機関（民間企業）です。

比喩を用いるならクレジットカード事業者に対応させる方が適切でしょう。
Visa, MasterCard, JCBなどの代表的なクレジットカードの加盟店になったほうが利用者の利便性は高いが，お金はかかる。
お金を払ってまで加盟する価値がないと考えるのなら，自社独自のクレジットカード会社を立ち上げればいい。ただWebブラウザは「そんなクレジットカード ブランドは知らない」と警告メッセージを発してくるから，それを信用するかどうかは利用者次第だということです。

回答No.6

Gotthold

ちゃんとした証明書がないと中間者攻撃に対して無防備になってしまうのではないでしょうか。
経路が暗号化されていても、アクセス先が実は偽物だったら意味がないですよね？

ちょうど、関連したニュースがありました。
NASAサイトに対する攻撃から得るべき教訓とは？ - ITmedia エンタープライズ
http://www.itmedia.co.jp/enterprise/articles/1206/01/news026.html

回答No.5

e3tatsu

愚問。
保険証や運転免許証、パスポートなど第三者機関が発行する身分証明書には価値がないと言っているようなものですよ。

回答No.4

ennalyt

HTMLは可読な形でバケツリレーされてるので、
途中経路の誰かがいたずらして、内容や宛先を改ざんしてしまう、
ということが可能なんです。

別サイトが成りすましというのもできてしまうよね。

来る途中で書き換えられてませんよ、
という証明が、あなたが問題提起された仕組みですよ。
基本かつ重要な技術だと思いませんか？

回答No.2

m-take0220

SSLによる暗号化については、どちらも同じでしょう。
ただし、使用しているドメイン名が正規のものかどうかを判断する場合には違いがあります。
認証局が証明書を発行する際は、そのドメインの管理者などに対して認証を行います。ドメインを保有している組織等とは無関係の人物がSSL証明書を申請すれば、この時点で判明します。

DNSポイズニングなどでユーザーを偽サイトに誘導しても、SSLを使う段階で自己署名証明書を使用しているとの警告が出ます。
SSLを使用した場合は、暗号化だけでなく、接続しているサーバーが正規のものであるという証明も行うことになります。

回答No.1

dscripty

SSL は、信頼保障。
信頼の Tree がルート証明書までリンクして昇っていく。

そのリンクから、外れている自己証明書は、『オレオレ証明書』と呼ばれているよ？

オレオレ証明書なんて、誰が信じるものか。