orange
さんがブースト
https://mstdn.nere9.help/@orange_in_space/100445187630718464
そんなことはありません。
通信路暗号化が防いでくれるのは改竄だけでなく盗聴も含めてのことなので、たとえば「この人は○○という病気について何度も調べているな……自分か身内が○○病なのかな？」みたいなプライバシー漏洩を防げるわけです
なので！＞＜； 全部をhttpsにする意味は無くね？＞＜；（何らかの（例えばメアドとかの）入力フォームがあってとか、ウェブアプリとかそういう理由があれば意味わかるけど、そうじゃない『どうでもよすぎてもともと危険で「だれやねん・・・」って相手のウェブサイト』と通信する時には意味無いよね？＞＜；）
orange
さんがブースト
そうです。結局、 HTTPS がやりたいのは「エンドツーエンドの暗号化」であって、そのエンド(通信路の末端)の先にある何者かや、手前にあるソフトウェアが信頼できるかについては問題領域としていません
信用できる「あなた」であれば意味あるのわかる＞＜
極端に言うと
「今まで行ったこと無くて評判も全く知らないウェブサイトがサーチエンジンの検索結果に出てきたのでアクセスしてみる」って時に、そのサイトがまともか（例えばマルウェアとか無いか）と途中の経路がまともかってどっちでもなんか悪い事される可能性あるよね？＞＜；
orange
さんがブースト
DV は「『あなたと私』以外の悪意が紛れこまない」ということを保証してくれるので、無意味なんてことは絶対にないです
ていうか話が一周してやっぱ全部httpsにする意味って無いのでは感・・・＞＜
orange
さんがブースト
皆さんが私のドメイン cardina1.red にアクセスしようとしたとして、そのとき「(皆さんが実際に知っている人間個人であるところの)らりお氏のページに行こう！」ではなく「cardina1.red ドメインの所有者が持っているページに行こう！」と思っているからこそ、この場合 DV で十分なわけです
orange
さんがブースト
orange
さんがブースト
「twitter.com は twitter 社が管理に携わっています」を証明するには更に別のコストをかける必要があって、その結果が OV とか EV です(これは Let's Encrypt では取得できない)
orange
さんがブースト
SSL証明書の種類について（認証方法別：DV・OV・EV） | サイフにやさしいSSL証明書
https://www.slogical.co.jp/ssl/docs/ssl_type_authentication/
orange
さんがブースト
まさしくその通りで、 Let's Encrypt が保証するのは「あなたがアクセスしようとする example.com のサーバは、 example.com の管理者が管理に携わっています」というところまでで、運営する組織の実体や実態について何ら保証するものではありません (これが DV; Domain Validation)
orange
さんがブースト
で、 PKI の文脈で「信用」と言われるのは、「自称○○な主体が本当に客観的にも○○であることを、誰が保証するか？」という話であって、たとえば twitter の公式バッヂであれば twitter が認証しているわけですが、「twitter が本人だと言っているから本人であることを信じる」という用途で使われる「信用」です
でも、Lets以下略とかだとその文字列のドメインを持ってる人（と思われる人）ってだけじゃないの・・・？＞＜
orange
さんがブースト
その「信用」は std 語彙なのでちょっと意味が拡散していて、
「私が○○だと思ってアクセスしている相手が本当に○○であることの確信を得る」
ことと
「私は○○が善良である(攻撃者でない)ことを確信している」
は別の問題で、 orange 氏が懸念しているのは後者だと思うのですが、 HTTPS 証明書が保証するのは前者だけです
なるほど！＞＜；（通信相手が自分（自組織）っていうのが考慮できてなかった＞＜；）
相手を信用しているって状況ってそれって「Let's Encryptみたいなのでは無いという意味でちゃんとした証明書である場合」じゃないの・・・？＞＜；
orange
さんがブースト
それは「自分と相手」の「相手」を信用していないだけの話で、「自分と相手を信用している」場合を orange 氏のロジックは考慮していないように思われます
ていうかなんでもhttps化で一番意味不明なのは、誰だかよくわかってない相手と通信する時に、経路で改竄と監視が・・・ってあ、そのよくわかんない通信相手がそれするかもしれないから気にする意味ないじゃな感＞＜
orange
さんがブースト
通信路の暗号化と相手の真正性の確認が一体になっていることの是非については、プロトコルの設計の話なのでまた別の議論
- ＠orange_in_space
2017年 4月に登録
