orange
さんがブースト
DV は「『あなたと私』以外の悪意が紛れこまない」ということを保証してくれるので、無意味なんてことは絶対にないです
ていうか話が一周してやっぱ全部httpsにする意味って無いのでは感・・・＞＜
orange
さんがブースト
皆さんが私のドメイン cardina1.red にアクセスしようとしたとして、そのとき「(皆さんが実際に知っている人間個人であるところの)らりお氏のページに行こう！」ではなく「cardina1.red ドメインの所有者が持っているページに行こう！」と思っているからこそ、この場合 DV で十分なわけです
orange
さんがブースト
orange
さんがブースト
「twitter.com は twitter 社が管理に携わっています」を証明するには更に別のコストをかける必要があって、その結果が OV とか EV です(これは Let's Encrypt では取得できない)
orange
さんがブースト
SSL証明書の種類について（認証方法別：DV・OV・EV） | サイフにやさしいSSL証明書
https://www.slogical.co.jp/ssl/docs/ssl_type_authentication/
orange
さんがブースト
まさしくその通りで、 Let's Encrypt が保証するのは「あなたがアクセスしようとする example.com のサーバは、 example.com の管理者が管理に携わっています」というところまでで、運営する組織の実体や実態について何ら保証するものではありません (これが DV; Domain Validation)
orange
さんがブースト
で、 PKI の文脈で「信用」と言われるのは、「自称○○な主体が本当に客観的にも○○であることを、誰が保証するか？」という話であって、たとえば twitter の公式バッヂであれば twitter が認証しているわけですが、「twitter が本人だと言っているから本人であることを信じる」という用途で使われる「信用」です
でも、Lets以下略とかだとその文字列のドメインを持ってる人（と思われる人）ってだけじゃないの・・・？＞＜
orange
さんがブースト
その「信用」は std 語彙なのでちょっと意味が拡散していて、
「私が○○だと思ってアクセスしている相手が本当に○○であることの確信を得る」
ことと
「私は○○が善良である(攻撃者でない)ことを確信している」
は別の問題で、 orange 氏が懸念しているのは後者だと思うのですが、 HTTPS 証明書が保証するのは前者だけです
なるほど！＞＜；（通信相手が自分（自組織）っていうのが考慮できてなかった＞＜；）
相手を信用しているって状況ってそれって「Let's Encryptみたいなのでは無いという意味でちゃんとした証明書である場合」じゃないの・・・？＞＜；
orange
さんがブースト
それは「自分と相手」の「相手」を信用していないだけの話で、「自分と相手を信用している」場合を orange 氏のロジックは考慮していないように思われます
ていうかなんでもhttps化で一番意味不明なのは、誰だかよくわかってない相手と通信する時に、経路で改竄と監視が・・・ってあ、そのよくわかんない通信相手がそれするかもしれないから気にする意味ないじゃな感＞＜
orange
さんがブースト
通信路の暗号化と相手の真正性の確認が一体になっていることの是非については、プロトコルの設計の話なのでまた別の議論
オレンジ的に全部httpsにするのはグーグルの陰謀だと思ってるけど＞＜（広告ブロックとかの制御の主導権（決定権かも）をウェブブラウザエンジン開発者側に寄せるために・・・＞＜って＞＜；）
orange
さんがブースト
エンドツーエンド暗号化すべきだと言っている(原理主義的な？)人は昔から大勢いたはずだし、それでやっと業界大手が動いて出来上がったのが Let's Encrypt なのであれば、歓迎しない理由がない
証明したいとかじゃなくとにかく経路を暗号化しないと気がすまない変な人々のために、経路を暗号化するためだけの役割のやつがLet's Encryptなんじゃないの・・・？＞＜
もし無かったら全部httpsにすべきって人が袋叩きにされるでしょ？＞＜
httpsよくわかってないしLet's Encryptよくわかってないけど、Let's Encryptって、なんでもかんでもhttpsにしたい陣営の人がアレでアレじゃん・・・？＞＜（？）
- ＠orange_in_space
2017年 4月に登録
