![](http://oshiete.xgoo.jp/images/v2/pc/qa/question_title.png?e8efa67)
中途半端な知識しかなく,疑問点があるので,質問させていただきます.
法務省オンライン申請のサイト
http://shinsei.moj.go.jp/doing/index.html
の「0ユーザ登録画面にリンク」というページにアクセスすると,Firefoxにて「接続の安全性が確認できません」という警告が表示されました.
そのため,アクセスするには事前準備として,LGPKIの発行する証明書をインストールしろとの指示があります.
http://shinsei.moj.go.jp/selfcert/download_houho …
証明書自体も正規のSSL通信で保護されているわけでもなく,俗に言う「オレオレ証明書」と変わらない安全性しか無いように思えます.
しかし,いつもであればオレオレ証明書を批判している識者もLGPKI発行の証明書に対し,
「まがりなりにもLGPKI(地方公共団体における組織認証基盤) の利用を前提としており、抗弁可能なケースであるのに対し」
と抗弁可能としています.
(個人ブログのため,画像にて引用します)
オレオレ証明書も,LGPKI発行の証明書も,どちらもルート証明機関に登録されておらず,同じようにブラウザに警告が出るのに,LGPKI発行の証明書は抗弁可能である理由が分かりません.
抗弁可能ということは,オレオレ証明書よりは安全性が高いと言うことなのでしょうが,実際のところ,どうなんでしょうか?
乱文で申し訳ありませんが,ご教授いただければ 幸いです.
よろしくお願いします.
![「LGPKI(地方公共団体における組織認証」の質問画像](http://oshiete.xgoo.jp/_/bucket/oshietegoo/images/media/e/206931_5497da3855c16/M.jpg)
No.2ベストアンサー
- 回答日時:
1.証明書の信頼性について
電子証明書を発行する機関には、「商用認証局」 と 「プライベート認証局」 があります。
商用認証局とは、他社が使用するための証明書を発行して商売を行っている認証局で、ベリサイン社などが有名です。
プライベート認証局とは、自社の社員やサービスで使用するための証明書を発行する認証局で、誰でも認証局を営むことができます。
原則として、Windows、MAC、LinuxなどのOSが出荷時にインストール済みの証明書は “米国の商用認証局” のルート証明書です。
日本を含む米国以外の国の商用認証局、およびすべての国のプライベート認証局のルート証明書は、後から利用者の責任でインストールしなければなりません。
利用者が、その認証局を信頼できるか否かを判断するために、CPS(認証局運用規定または証明書発行方針とも呼びます)という文書を公開することがRFC2527で勧告されています。
利用者は、CPSを理解した上で、その認証局を信頼するか否かを判断するのが本来のやり方です。
なお、日本政府系のルート証明書は本来であれば Windows Update で自動的にインストールされるようになっていますが、WSUSやプロキシーサーバーの設定、OSのバグ、証明書の作成ミスなどにより手動でインストールしなければならない場合があります。
つまり、状況により “何もしなくても大丈夫な人”と“自分でインストールしなければいけない人” がいるわけです。
2.暗号化強度
証明書自体の安全性は、公開鍵の長さ(ビット数)とハッシュ方式(SHA-1やMD5)により決まります。
信頼するルート機関としてインストールしてしまえば、認証局による違いはありません。
3.証明する項目
証明書は、そこに書かれている項目を証明するものです。
例えば、ベリサイン社が発行したSSLサーバー証明書にはURLが記載されていますが、ベリサイン社が証明しているのは“そのURLが実在した”だけであって、“そのURLのサイトが安全である(詐欺ではない)”ということではありません。
以上ですが、ご回答になってますでしょうか。
この回答への補足
すみません.すこし書き方がまずかったのかもしれません.
確かにSSLは詐欺サイトでも導入が可能で,そういった意味で安全性が確立されているとは言えません.
ですので,今回の安全性は,「LGPKIからの証明書は本当にLGPKIが発行したものであるか」に限定したいと思います.
LGPKIによる証明書の問題点として,「信頼されたルート証明機関から発行されていません」というエラーがでる点です.
現時点でFirefoxのルート証明機関に入っておらず,証明書が偽物であるという可能性をぬぐい切れていないように思えます.
たとえば,SSL通信を開始した際,サーバ証明書を受け取りますが,正常である場合,ルート証明機関から発行された証明書とブラウザが認識するため,警告は出ません.
しかし,LGPKIの証明書は「信頼されていないルート証明機関により発行された証明書」です.
これは,偽の証明書をつかまされた際にも表示され,LGPKIから発行された証明書なのか偽の証明書なのか,見分けが付きません.
(手動で証明書をインストールする際,その証明書が通信経路上で改竄されていないという根拠が有りません)
偽の証明書の場合,公開鍵も偽であることが考えられ,盗聴された際に暗号化されたデータも意味を成しません.
これにより,私はLGPKIからの証明書の安全性は確立できないと思っているのですが,いかがでしょうか.
できれば,安全性を確立できる・できないでお答えいただければ幸いです.
私はこういったセキュリティに関しては聞きかじった程度の知識しかなく,もしかしたら全く的外れなことを言っているかもしれません.
その際は,恐れ入りますがご指摘いただければと思います.
以上,厚かましく恐縮ではございますが,よろしくお願い致します.
No.3
- 回答日時:
No.2です。
結論を言うと「安全性は確立できる」です。
とりあえず、安心してください。
> 「信頼されたルート証明機関から発行されていません」というエラーがでる点です
エラーメッセージの表示を、変に拡大解釈しすぎています。
先の回答にも書きましたように、インストール済みルート証明機関は米国の商用認証局のみです。
そのため、日本でも中国でもローマ法王の証明書であっても、上記のエラーは表示されます。
理由は、日本の政府が、その存在や正当性を、米国の民間企業に証明してもらう事は無いからです。
InternetExplorerのメニューバーから、“ツール” → “インターネットオプション” → “コンテンツ”タブ → “証明書”ボタン → “信頼されたルート証明書”タブの順にクリックしてください。
ここに表示されている認証局が「インストール済みの認証局」であり、ここに無い認証局から発行された証明書だと上記のエラーが表示されます。単に、その程度のエラーメッセージです。
もちろん、指定された通りにインストールすれば、LGPKIの名前もここに表示されます。インストールするか否かは先に回答したように、自己責任で、CPSなどを読んで判断してください。
「■政府認証基盤(GPKI)の運営に関する情報」にCPSがあります。覚悟して読んでください。眠くなるほど量があります。
https://www.gpki.go.jp/
ちなみに、“Firefox”は関係ありません。
ルート証明書のインストールと信頼関係の構築はOSに対して行われます。ブラウザは、それを読み取って利用しているにすぎません。
> 証明書が偽物であるという可能性をぬぐい切れていない
通信経路上での改竄を心配されていますが、現在の技術ではありえません。
証明書の改竄自体は理論的に可能ですが、実際問題としてスーパーコンピューターを使っても数十日以上かかります。ですので、通信中に改竄されることはありません。
「Webサイトが乗っ取られたら危ないのでは」と心配されるでしょうが、これもありえません。
数年前のデータですが、日本政府は毎日200~300件のハッキングやその他の攻撃を受けています。未だにそれが成功したことは一例もありません。(中央政府の話です、某お役所の“なんちゃってITシステム”はやられてます)
民間のレンタルサーバーとは予算も技術もケタ違いであり、とても映画のようには行きません。
★ 注意
あと、フィンガープリントの確認は必ず行ってください。
http://shinsei.moj.go.jp/selfcert/syoumeisyo_hou …
日本政府の証明書が改竄されることはありませんが、すべてのルート証明書はフィンガープリントで改竄を確認する決まりになっています。
お探しのQ&Aが見つからない時は、教えて!gooで質問しましょう!
関連するカテゴリからQ&Aを探す
おすすめ情報
- ・漫画をレンタルでお得に読める!
- ・ゆるやかでぃべーと タイムマシンを破壊すべきか。
- ・「I love you」 をかっこよく翻訳してみてください
- ・歩いた自慢大会
- ・許せない心理テスト
- ・字面がカッコいい英単語
- ・昔のあなたへのアドバイス
- ・かっこよく答えてください!!
- ・あなたが好きな本屋さんを教えてください
- ・スタッフと宿泊客が全員斜め上を行くホテルのレビュー
- ・【大喜利】【投稿~8/27】 こんなガソリンスタンド二度と来るか!なぜそう思った?
- ・これ何て呼びますか Part2
- ・人生で一番思い出に残ってる靴
- ・【お題】動物のキャッチフレーズ
- ・【お題】甲子園での思い出の残し方
- ・ゆるやかでぃべーと すべての高校生はアルバイトをするべきだ。
- ・「それ、メッセージ花火でわざわざ伝えること?」
- ・自分用のお土産
- ・人生で一番お金がなかったとき
- ・一番好きなみそ汁の具材は?
- ・泣きながら食べたご飯の思い出
- ・ちょっと先の未来クイズ第1問
- ・ゴリラ向け動画サイト「ウホウホ動画」にありがちなこと
- ・初めて自分の家と他人の家が違う、と意識した時
- ・単二電池
- ・チョコミントアイス
デイリーランキングこのカテゴリの人気デイリーQ&Aランキング
-
セキュリティの警告について教...
-
証明書による無線LAN認証(802.1...
-
無料アダルトサイトの動画が、...
-
CRLのサイズ
-
サーバー証明書をインストール...
-
【SBI証券】パソコン使うたびデ...
-
知恵袋に似たサイトはどこですか?
-
Excel2013 WEBSERVICE で #VAL...
-
サイトにアクセスしただけで個...
-
Yahoo!メールがクソすぎるので...
-
IPsec と PKI の違いについて
-
ISO15693準拠のICタグに書込む...
-
同じサーバの独自ドメイン違い...
-
Active Directoryの認証方法に...
-
おすすめのグロサイトを教えて...
-
403エラー のことについて、教...
-
無線LANでWindowsログオン前に...
-
「サーバ」と「サーバー」はど...
-
公開鍵暗号方式を利用した下り...
-
学校のChrome Bookのロック解除...
マンスリーランキングこのカテゴリの人気マンスリーQ&Aランキング
-
無料アダルトサイトの動画が、...
-
証明書による無線LAN認証(802.1...
-
セキュリティの警告について教...
-
セキュリティ証明書は、信頼す...
-
仮換地証明書と敷地地番該当証...
-
Excel2007のVBA デジタル署名...
-
サーバー証明書をインストール...
-
サーバ証明書のコモンネームに...
-
クライアント証明書(Windows S...
-
ssl証明書のサイズとは何を見れ...
-
安全なページでしょうか?ネッ...
-
社内イントラでの暗号化通信
-
CRLのサイズ
-
リモートされているんでしょうか?
-
各地の到達証明書について
-
うーん‥
-
LGPKI(地方公共団体における組...
-
双方向SSL時にクライアント証明...
-
「A certificate of no record ...
-
【SBI証券】パソコン使うたびデ...
おすすめ情報