SSL（暗号化）に関する意識調査

SSLってのは通信の暗号化技術だから、サーバ側のセキュリティが弱かったら（例えば昔よくあったけど、住所データが平文で外部から簡単に抜けちゃうとか）、あまり意味ないんですよね？

＊SSLそのものについてのアンケートだろうから、そういう質問は野暮だとは思うけど、私はそれほど技術に詳しいわけではないので、ちょっと気になりました。

この質問、技術の話ではなくその前の心構えの話にしか見えないですね。
通信が暗号化されていても、相手が悪い人かもしれないので引っかからないように、という啓蒙活動でしょう。

≫トッチンさん
今はブラウザも進化しているので、
表面だけSSLで、よくよく見ると一部だけ暗号化しないでデータを送信するような、おかしなサイトは
ブロックされるか、警告が表示されるようになってます。

サーバー自体に外部から簡単にアクセス出来るようなら、それは重要な脆弱性を抱えていることになりますね。
普通は個人情報を扱うサーバーは、隔離して直接インターネット上に触れないようにするのが一般的なので。

SSLは、相手がドメイン（又はIPアドレス）の所有者又は管理者であり、通信内容が盗聴・改ざんされていない事を保証する物なので、サーバーがおかしい場合はSSLは確かに無意味ですね。

また、SSLは誰でも使える暗号化のための（施錠専用の）公開鍵と、（解錠専用の）秘密鍵をセットで使う方式なので、秘密鍵が漏れると誰でもなりすまし出来ますね。
これを早期発見して無効にするのが認証機関の役目でもあります。

つきこうさん
ご返答ありがとうございます。
にわか知識なので、おかげさまで理解が進みました〜。

SSLは極端に言うなら、通信の内容を暗号化している以上のことは保証してないところはありますね（あくまで、極端です）。
特に、ドメイン認証（DV）なんかはそのドメインを登録している登録者の確認だけですから、怪しいサイトなんかでも普通に使われています。
もっと言うなら、EVでもその企業がちゃんと存在していてその企業によって運営されているのを保証されるだけであって、その企業がどんな企業かを保証するものじゃないですし。
その企業が悪いことを目的に作られた企業なら、EVだからと安心できるものじゃないです。
まあ、あくまで極端な例ではありますが。
確実に言えるのは、個人情報の入力フォームがSSLになってないのは間違いなく危険ですね。
それは、通信内容を覗き見すれば、誰でも理解出来るので。
あとは、DVだからて信頼がないわけじゃないです。
結局、暗号化の強度は無料のDVでも、高額のEVでも変わらないですし。
そもそも、個人レベルではDVより上のOV、EVは取得不可能ですからね。
DVは確かに悪意を持ったサイトにも使われていますが、世にある大半のサイトは健全な目的で使われているはずです。
結局のところ、SSLだからと安心せずに、サイトの内容をチェックしましょうというのに尽きますね。

「無料のSSL証明書は不安に感じる 」だけチェックです
まあ、無料かどうかより信用できるところかどうかですね
今のところOSメーカーが認めたとこしか使ってないけど、中国のCAがごり押しされたら対策します

最終的には「自分で調べて真贋をきちんと見抜けるか否か？」だと思っているので、常時 SSLだからとか EV SSLだからなんてのは単なる「飾り」程度に考えています。

※VPNも同じ様な考え方です。結局の所ラッピングしてる内部を見せない
　ようにしてもやろうと思えば突破できる可能性は残されているので。

なのである意味「気にしたら負けだけど、ただきちんと技術的にもその他でもどういうバックグラウンドで.....を意識するのが適切」で良いと思います。

※それこそハニーポットやられたら意味ないですし、Kali Linuxで情報
　抜くとか、技術的には不可能とも言えませんからね。
　道具はあくまでも「使う側のモラルに委ねられている」ので。

オレオレ証明書について選択肢が欲しかった

エスペラードさん＞
> オレオレ証明書について選択肢が欲しかった

ちょっと趣旨から外れますが、Windows Serverなどでは構成方法によって「オレオレ証明書でもきちんとサービスを通せる場合が出てくる」ので、要は「構成の仕方に依存してくる」ところもあると言えます。

また Let's Encryptのように無料のサーバー証明書発行サイトもある(EV SSLは対象外ですけど)ので、正直なところ「突き詰めていくとお金払って追証してもらうか否か？」位の価値観しかない、と割り切るのも商業的な証明書の取捨選択方法になってきますね。

この手のお話って実際に商用システムの設計を考慮すると「如何に既存システムなり証明書の投資と齟齬が発生しないようにするのか？」を考慮する必要が出るので、実務上は頭の痛いお話でもありますね。
→私自身、それで苦労した経験は数回では足りないです。