雑記

2000|01|
2003|05|06|07|08|09|10|11|12|
2004|01|02|03|04|05|06|07|09|10|11|12|
2005|01|02|03|04|05|06|07|08|09|10|11|12|
2006|01|02|03|04|05|06|07|08|09|10|11|
2007|01|03|04|05|06|07|08|09|10|11|12|
2008|01|02|03|04|05|06|07|09|11|
2009|02|03|05|06|07|08|10|11|12|
2010|01|03|04|05|06|07|08|09|10|
2011|05|06|09|10|
2012|03|07|09|12|
2013|01|02|04|05|07|08|10|11|
2014|04|05|08|10|12|
2015|01|05|
2016|09|

2007-07-24 [長年日記]

[SSL][個人情報保護] トップレベルドメインのメールアドレスを安易に配布することの危険性

スラッシュドットジャパンにあった ライブドア、WebメールサービスをGmailベースにリニューアルという記事を読んでちょっと引っかかることが。Gmailベースとかいうのはどうでもよいんですが、今後メールアドレスが「livedoorID@livedoor.com」という形式になるんだそうです。で、気になってちょっと確認してみると、案の定というかとんでもない状況に…

ここでも何度か話題に挙げていますが、特定のアドレスにメールが届くだけでSSL証明書を発行するという認証局は実際に存在します。例えばある認証局の場合、次のようなアドレスが使えるようです。

admin, administrator, hostmaster, root, ssladmin, sysadmin, webmaster, postmaster
で、所有するドメインのトップレベルのメールアドレスを第3者に使わせる場合、気をつけないとそれらのアドレスを取得されてしまいます。実際、このエントリを書いている時点でのlivedoorの登録画面では「ssladmin」というIDが取得可能と表示されました。

あと、意外と見落としがちなのかもしれませんが、仮にライブドアでVerisign等の認証局からSSL証明書を取得済みだとしても、他の認証局がそうした取得済みのCN(サーバ名)に対する証明書を発行できなくなるといった仕組みは残念ながらこの世にはありません。たぶん。

そうすると何が起こるかというと、誰かが「ssladmin」というlivedoor IDを取得して、そのアドレスを使ってlivedoor.comドメインの任意のサーバに対する「本物の」SSL証明書を、上記のような条件の緩い認証局から取得できちゃうといった事態が生じるわけです。その後に何が起こるかは説明するまでもないでしょう。

livedoorには連絡したのでサービスイン前に何らかの措置が取られると思いますが、同様のサービスを予定/展開中のドメイン、特に同じドメイン名で金融とかショッピングモールなど複数のサービスを行っている所には同様の危険性があります。サブドメインの場合でも範囲は限定されますが同様の問題が当然出ます。SSL証明書が「本物」でベースのドメインが一致すればけっこう騙されそうな気がしますが…

というわけで、自ドメイン(特にトップレベル)のメールアドレスを不特定多数の人間に使わせる際は注意が必要というお話でした。