雑記

◆ 問題点の確認

「ほらね」と言われても別に日記が表示されるだけで，問題ないと思うかもしれませんが，今，あなたが見ている画面にはいくつか普通ではない点があります．

まずは，ウィンドウ上のアドレスバーを確認してください．（画像のサイズを小さくするため，一部だけ切り抜いて示します．）

赤線で示したアドレスの部分が見事に偽装されていますね．ここの文字列は任意に設定可能なので，例えば，オンラインショップのURLっぽく見せることも出来ます．

次にウィンドウの右下を見てみましょう．

鍵マークが付いているので，このページはちゃんと(?)暗号化されていることが分かります．さて，ここでちょっと思い出してみてください．

自分のアクセスしているページのURLが「https://」で始まっていて，ウィンドウの右下に上のような鍵のマークが付いていればそのページは安全だ．

という説明を受けたことがありませんか？ もしくは今でもそう思っていませんか？ その考えは今となっては誤りであると言うことを，これから説明します．

では，試しに右下の鍵マークをダブルクリックしてみましょう．

（クリックで拡大）

アドレスバーに表示されているサーバ名と，証明書の発行先のサーバ名が違います．上の例では，本当はwww.on-sky.netにアクセスしているのに，アドレスバーだけを見ると，あたかもwww.example.comにアクセスしているように見えます．繰り返しになりますが，この「www.example.com」の部分には任意の文字列を表示させられますので，例えば，オンラインショップのアドレスを偽装することも可能です．また，サーバ証明書()の発行先が「www.on-sky.net」である点にも注意しましょう．このドメイン自体は，私が所有している正当なものなので，私が「www.on-sky.netに対する証明書ください」と申請すれば，ベリサインだろうがどこであろうが100％間違いなく証明書を発行してくれるでしょう．そういった，最初から信頼されている証明書発行機関を利用すると，今回やってもらったような，CAルート証明書をインストールすると言う手順を踏まなくても，「証明書に関する警告無しにwww.on-sky.netにクライアントを誘導する」ということが出来てしまいます．この手法を悪用して犯罪を犯そうとする場合，証拠が残らないよう証明機関に嘘の申請をすることになりますが，審査の甘い証明機関はいくらでもありそうなので，問題ないでしょう．また，そうした犯罪の被害者になったとして，証明書を発行した証明機関に責任があると言うのは難しいでしょう．証明機関側からすれば，正当なドメインに対して正当な証明書を発行するだけですので()．

この例では日記を表示させているだけですが，実際に偽装したいオンラインショップに似せたページを作ったり，あるいはそのオンラインショップのサーバにアクセスして，それを中継したりすることも可能です．これを概念的に図で示すと，以下のようになります．

図で「サーバ」となっているのが，ターゲットとなるオンラインショップ等，「中継機」となっているのが，この例ではwww.on-sky.net．「クライアント」となっているのがあなたのマシンです．ここで問題なのは，クライアントから暗号化されて届いた個人情報・クレジットカード番号などといったすべてのデータが，いったん平文になって中継機を通過してから再び暗号化されてサーバに届くと言う点で，中継機を通過する間に情報を盗み放題になってしまうと言う点です．また，上の図のモデルでは本来のオンラインショップとの中継を行うので，買い物自体は問題なく成功し，ユーザーは情報を盗まれたことに気づけないという点も重要です．

◆ 対策

私の考える最も良い対策は「パッチが出るまでインターネットエクスプローラを使わない」ことです．どうしても使いたい場合，「https://」で始まるサーバに接続したら，必ず右下の鍵マークをダブルクリックして，証明書の発行先として表示されるサーバ名とアドレスバーに表示されるサーバ名が一致しているかどうかを，ページを読み込む毎にいちいち確認するしかないでしょう．

◆ あとかたづけ

以上で解説は終了です．最後に今回の確認作業でインストールしたCAルート証明書を削除します．

まずはウィンドウ上にあるメニューの「ツール(T)」→「インターネットオプション(O)」をクリックして，インターネットオプションウィンドウを開きます．

次に，「コンテンツ」タブ（図中①）をクリックしてから「証明書」ボタン（図中②）をクリックして，証明書の一覧を開きます．

証明書の一覧ウィンドウが開いたら，「信頼されたルート証明機関」タブ（図中①）をクリックします．すると一覧が表示され，今回インストールした証明書（発行先が「00 dummy root ...」となっているもの」がリストの一番上に表示される（図中②）はずですので，これをクリックして選択状態（背景が青）にします．選択したら「削除」ボタン（図中③）をクリックしてCAルート証明書を削除します．

途中，以下のような確認の警告が出ますので，内容を読んで間違ったCAルート証明書を選択していないか確認し，問題なければ「はい」を押します．

◆ 結び

さて，いかがだったでしょうか？ 断っておくと，このシナリオによってSSLの枠組みそのものが否定されるわけではありません．本来なら鍵マークをダブルクリックすることによって確認すべきサーバ名を，アドレスバーに表示されているもので代用すると言うユーザー側の運用上の問題なのです．ただし，ブラウザはちっちゃな鍵マークだけを表示するのではなく，ちゃんと現在の通信で使われているサーバの証明書が，どこに対して発行されたものであるのかということを分かりやすい場所に表示すべきであって，それをアドレスバーで代用させていたのは，ブラウザを作っているベンダー自身であったのは確かです．

当初この一連の日記を削除することも考えましたが，すでにアクセス元に心当たりのない，いくつかのアクセスをいただいていたことから，どうせならより正確な情報を提供したほうが良いと判断しました．この判断が正しかったのかどうか，まだ少し悩んでいます．公開にあたっては，ユーザー側から見た問題点はなるべく具体的に示し，攻撃に必要な情報は最小限に抑え，これまでに書いてしまったもの以上に詳しい情報は書かないようにしたつもりです．