「Chrome 46ではSHA-1証明書などを利用したHTTPSはHTTPと同様の表示になる」記事へのコメント

警告マークも出ないの？

[Anonymous Coward]

セキュリティの知識のある人：
なぜ当該サイトがSSLじゃないのか理解できずに戸惑う

知識のない人：
問題があることに気づかない

警告マークが出ればどちらのユーザも適切な情報を受け取れるんだから、そのほうがいいのでは。

シンプルになって良かったと思う

[Printable is bad. (38668)]

従来「警告マーク付きの錠アイコン」（マイナーエラー）が表示されていたWebページの安全性は、

　　[←安全]　　(普通の錠アイコン)　≧　(警告マーク付きの錠アイコン)　≧　(平文のHTTP接続)　　[危険→]

　　※ただし、如何なる場合も　(普通の錠アイコン)　＞　(平文のHTTP接続)　となる。

といった感じでした。

例えば、暗号化されたページに非暗号の外部ドメインのトラッキング用Webビーコン画像（1x1 px）が置かれていることよって生じたマイナーエラーは事実上の危険はなく「普通の錠アイコン」の場合と同等の安全性ですが（同一ドメインなら不正なCookieの操作

Re:

[Anonymous Coward]

> 暗号化されたページに非暗号の外部ドメインのトラッキング用Webビーコン画像（1x1 px）が置かれていることよって生じたマイナーエラーは事実上の危険はなく

この時点で，間違ってますよ

Re:シンプルになって良かったと思う

[Anonymous Coward]

いや、多分、あってる。

その段落は、「危険はない」と主張してるんではない。
そこでの主張は、「ユーザがソースを全部精査すれば、そのページがクリティカルな部分にhttp接続相当の危険性を孕んでいるのか、
事実上、https接続相当の安全性が保てているのかは、ある程度は(*)判断可能」とかそういうこと。

* 決定不能問題を持ち出して判断不可能な実例を作る事は可能だけど、
「大丈夫だと確信できる」/「もしかしたらヤバいかも」より詳細な厳密な分類が絶対必要というわけでもない。

頑張ってソースを精査して、「平文部分が攻撃を受けても、1x1 pxの色が変わるだけ」とチェックして、
「だから安全」と判断するなら、「このサイトはhttps相当」だとみなしてアクセスすれば良い。

「このソースコードなら、攻撃により、チャット上の友人の顔のアイコンが卑猥な絵に書き換えられる
可能性だけは否定できないけど、まあいいや、そこは心底どうでもいいし」とか、「安全」の基準もいろいろだけど。

で、そこまで神経質に気にする人なら、そもそも鍵アイコンが出るかどうかをずっと見張ってるべき。
「いつのまにかhttpのサイトにリダイレクトされていた」というトラブルに気付けないから、見張ってないと片手落ちだし。
そして、見張ってたら、「httpsなのに鍵が出ない」と気付くはず。