アカウント名:
パスワード:
スマホとの通信でアップされた情報を見るのはSSL欲しいけど、これはボタン押した情報を送信するだけだからSSL化する必要もないのに。
ていうか、これきっとオレオレ証明書でしょ。ちゃんとしたルートCAから発行した証明書をチェインで検証して、CNを確認する方式だったら、サーバ証明書更新しても何事もおきないわけで。ルート証明書の有効期限は10年以上あるし。
https://twitter.com/SgkSsci/status/1067774302659866625 [twitter.com]
ありがとうございます。
それにしてもthumbprint直書きか……CRLもちゃんと動かないじゃん。たしかにそれだったら、SSLにする必要ない。リソース厳しいんなら、それこそ、DSAかなんかで直接ペイロードに署名つけちゃえばいいような。
それなら別にオレオレ証明書の有効期限100年とかにしとけばよかった話じゃん?
そもそもなんで証明書には有効期限があって、定期的に更新しなきゃいけないのかっていうと公開鍵暗号アルゴリズムやハッシュアルゴリズムが破られたり、あるいはコンピュータの計算速度が速くなって秘密鍵を探し出されたりっていう可能性を考慮したものだった気がする
そんなら「危なくなったら新しい証明書を配布」することにしておいて、まず最初の証明書の有効期限は100年先でもよかったのではないか、と。
ほら、有効期限がないと、新しいのを買ってくれなくてお金が落ちてこないから…ってのはともかく、証明書とかの面倒くさいところはアマゾンに丸投げで端折ったんじゃないかな。選択と集中っていうやつで。俺達が注力するのは証明書じゃないと判断したんでしょう。ただ、IoT界隈とは証明書チェーンも検証できないほどリソースが厳しいというのが驚き。ファミコンカセット並ではないですか?
電池やで。消費電力は可能な限りに減らしたいやん?
そうだよね。。基本的にボタン押したときしか通信が発生しないんだから、通信が発生=ウンコしたっていう感じで通信内容わかっちゃうし。。アクセストークンとかは平文で流れちゃうけど、その情報盗聴してウンコ連発攻撃するハッカーとかいる?
この間のさくらインターネットのストーリ [security.srad.jp]にもあったけど、サービス終了時の事も考えないと。急な廃業後、IPアドレスやドメインを第三者が取得して悪意あるアップデータを配信したらボットネットやバックドアの出来上がりとか困る。だから運用が不味かったとはいえ、HTTPS限定にして、証明書を使うのは極めて妥当な判断だよ。
うわ、この家の赤ちゃんウンコしすぎ。。。
より多くのコメントがこの議論にあるかもしれませんが、JavaScriptが有効ではない環境を使用している場合、クラシックなコメントシステム(D1)に設定を変更する必要があります。
犯人はmoriwaka -- Anonymous Coward
SSL使わなくていいのに (スコア:0)
スマホとの通信でアップされた情報を見るのはSSL欲しいけど、
これはボタン押した情報を送信するだけだからSSL化する必要もないのに。
Re:SSL使わなくていいのに (スコア:1)
ていうか、これきっとオレオレ証明書でしょ。
ちゃんとしたルートCAから発行した証明書をチェインで検証して、CNを確認する方式だったら、
サーバ証明書更新しても何事もおきないわけで。
ルート証明書の有効期限は10年以上あるし。
Re:SSL使わなくていいのに (スコア:4, 参考になる)
https://twitter.com/SgkSsci/status/1067774302659866625 [twitter.com]
Re:SSL使わなくていいのに (スコア:1)
ありがとうございます。
それにしてもthumbprint直書きか……CRLもちゃんと動かないじゃん。
たしかにそれだったら、SSLにする必要ない。リソース厳しいんなら、
それこそ、DSAかなんかで直接ペイロードに署名つけちゃえばいいような。
Re: (スコア:0)
それなら別にオレオレ証明書の有効期限100年とかにしとけばよかった話じゃん?
そもそもなんで証明書には有効期限があって、定期的に更新しなきゃいけないのかっていうと
公開鍵暗号アルゴリズムやハッシュアルゴリズムが破られたり、
あるいはコンピュータの計算速度が速くなって秘密鍵を探し出されたりっていう可能性を考慮したものだった気がする
そんなら「危なくなったら新しい証明書を配布」することにしておいて、
まず最初の証明書の有効期限は100年先でもよかったのではないか、と。
Re: (スコア:0)
ほら、有効期限がないと、新しいのを買ってくれなくてお金が落ちてこないから…ってのはともかく、証明書とかの面倒くさいところはアマゾンに丸投げで端折ったんじゃないかな。選択と集中っていうやつで。俺達が注力するのは証明書じゃないと判断したんでしょう。
ただ、IoT界隈とは証明書チェーンも検証できないほどリソースが厳しいというのが驚き。ファミコンカセット並ではないですか?
Re:SSL使わなくていいのに (スコア:2)
電池やで。
消費電力は可能な限りに減らしたいやん?
Re: (スコア:0)
次世代型高性能マシン買って、秘密鍵暴いて、やることが「うんこ記録を盗み見る」
Re: (スコア:0)
そうだよね。。
基本的にボタン押したときしか通信が発生しないんだから、
通信が発生=ウンコしたっていう感じで通信内容わかっちゃうし。。
アクセストークンとかは平文で流れちゃうけど、その情報盗聴してウンコ連発攻撃するハッカーとかいる?
Re:SSL使わなくていいのに (スコア:1)
この間のさくらインターネットのストーリ [security.srad.jp]にもあったけど、サービス終了時の事も考えないと。
急な廃業後、IPアドレスやドメインを第三者が取得して悪意あるアップデータを配信したらボットネットやバックドアの出来上がりとか困る。
だから運用が不味かったとはいえ、HTTPS限定にして、証明書を使うのは極めて妥当な判断だよ。
Re: (スコア:0)
うわ、この家の赤ちゃんウンコしすぎ。。。