[notl10n]「オレオレ証明書」なのに「正しく検証」

登録日: 2006年9月 25日 記事: 693

Firefox フォーラム内ではなかったので、個人的に Fx3 で修正必要だと思っている対象に入れ忘れていたのですが、そういえばにょずら - 証明書の管理にあるうちの「オレオレ証明書」なのに「正しく検証」が放置中でしたね。
# そこに書かれている 3 点書かれているうち、他 2 点は本体側の変更により解消済のはず。

オレオレの場合に使っても問題のない、いい文言が思いつかないのですが…

ゲスト

サーバ証明書を一時的に受け入れた場合、それがトラストアンカー的なものとして認識され、そこまでのパスをチェックしている（というか証明書の一致をチェックしている）ので、「正しく検証され」が間違いとは言い切れないと思います。
ただし、受け入れ後に証明書を表示させると「原因不明の問題により、～検証できませんでした。」と表示されるのは一貫してないですね。

ここの文言を変更する場合、意味を曖昧にすることにしかならないと思うので反対です。
別の例としてIE7の赤いアドレスバーのように元オレオレ証明書であることをユーザに常に意識させるUIも考えられます。そうしたいのであれば、別リソースを作って、（一時的に）受け入れたサーバ証明書の場合はそっちを表示するようにするほうがよいと思います。

登録日: 2003年10月 05日 記事: 1744

こちらについては最新の UI では修正すべき場面が見あたりませんでした。
http://forums.firehacks.org/l10n/viewtopic.php?p=7290#7290
に書かれている手順を試しても問題の UI が出てこなかった。

見逃しがあれば再考します。

登録日: 2006年9月 25日 記事: 693

dynamis wrote:

こちらについては最新の UI では修正すべき場面が見あたりませんでした。
http://forums.firehacks.org/l10n/viewtopic.php?p=7290#7290
に書かれている手順を試しても問題の UI が出てこなかった。

「受け入れる」のは「例外を承認」に読み替える必要がありますが、今でもオレオレなのに「正しく検証」は出ます。

カスベァ wrote:

1. 「オプション」の "セキュリティ警告" で "暗号化されたページを表示するとき"
　をオンにします。

つまり、(環境)設定/オプション -> [セキュリティ] -> Web ブラウズ中に表示する警告メッセージを選択してください。 [設定] -> [暗号化されたページを表示するとき] にチェックを入れる。

カスベァ wrote:

2. 「オレオレ証明書」を使っているサイトにアクセスします。
　例: http://www.pref.saga.lg.jp/citizenH/help/shinseinavi/shinseisho.htm

これは今でもそのまま。

カスベァ wrote:

3. "Web サイトが未知の認証局により認証されています" ダイアログで "このセッ
　ションの間だけ一時的に証明書を受け入れる" を選択して [OK] をクリックします。
　"暗号化されたページを要求しています。このサイトの認証情報は正しく検証されて
　おり、あなたがこのページで表示や入力する情報は第三者が簡単に傍受できません。"
　というダイアログが表示されます。

[安全な接続ができませんでした] 画面で [例外として扱うこともできます] をクリック。
[例外を追加] をクリック。
[証明書を取得] をクリック。
# 念のため [次回以降もこの例外を有効にする] のチェックははずす。
[セキュリティ例外を承認] をクリック。
　"暗号化されたページを要求しています。このサイトの認証情報は正しく検証されて
　おり、あなたがこのページで表示や入力する情報は第三者が簡単に傍受できません。"
　というダイアログが表示されます。

承認した例外と一致していることは確認されているわけなので、確かに tes さんの言うように「正しく検証」が間違いとは言い切れないのですが、でも「受け入れ」ではなく「例外」になっていることもありますし、やっぱり「正しく検証」とは呼ばない気がします。

登録日: 2003年10月 05日 記事: 1744

あ wrote:

dynamis wrote:

こちらについては最新の UI では修正すべき場面が見あたりませんでした。
http://forums.firehacks.org/l10n/viewtopic.php?p=7290#7290
に書かれている手順を試しても問題の UI が出てこなかった。

Quote:

◇「オレオレ証明書」なのに「正しく検証」

1. 「オプション」の "セキュリティ警告" で "暗号化されたページを表示するとき"
　をオンにします。

2. 「オレオレ証明書」を使っているサイトにアクセスします。
　例: http://www.pref.saga.lg.jp/citizenH/help/shinseinavi/shinseisho.htm

3. "Web サイトが未知の認証局により認証されています" ダイアログで "このセッ
　ションの間だけ一時的に証明書を受け入れる" を選択して [OK] をクリックします。
　"暗号化されたページを要求しています。このサイトの認証情報は正しく検証されて
　おり、あなたがこのページで表示や入力する情報は第三者が簡単に傍受できません。"
　というダイアログが表示されます。

「未知の認証局により認証され」なので、「正しく検証され」てはいません。
もともとこのダイアログは正当な証明書に表示されるものですが、「オレオレ証明書」
にも表示されてしまうため、/pipnss/security.properties #49 EnterSecureMessage
と #50 WeakSecureMessage は見直したほうがよいと思います。

「受け入れる」のは「例外を承認」に読み替える必要がありますが、今でもオレオレなのに「正しく検証」は出ます。

すみません。完全に読み違えていたようです。俺俺証明書を例外として追加・受け入れした後の話だったのですね。

1. 新規プロファイルで起動して "暗号化されたページを表示するとき" の警告がオンになっていることを確認
2. http://www.pref.saga.lg.jp/citizenH/help/shinseinavi/shinseisho.htm にアクセス
3. 以下のダイアログが表示される:

4. OK を押してさらに「安全な接続ができませんでした」ページでセキュリティ例外を追加する:

5. 以下のダイアログでセキュリティ例外を追加:

6. あらためて http://www.pref.saga.lg.jp/citizenH/help/shinseinavi/shinseisho.htm にアクセスする
7. セキュリティ警告が表示される:

手順 3 前半が 3,4,5,6 になっていて、7 時点を問題にしているのに、3,4 時点でのメッセージについてのことかと誤認してました。
これは Firefox の、少なくとも現時点での仕様としか言いようがないと思います。

7 の確認ダイアログでは、ユーザが信用している証明書をサーバ側が使っていることを正しく検証できたことを伝えるものであり、その証明書をどのようにして信用したのかについては問題としていません。
# 例外として承認、追加するということは、ユーザがその証明書を信用したということ

この場面で、Mozilla が信用している証明書とユーザが個別に信用を追加した証明書を区別して別のメッセージを表示するのかどうかと言うことに関しては、L10N ではなく Firefox のセキュリティデザインをどうするかという問題です。

証明書の意味を十分に理解せず追加してしまった場合にも更にしつこく確認して救済するかどうかと言うのは L10N で決めることではありません。少なくとも現在の Firefox は、例外として追加するときに「本物の〜がこの操作を求めることはない」とはっきりとしたメッセージを表示する(手順5)ことは必要だが、承認した後でまでしつこく「この証明書は Mozilla としては推奨できない」と繰り返すというポリシーではないということです。

tes さんの言う

tes wrote:

受け入れ後に証明書を表示させると「原因不明の問題により、～検証できませんでした。」と表示されるのは一貫してないですね。

に関してですが「検証」している内容が別であって、同じことに対して言っているわけではありませんから、矛盾しているわけではありません。

正しく検証しているというのは、「信頼済みの証明書をサーバ側が使用していること検証」しています。
証明書を表示したときの画面は「その証明書自体の有効性をPKIのシステムで検証」しています。

同じ「検証」という語句が使われているから混同してしまいますが、矛盾しているわけではありません。サーバとの通信について語っているときと、証明書の内容を確認しているときでは言っていることもしていることも違います。

一般ユーザがそれを理解できるかというと No でしょうが、そもそも一般ユーザに証明書云々の話を理解させるつもりはないはずです。
最も大事なことである、間違って例外として承認しないようにすること、そこにフォーカスして強く警告する(手順5の画面)というのが Firefox 3 のオレオレ証明書に対する解答のハズです。
それを無視したユーザについてまで警告を続けるということまでは、少なくとも Firefox 3 は意図していないはずです。
# そのスタンスの善し悪しについては色々疑問もありますが、L10N で日本語版だけ Firefox のセキュリティポリシーを勝手に変更するべきではないはずです。
# このトピックは [notl10n] とします

個人的には、証明書を信用した後は仕方ないにしても「次回以降もこの例外を有効にする」がデフォルトでオンになっていることの方が、現在の Firefox のポリシー(であろうと私が感じているもの)においても不味いのではないかと思っています。

登録日: 2003年10月 05日 記事: 1744

早速セキュリティ例外を追加するように薦める非常識なサイトが現れたそうですね。
その積極性をもうちょっと違う方向に向けて、有効な証明書を適切に使うようにすればいいのに。(^^;

それはともかく、誤解なきように繰り返しておきますが、私がこのダイアログのメッセージを現状維持としたのは、あくまでもセキュリティポリシーに関わるところを特定言語の L10N レベルで変更すべきではなく、変更するのであれば全言語で本体側の修正として対応するべきだと思っているからです。

Invalid な証明書を使用しているサイトに対して "identified itself correctly" と言うべきでないという件については、本家の Bugzilla に登録しました:
https://bugzilla.mozilla.org/show_bug.cgi?id=443100
この件の修正を望む方は積極的に Bugzilla での議論に参加してください。

登録日: 2003年10月 05日 記事: 1744

dynamis wrote:

Invalid な証明書を使用しているサイトに対して "identified itself correctly" と言うべきでないという件については、本家の Bugzilla に登録しました:
https://bugzilla.mozilla.org/show_bug.cgi?id=443100
この件の修正を望む方は積極的に Bugzilla での議論に参加してください。

一応経過報告です。
https://bugzilla.mozilla.org/show_bug.cgi?id=443100#c2

Johnathan Nightingale wrote:

The process of adding an exception is, by definition almost, an assertion like:

"This certificate can be used to identify this site. Even though no trusted CA
has made that attestation, I trust this certificate to identify this site."

Once that decision has been made, my opinion is that there is little difference
between the two in terms of "trustworthiness." Typical CA verification for a
DV certificate is to just confirm ownership of the domain - that is, it
establishes a trusted binding between a domain name and ownership of a given
certificate (and associated private key). That is precisely what the security
exception mechanism does as well. Either you trust that a given cert is being
used by the intended site owner, or you do not.

I appreciate the distinction you are trying to make, but I think that making
that distinction in the UI means code change (and associated risk) as well as
potential for more user confusion. I'd like to hear Kai's reaction here, but
my inclination is to leave things as-is.

って返答いただいています。まぁようするに本家の開発者的にも

Quote:

例外として承認するというのはその証明書を信頼するということであり、他の開発者の意見も聞きたいが、変更のリスクやそれに伴うユーザの混乱の可能性も考えるとこのまま現状維持でよいかと思っている

的な反応です。

私の方で最大限伝えたつもり、というか、これだけ丁寧に書いて却下されるのであればもうそれは仕方ないと思うだけ書いたつもりですが、皆さんの意見をすべて私が誤解なく伝えるというのは難しいです。
https://bugzilla.mozilla.org/show_bug.cgi?id=443100#c6
https://bugzilla.mozilla.org/show_bug.cgi?id=443100#c7

こういうところは黙っていたり国内だけで議論していて変わるものではありません。
特に自分でコードを書けない(or書かない)場合、ちゃんと論理立てて説明して変更の重要性を本家の開発者に理解してもらう必要があります。変更が必要だと思う方は、こういう機会に積極的に発言していただけるとうれしいです。

皆さんご存じの通り私はセキュリティの専門家ではないし、ミスも多いですから、私よりよく調べたり知っていたりする人は特に、是非。

# 今回のように毎回細かく経過報告はできませんのでご了承ください。

ゲスト

このトピックを立てたのはわたしではありませんが、一応コメントしておきます。
わたしの考えは、元の
http://forums.firehacks.org/l10n/viewtopic.php?p=7290#7297
に書いた通りです。

「日本語パックをちょこっと手直しすれば済む問題だと考えていました。」