2005年01月17日(月) これまでの01月17日 編集

■1 自爆ボタンDX 通常版[http://tenant.depart.livedoor.com/t/livedoorshop/item_detail?id=346274][CLIP] このエントリーをはてなブックマークに追加

某チャネルから。
なんか、あやしいシステムに両面テープで貼り付けたくなるな。

■2安全な通信を行うための証明書[セキュリティ] このエントリーをはてなブックマークに追加

電子申請方面では、 LGPKI Application CA 自己署名証明書[http://www.lgpki.jp/Manual/install.htm] のことを、 安全な通信を行うための証明書[http://www.google.com/search?hl=ja&c2coff=1&q=%E5%AE%89%E5%85%A8%E3%81%AA%E9%80%9A%E4%BF%A1%E3%82%92%E8%A1%8C%E3%81%86%E3%81%9F%E3%82%81%E3%81%AE%E8%A8%BC%E6%98%8E%E6%9B%B8+site%3Alg.jp&btnG=Google+%E6%A4%9C%E7%B4%A2&lr=] と呼ぶのが大ブームの様だ。

高木先生の、 都道府県電子申請で使用されるSSLサーバ証明書の種類[http://www.takagi-hiromitsu.jp/diary/20050115.html#p01] を参考に、LGPKI Application CAを使っている各県の電子申請システムが、どうやっているのか調べてみたところ、非常に困った状況であることが分かった。やはり、この国のPKIは崩壊しているかも知れない。

北海道[http://www.pref.hokkaido.jp/skikaku/sk-jkkku/shinseido/caution.htm]:

この「セキュリティの警告」は<申請堂>の証明機関であるLGPKIの「自己署名証明書(ルート証明書)」が ご利用端末のブラウザに現在格納されている証明機関リストに存在しないため、 『<申請堂>の証明機関であるLGPKIは利用者の方が信頼している(=ブラウザに格納された証明機関リストに存在する)機関ではない』 と警告しているもので、必ずしもセキュリティ上の問題を示しているものではありません。
「証明書の表示」ボタンを押すとサーバ証明書の情報が表示されますので、発行元がLGPKIであることを確認してください。

何をどう確認した事になるのか。

この「セキュリティの警告」ダイアログが表示される場合でも、「はい」を選択することで<申請堂>をご利用いただくことが出来ますが、 この場合、毎回表示される警告でサーバ証明書の真正性を確認しなければなりませんし、 信頼すべきでないサーバへのアクセスで表示される警告と見分けづらいため、 LGPKIの自己署名証明書(ルート証明書)をご利用端末のブラウザにインポートすることをお奨めします。

真正性は確認できないのだから、「はい」と答えてはいけない。
ということで、 ルート証明書のインストール方法[http://www.pref.hokkaido.jp/skikaku/sk-jkkku/shinseido/install.htm] である。

ダウンロード後、[AppCA.cer]をダブルクリックすると上のように証明書の内容が表示されます。 この画面ではまだLGPKIの自己署名証明書(ルート証明書)がインポートされていないため、警告が表示されています。
タブを切り替えることによって、証明書の情報を確認できます。 証明書のインポートを続けるには「証明書のインストール」ボタンを押してください。

ハッシュ値も掲載されているが、httpのページから証明書をダウンロードして、httpのページに書いてあるハッシュ値を比較することになる。
この確認で、ルート証明書をインストールするのは危険である。

栃木県[http://www.info.ds.pref.tochigi.lg.jp/guide/shoumeisho1.html]:

フィンガープリントの確認は「必ず行え」と書いてある。

1-7 証明書の「拇印」が画面に表示されますので、この値が下記の証明書のフィンガープリント情報と同じ値であるか確認してください。
1-8 地方公共団体における組織認証基盤(LGPKI)」のホームページ(http://www.lgpki.jp/)でも「安全な通信を行うための証明書」のフィンガープリント(拇印)情報が公開されてますので、そちらも確認してください。 万が一、ダウンロードした証明書の「拇印」が上記の証明書のフィンガープリント情報(拇印)と一致しないときは、ダウンロードした証明書は正しいものではありませんので、この場合は、絶対にブラウザに組み込まないでください。

しかし、AppCA.crtを同じhttpのページからダウンロードする作りである。
この確認で、ルート証明書をインストールするのは危険である。

埼玉県[http://www.pref.saitama.lg.jp/tools/ssl/ssldounyu.html]:

フィンガープリントの説明もなく、インストール手順が説明してあり、最後に、

なお、インストールした証明書について、その証明が正式なものかを確認する方法があります。
下記の確認方法をご覧ください。
→→●安全な通信を行うための証明書の確認

等と添え書きの様に書いてあるのみ。

東京都[http://www.taims.metro.tokyo.jp/soumu/shinseihelpdeskfaq.nsf/WebByCategory/79B63C1B171DF26D49256E2300025A45?OpenDocument]:

※尚、このメッセージが出ていても通信の暗号化は有効になっています。
通信の暗号化が有効かどうかの確認方法は、下記の関連リンクからご覧いただけます。

証明書の組み込み方法はhttpsのページの中にあるが、AppCAなので箱の鍵は箱の中。

石川県[http://www.pref.ishikawa.jp/johosei/eshinsei/warning.htm]:

これも結果としては、「OKを押せ」に近い。httpのページのフィンガープリントと比較せよというもの。

証明書が石川県のWEBサーバ証明書であることを、 石川県地方公共団体組織認証基盤のページから確認してください。

岐阜県[http://www.pref.gifu.lg.jp/pref/s11124/lgpki/kyodaku.htm]:

LGPKI Application CAをインストールすることを必須としている。

安全な通信を行うための証明書を設定する際には、設定の際に表示されるフィンガープリント(拇印)と、本ホームページに表示されるそれ及び6.で示す方法により、相違がないか確認し、自己の責任において行ってください。

ここもhttpなページのフィンガープリントとの比較である。

三重県[http://www.shinsei.pref.mie.jp/shinsei/index.html]:

今回調べた中で、唯一、まともな作りである。
安全な通信を行うための証明書について[https://www1.pref.mie.jp/e-shinsei/cert/] のページは、VeriSignの証明書を使ったページの中にある。
証明書が本物かどうかを確認するためにはフィンガープリントの照合が必要である事も説明しており、組み込み前にフィンガープリントを確認する様に求めている。
httpsのページにフィンガープリントがあるので、あとは、このサーバの運用自体が安全に行われているかの問題である。

滋賀県[http://www5.pref.shiga.jp/portal/p_message.htm]:

証明書組み込み方法のサイトへ移る途中、下記の「セキュリティの警告」メッセージが表示されますが、「OK」もしくは「はい」を選択してください。

警告に「OK」と答える事を要求してはいけない。httpsではあるが、箱の鍵は箱の中である。

httpでも同じログイン画面が表示され、ログイン画面フォームの送り先は相対パスの様だ。ということは、誤ってあるいは故意に「http」に誘導して盗聴する攻撃が成り立つ心配がある。

岡山県[https://www.e-entry.okix.jp/]:

VeriSignのサーバ証明書に切り替えた様だが、現在停止中。

山口県[http://www.pref.yamaguchi.lg.jp/gyosei/joho-k/lgpki/index.htm]:

「安全な通信を行うための証明書のインストール」を行う。
フィンガープリント照合の必要性についての記述も、フィンガープリントの掲載もあるが、httpである。

徳島県[https://www.tok-j.info/navigate/public/mu1/bin/first_ie.htm]:

県のページからずいぶん探したが、警告を無視しないと、利用案内すら見る事ができない様だ。
証明書のインストール手順が書いてあるが、フィンガープリントの照合は無し。
証明書の確認方法[https://www.tok-j.info/navigate/public/mu1/bin/egovweb/contents/cert_site.htm] というページが用意されているが、このページを見て仰天した。

証明書の確認手順
「証明書画面」が表示されたら、発行者の部分に「Application CA」と
表示されていることを確認後、[OK]ボタンをクリックしてIEの画
面に戻ってください。

⇒これで接続先が間違いなく徳島県であり、安全な通信が行われている
ことが確認できました。

こういうウソを流布させてはいけない。

香川県[https://kds.pref.kagawa.jp/sinsei/top/index.jsp]:

徳島県同様、警告を無視しないと、利用案内すら見る事ができない様だ。
フィンガープリント照合の必要について記述があり、LGPKIのフィンガープリント掲載ページへのリンクが用意されている。

愛媛県[http://www.pref.ehime.jp/denshin/ssl_info.html]:

手順中に「フィンガープリントの確認」は記述されているが、もちろんhttp。

福岡県[http://www.pref.fukuoka.lg.jp/wbase.nsf/doc/lgpki3?OpenDocument]:

高木先生からご指摘[http://www.nantoka.com/~kei/diary/board.cgi?act=read&msgid=142] を頂いたので、調べ直してみると、確かに使用しているのは「LGPKI AppCA」だった。訂正しておく。どの様に間違えていたかは、コメントとして残しておいた。

環境設定とユーザ登録[http://www.shinsei.pref.fukuoka.lg.jp/hajimete_07.html] から、 福岡県地方公共団体組織認証基盤[http://www.pref.fukuoka.lg.jp/wbase.nsf/doc/lgpki] を辿って、一番下の「(公的個人認証用の)福岡県認証局の自己証明書の取得へ」と勘違いした様だ。

警告メッセージが表示されますので、必ず、組込み作業を行なった上で「電子申請システム」「電子調達システム」を利用してください。

とある。
フィンガープリントを自己の責任で比較せよとあるが、AppCA.cer、フィンガープリントともhttp。

長崎県[http://eap.pref.nagasaki.jp/e-apply/docs/ssl_help.html]:

LGPKIホームページから、LGPKIにおける自己署名証明書をインストールせよとの説明。フィンガープリントの掲載も、照合の必要性も記述無し。

大分県[http://www.pref.oita.jp/10900/shinsei/]:

ここも、箱の鍵は箱の中である。警告を無視しないと、利用案内すら見る事ができない。
しかも、組み込み手順のページはアドレスバーを隠している。何のために隠すのか全く意味不明である。

なお、証明書を組み込まない場合は、毎回警告画面の「はい(Y)」をクリックして続行してください。

何のための証明書か全く理解していないとしか思えない。

鹿児島県[https://www.kagoshima-e-shinsei.jp/shinsei/jsp/default.jsp]:

ここも、箱の鍵は箱の中である。警告を無視しないと、利用案内すら見る事ができない。

証明書組み込み方法のサイトへ移る途中、下記の「セキュリティの警告」メッセージが表示されますが、「OK」もしくは「はい」を選択してください。

ここも警告を無視させる作りである。

■3「安全な通信を行うための証明書」の利用規程[セキュリティ] このエントリーをはてなブックマークに追加

今回、各県のLGPKI Application CAに関する扱いを調べてみて確信したが、ルート証明書を組み込むということを余りにも安易に考えているし、またその結果を利用者に転嫁している感がある。
各県で「安全な通信を行うための証明書」の利用規程を掲げているが、これには判で押した様に

○禁止事項
安全な通信を行うための証明書の入手と設定に当たっては、次に掲げる行為を禁止します。
・本証明書を、証明書ポリシー(CP)に定められている目的以外に使用すること。
○免責事項
・××は、利用者が安全な通信を行うための証明書の入手と設定を行ったことにより発生した利用者の損害及び利用者が第三者に与えた損害について、一切の責任を負いません。

等と書かれている。

証明書ポリシーに定められている目的とは 地方公共団体組織認証基盤・アプリケーション証明書証明書ポリシー(CP)[http://www.lgpki.jp/unei/C-6-2-3_CP_Ap_20041125.pdf] によれば、

1.3.2 適用性・適用環境など
  アプリケーション証明書は、以下の用途及びアプリケーションでの使用を前提とする。
    ・Web サーバ証明書
      地方公共団体で運営されるWeb サーバ等の各種サーバに適用し、住民・企業等に
      対するホームページによる広報及び申請業務等や地方公共団体内の業務システム
      等で使用する。また、地方公共団体組織認証基盤として運用される各種サーバに適
      用する。Web サーバ証明書の有効期間は、証明書を有効とする日から起算して3
      年とする。

を指していると思われるが、これはエンドユーザー向きの内容ではない。
なぜこの禁止事項が書かれる様になったのか推察すると、同じくこのCPに、

2.1.3 証明書利用者の義務
  アプリケーション証明書の利用者は、次の義務を負う。
    ・アプリケーション証明書は、例規に基づき本CP に従って利用する。
    ・アプリケーション証明書及びその秘密鍵を安全に管理する。
    ・アプリケーション証明書の管理は、地方公共団体組織認証基盤における認証局鍵情
    報等利用規程に基づいて行う。
    ・秘密鍵が危殆化した場合は、速やかに本CP「1.1.2 関連規程」に示す各CPS に定め
    る組織に報告する。
    ・アプリケーション証明書は、本CP「1.3.2 適用性・適用環境など」で定める目的以
    外で適用しない。

という規定があるからではなかろうか。ここでいう、「アプリケーション証明書の利用者」は自治体でサービスを提供している側であって、サービスを利用するエンドユーザーではない。
仮にこの推理が当たっているとすると、この規定を作った人達は自らがCPを理解できていないということになる。

免責事項の方も重大で、万が一、ある都道府県のページが改竄されていてその記述を信用して、ニセのルート証明書をブラウザに組み込んだ結果、何が起きても責任は負わないというのだ。
確かに、これまで見てきた様に、「安全な通信を行うための証明書」は全く安全に配布されていないので、責任を負う事はさすがにできないだろう。
このやり方を続けていると、ニセのルート証明書を組み込ませた上でのフィッシング詐欺に引っかかる被害者が出ても不思議ではない。ルート証明書の組み込みという恐ろしい事を一般的な作業にしてしまった責任は非常に重い。
一方的に利用者に責任を押しつけつつ、安全でない方法で証明書インストールさせるというスタイルが許されて良いのだろうか。
ニセのルート証明書を組み込んでしまった場合に、インターネットバンキングを含めて全ての通信が危険にさらされるということを述べて、「自己の責任で」と述べている自治体は一つもなかった。知らないとすれば許されない無知であるし、知っていて予め免責事項に入れているのであれば相当に悪質である。

どうも「安全な通信を行うための証明書」なるものは、何かのツールの様なもので、入れさえすれば安全になる何かだと勘違いしている人達が多いのではなかろうか。穿った見方をすれば、この名前の付け方に欺瞞を感じる。
ルート証明書を組み込む様な大それた事を、手順を説明してまで一般利用者にやらせてはいけない[http://www.cubed-l.org/?date=20050112#p03] と思う。ルート証明書の組み込みが難しいのは、それなりの理由があることなのだ。

■4各都道府県の状況[セキュリティ] このエントリーをはてなブックマークに追加

分かりやすい様に一覧表にまとめてみた。

各都道府県の「安全な通信を行うための証明書」の扱い

全体を見て「ひょっとして」と思う事は、「フィンガープリント」は、ダウンロードしたファイルが「壊れていないかどうか」を確認するためのものという認識しかしていないのではないか。
「壊れた」証明書をインストールするとパソコンがおかしくなるから、念のために確認した方が良いといった認識の様に思えてならない。

ひょっとすると!:

利用規程[?200501b&to=200501173#200501173] の免責事項で想定している被害は、偽のルート証明書による被害とかいう大きなものじゃなくて、「組み込みに失敗してブラウザが動かなくなっても責任取らないからね」とかいう被害ではなかろうか。そういう気がしてきた。
こういう免責事項が掲げてある自治体にお住まいの方は、具体的にどういう被害が考えられるのか率直に聞いてみてもらえないだろうか。

間違いの修正と補足:

高木先生からの指摘[http://www.nantoka.com/~kei/diary/board.cgi?act=read&msgid=142] で、福岡県が「LGPKI」であることが分かったので修正した。「ハッシュ比較の必要性」の判断基準についても補足した。

■5 バークシャー州長崎県[http://www.nantoka.com/~kei/diary/?200501b&to=200501163S1#T200501163S1][セキュリティ] このエントリーをはてなブックマークに追加

こんなのアリなのかという宿題。
地方公共団体組織認証基盤・アプリケーション証明書証明書ポリシー(CP)[http://www.lgpki.jp/unei/C-6-2-3_CP_Ap_20041125.pdf] には、

3.1.1 名前の型
アプリケーション証明書の発行者名及び主体者名は、X.500 識別名(DN:Distinguished
Name)の形式に従って設定する。

とある。
地方公共団体組織認証基盤・プロファイル設計書[http://www.lgpki.jp/Profile/C-6-4-1_LGPKI_Profile200312.pdf] では、Subject(主体者名)のDNは、「countryName、organizationName、organizationalUnitName」を規定しているから、stateOrProvinceNameは含める必要がない。多くの都道府県は「Todouhukenmei Area」としている様だ。

指定がないからと言って、事実と異なるDistinguished Nameが許されるのかどうかは大いに疑問だ。

直った様だ:

2月3日に確認したところ、この問題は解決されていた。

■6届いた本[book][magic] このエントリーをはてなブックマークに追加

届いた本をリストアップ。入力していないのがずいぶん溜まったなぁ。やっぱり蔵書管理システムを実現しないと。

[和書]暗号解読―ロゼッタストーンから量子暗号まで[http://www.amazon.co.jp/exec/obidos/ASIN/4105393022/keisdiary-22?dev-t=DDHPHE04VROHE%26camp=2025%26link_code=sp1]:

以前に図書館で借りて読んだけれども、手元に置いておきたいと思っていたので購入。

藤子・F・不二雄 SF短編集:

以前、違う判形で出てて読んだ記憶があったのだけど、その後探して絶版になったことを知って残念に思っていた本。
この頃書かれたSFは、最近の技術で新しいものを考える時にとっても良いヒントになることが多い。

カードマジック関連:

■7OreSign.com このエントリーをはてなブックマークに追加

以上、1 日分です。

指定日の日記を表示

前月 2005年01月 翌月
1
2 3 4 5 6 7 8
9 10 11 12 13 14 15
16 17 18 19 20 21 22
23 24 25 26 27 28 29
30 31

最近の日記

2019年01月03日

シリーズ5・myHomeAlexaで自分のCDをかける

2018年12月25日

シリーズ4・英語の楽曲・アルバム・アーティスト名をカタカナに直す

2018年12月23日

シリーズ3: Echo Dotがやってきた

2018年12月19日

続・Echo Dotがやってきた

2018年12月18日

続・Echo Dotがやってきた

2018年12月17日

Echo Dotがやってきた
Amazon Product Advertising API

分野別タイトル一覧


全て
CLIP
SYA!nikki
book
freebsd
hns
magic
おさけ
おしごと
お買いもの
ぐる
ごはん
アクセシビリティ
オープンソース
セキュリティ
音楽
地域情報化
電子自治体
日記

keikuma on Twitter

keikuma Name:前田勝之
Location:長崎市
Web:http://www.nantok...
Bio:前田勝之(まえだかつゆき)。長崎在住。コンサル、SE、プログラマー、 なんとか株式会社代表、非常勤講師(情報セキュリティ)。 セキュアド、テクニカルエンジニア(SV,NW)。サーバ管理とWeb日記を10年ほど。 ネットとリアルの接点に関心あり。食べること・歌うこと・愛すること・作ること・飲むこと。おいしいものがぜんぶすき。

サイト内検索

Google AdSense

Powered by hns-2.19.9, HyperNikkiSystem Project