自堕落な技術者の日記 : Certificate TransparencyでわかったというThawteによるgoogle.com証明書の不正発行？？？ - livedoor Blog（ブログ）

基本は喰ってるか飲んでるかですが、よく趣味でカラオケ・PKI・署名・認証・プログラミング・情報セキュリティをやっています。旅好き。テレビ好きで芸能通 2015年9月19日(土)に「Symantec caught issuing rogue Google.com certificates」 という記事が飛び込んできて、認証局、証明書、SSL関係のインシデントだと わくわくして飛びつくわけですが、ざっと読んでみると 大手セキュリティベンダーのSymantecの子会社で低価な証明書の発行サービスをやっている Thawteが、2015年9月14日にgoogle.com、www.google.com用のEV SSL証明書を、Googleに了解なく 不正に発行していたことが、証明書の公開監査記録(Certificate Transparency)によりわかった。 という事のようです。厳格な審査で発行さ

[mkusunok]

さすがよく調べられてる。これちゃんとSymantecは説明しなきゃまずいよね

[pismo]

代表じゃない方の会社でThawteのサーバー証明書を使っているので、きちんと報告して欲しいなぁ。テスト用とは言え不正発行じゃん。

[ANNotunzdY]

Googleの糞野望。またアクセスログをGoogleに取られる。ECC証明書の保管方法も謎

[tmatsuu]

本当はもっと酷い状況だったのをオペミスって言葉で濁した可能性あるなぁ

[rryu]

記録はしているけど記録されたものを使う方をあまり考えていない仕組みっぽい。テストデータにgoogl.com使うアレな人はたまにいるが、よりにもよって証明書発行でとは……

[naka-06_18]

「本番環境で「神経がピリピリしてる最もマズイドメイン」の証明書を発行しちゃった」ことはあまり問題にならず CT も使い続けられてしまうんでしょうね。

[kik0220]

EV証明書にいくらかの実用的な機能が付いていたことを初めて知ったよ。

[ozuma]

雑な感じだなー

[ukky3]

うーん、いろいろとよろしくないですね… 自堕落な技術者の日記 : Certificate TransparencyでわかったというThawteによるhttp://t.co/mvbc9YUwRs証明書の不正発行？？？