不正なSSL証明書を見破るPublic Key Pinningを試す - ぼちぼち日記

先日のエントリー 「TLSとSPDYの間でGoogle Chromeがハマった脆弱性(CVE-2014-3166の解説)」で予告した通り、今回不正なSSL証明書を見破る Public Key Pinningの機能について解説します。 Public Key Pinning は2種類の方法があります。あらかじめブラウザーのソースコードに公開鍵情報を埋め込む Pre-loaded public key pinning と、サーバからHTTPヘッダでブラウザに公開鍵情報を通知するHTTP-based public key pinning (HPKP)の２つです。 Chromeは既に両者の機能を実装済ですが、ちょうど近日リリースされる Firefox 32 の Stable バージョンから Pre-loaded public key pinning が実装されました。Firefox32リリース記念と

[raitu]

「本物の証明書の公開鍵データのハッシュ値をブラウザにあらかじめ登録」「送信されてくる証明書の公開鍵データのハッシュ値と比較して、不正な証明書の利用を検知、防止する機能」

[uechoco]

SSL pinning

[tmatsuu]

HPKPはこちらがとてもわかりやすい。なんでbackup pinをCSRから作るのか最初わからなかったけど、CSRなら秘匿じゃないから扱いやすいし、秘密鍵を指定できるとは限らないか。なるほど。

[Rockridge]

Public Key Pinningには、「あらかじめブラウザーのソースコードに公開鍵情報を埋め込む Pre-loaded」と「サーバからHTTPヘッダでブラウザに公開鍵情報を通知するHTTP-based」の2種類の方法がある。

[suginoy]

“だいたい毎年1件ぐらいニュースになっています。”

[scalar]

セキュリティのためとはいえ、これはまた運用で盛大にミスりそうなものが

[Jxck]

#mozaicfm でもちょっと話したけど、ブラウザがアプリだけじゃなく、 CA のような基板部分の機能も内包し始めた感じがして、いよいよ大変な変化が起きている印象。

[rryu]

メジャーなサービスに成長したらこの辺も対応しないといけなくなるのか。