【翻訳】WoSign と StartCom による今後の証明書は拒否します - Mozilla Security Blog 日本語版

この記事は、2016 年 10 月 24 日付で Mozilla Security Blog に投稿された Distrusting New WoSign and StartCom Certificates（筆者: kwilson）の翻訳です。この翻訳は公式なものではありません。詳しくはこちらをご覧ください。 WoSign という認証局（CA）が技術面と運用面において多くの失態を犯していたこと、より深刻なことには、2016 年 1 月 1 日をもって SHA-1 SSL 証明書を発行できなくなる期限を回避するため、発行日を古い日時に改ざんして証明書の発行を行っていたことを Mozilla は確認しました。さらに、別の CA である StartCom の所有権を WoSign が完全に保有しているにも関わらず、Mozilla の要求するポリシーに反してこの事実を公開していなかったことも判明しま

[mkusunok]

妥当な対応。認証局の質をどう担保していくかはルールをつくったところで簡単には終わらないね

[TakamoriTarou]

StartComは年3000円でコード署名ができるClass 2証明書が手に入る所だったのだが、もうこりゃ完全に駄目だな…。証明書もっと安くなって欲しいが、信頼性が墜ちては元も子もない。

[Haaaa_N]

発行日偽装…ドン引き…

[Jxck]

CA は信用できるのか問題の極致

[masutaka26]

Mozilla も。StartSSL の代替探すか...。

[zu2]

“技術面と運用面において多くの失態を犯していたこと、より深刻なことには、2016 年 1 月 1 日をもって SHA-1 SSL 証明書を発行できなくなる期限を回避するため、発行日を古い日時に改ざんして証明書の発行を行っていた”

[jun_ya]

記事の内容と認証局名でどこの国の話なのかがわかってしまうほどバイアスがかかってる。どうにかしなければ。

[katsyoshi]

安いから安心できないって話じゃないよねこれ

[yosuke_furukawa]

ふむ

[tagomoris]

どんなメリットがあってこんなことしてたんだろ

[mattn]

ひどい

[efcl]

WoSignの顛末

[W53SA]

日付偽装やばすぎる / 「Ernst & Young Hong Kong による監査記録を今後受理しません。」EYマジか

[vanbraam]

これは疑わしきは拒否もしかたないと思う

[delphinus35]

ワオ。StartCom が完全死亡か……