東京大学大学院 大澤昇平特任准教授が「信頼できるサイト」の見分け方を解説 → 間違いが多すぎて、エンジニアが逆に注意喚起する事態に・・・。

【2019/11/09 20:00】コメント・一部記述を追加。 【2019/11/10 00:20】Let's Encryptに関する記述を追加・修正。 【2019/11/10 17:50】大澤氏のコメントを追加。 【2019/11/11 12:50】NISC/IPA/フィッシング対策協議会に対し、当該記事への対応依頼を実施。 【2019/11/13 22:09】「適切なフィッシング詐欺対策について」を追加。

[niam]

擁護するわけじゃないが、元発言は「90%安全」なので、10%危険、10回に1回は事故に会うって言ってて、むしろ事故率を高めに見積もっている方なのに、叩かれてるのは違和感。確率値を解釈するリテラシーの問題では。

[localnavi]

Let's Encrypt出現前ならSSL導入のコストが高かったから鍵マークの有無で見分けるのはアリだったけど、普通のレンタルサーバーで普通にLet's Encryptが使えるご時世では有害無益。追記：前からSSLフィッシングがあったか。御免

[burnworks]

これ最初TLで目にしたとき「緑」ってワードが見えたんでEV証明書（EVだったとしてもサイトの信頼性を保証するものではないけど）の話してんのかと思ったんですよ、そしたらまったく違ったんですよね…

[securecat]

このセキュリティエンジニアなる人も指摘の仕方がおかしくないか？Let's Encryptがどうのこうのとか関係ない話を持ち出している。高木氏の中間者攻撃を防ぐ意味のみであるに尽きるのに。

[masa_w]

肩書きのある人が専門外のことをそれっぽくコメントされるとほんと困る

[nakamurataisuke]

正直このレベルの人が東大の准教授をしてると思うと絶望感感じるね.......

[KAN3]

EV証明書の話だからLet's Encrypt関係ないよね？と思ったけど、chromeはEV証明書の緑表示やめていて、かつ鍵アイコンをクリックした後の色はEV証明書じゃなくても緑色だから間違ってるって話か。複雑で理解に時間かかった

[oakbow]

トップブコメにLet's Encypt前ならって書いてる人いるけど、証明書なんて年一万もかからず取得できるし、詐欺サイトの収益からすりゃゴミみたいな値段なので昔からSSL使ってたよ。Let's Encypt関係ない。

[password1234]

話それるけど、ChromeがEV証明書の緑色表示を止めたのは独善的だと思っている。あれがあれば非技術者の人間に「ここに緑色で銀行名が出ていれば”だいたい”は安全だから」と言えたのに

[toaruR]

Let's Encrypt とか関係なくね？EVの話でしょ（´－｀）

[Mash]

(過去形)

[x100jp]

人気ブコメの言う、90%が正しいとか正しくないとかの問題じゃないんだ。このアドバイスでは、誰1人救えないんだよ。

[ming_mina]

クビになるとかならないとか言ってた人、どこかで見たことある名前だと思ったらこの件の人だったのか…短期間でよく燃える人材だ

[MIZ]

“暗号化されてるかの指標であって、サイトが信頼出来ることの担保にはならない”

[Mofuyuki]

盗聴と偽装がぐちゃぐちゃでめまいがする。

[censure]

通信「経路が安全である」かと、通信「相手が信用できる」かは別問題。フィッシング詐欺へ誘導するメールのリンクはHTTPSで鍵付きであろうが何個踏んでも100%危険。専門以外は微妙な人 https://bit.ly/2r9qlCR ← 11月25日まで

[quick_past]

簡単に説明するのと、いい加減にガバガバは全く別物

[FunnyBunnyDizzy]

「バカにも分かるように言え」の一点が問題なのかなと。9割割安全だと言われたら安全だと思っちゃう人が9割。

[takezaki]

“「緑色は90%安全」の根拠が不明”

[fjwr38]

おぉ...

[pero_pero]

無作為に抽出したSSLのアドレス群の中に詐欺サイトがある可能性が低いって言いたいのだろうけど、今相対するサイトの安全性が9割と読む人が多そう。実際詐欺サイトの数ってどのくらいあるんだろう

[sc_watcher]

この人、経歴はパッと見た感じ結構硬そうなんだが、代表やってる会社のページ https://daisy.id/ja/ からは嫌なオーラを感じる。

[taiyow]

他の人も言及してるけど、「通信相手の保証(指定したドメインに接続しているか)」と「運営者の保証(サイトは想定する組織が運営しているか)」と「内容の保証(期待した内容か)」は全部別の話だから。TLSは1番目だけ。

[koroharo]

東大としてのコメント欲しい。

[develtaro]

虚構新聞は鍵付きだから90%の記事は信頼できるはず

[Haaaa_N]

東大准教授によってセキュリティが後退することになって大変つらい

[longroof]

あー(´・ω:;.:...…やっと追いついた(…希ガス

[Lat]

結局90％安全の根拠は無いように思えるんだが。発言した人の思い（思い込み）なんてものはどうでも良く、信頼できるサイトの見分け方の説明になっていないのが問題なのでは？

[deep_one]

「緑色」は証明書が高いので割と意味がある。（コメントを見て）…え、EV証明書のことじゃないの？というか、EV証明書の緑色表示がなくなってたのか。

[hiromark]

セキュリティんところっていくらでも突っ込めるだけに難しい問題だと思うな・・・

[tnishimu]

寄ってたかって叩くような話か？　また新しいイジメの標的を見つけたんだな。

[hanajibuu]

説明する時間も相手の知識も限られてる中で完璧な話なんてできないことがわからない引きこもりが、学歴コンプレックスで技術マウントし溜飲下げてる例。

[KoshianX]

詐欺サイトが https 化したのってここ1〜2年くらいなのかな? ちょっと情報おいかけてないと知識が陳腐化するってこういうことだよなあ……。

[eru01]

斜め読みしかしてないけど、これなら俺でも東大特任准教授になれそう

[kuracom]

仮に鍵付きが90%安全だとして、フィッシングかどうかの判定には1ミリも寄与しない / EVはEVで、銀行サイトが軒並みNTT DATAのEV使って一気に形骸化した前例があるから、一部ブラウザのEV緑表示廃止は良いと思ってる

[tanakh]

90%安全ってそんなのWeb全体からランダムに選んでもそんな気がするし、そもそも鍵マークだけでは中間者攻撃がないことしか言えないんだから、この見分け方っていうのには意味が無いとしか言えないよな…

[hate_nao]

動画見たけど鍵のマーク押してこの接続は保護されていますっていう緑色のメッセージが表示されていれば９０％くらいは安全って言っててやっぱり…？残りの１０％も認証局の中の人が悪さするかもとか言ってるし。

[karkwind]

https(SSL/TLS)は、end-to-endの経路を暗号化と認証局によるサイトの証明をしているだけだから、その後ろの運営の良心を担保しているわけじゃないんだよね。そこの辺がこじれているから、こういう議論が起きているのでは?

[miyahan]

残り10%もハッキングされた(証明書を奪われた)場合と言っているので、この准教授の認識は「証明書を正規に持っているサイトは100%信頼できる。なぜなら信頼された認証局が発行したからだ」とド素人並の根本的勘違い

[wataken44]

東大の情報学環は東大のコンピュータサイエンス部門ではない、という豆知識