オレオレ証明書を使い続ける上場企業をまとめてみた - megamouthの葬列

あるいは私たちがPKIについて説明し続けなければいけない理由 Web屋のなくならない仕事の一つに「SSL証明書とPKIについて説明する」というのがある。 世の中のサイトはだいたいhttps://というアドレスでつながるように出来ていて、httpsでつながるということは何らかのSSL/TLS証明書が必要だということだ。（さもなければchromeがユーザーに不吉な警告を発することになる） 証明書が必要になる度、同じ質問が繰り返される。「なんか全部値段が違うけど、どの証明書（ブランド）がいいの？」と。そして私たちは毎回困ってしまう。 エンドユーザーの立場で言えば、証明書が有効でありさえすれば、無料のLet's Encryptでも21万円するDigiCertグローバル・サーバID EVでも、Webサイトの利便性は何も変わらない。私たちWeb制作業者の立場でも、代理店契約でもしない限り、証明書そのも

[everybodyelse]

“今回は、某特任准教授（懲戒解雇）の言う、「90%安全な上場企業サイト」は9.1%しかない、ということを明らかにしました。” クソワロタ

[jtw]

ブラウザがEV無視した時点でもう証明書は経路の暗号化以外の意味を持たないから、全部DVで構わないと思う。

[goldhead]

“あとLet's Encryptも5.8%ある。頑張れ超頑張れ。”

[hanajibuu]

こんなすごい人でも証明書選びに困るのか！よくわからないから雰囲気で選んでた俺はバカなんだと思ってた。

[localnavi]

「みなさん○○を使ってらっしゃいますよ」と言えたら楽だなあ、と思った。なので質問されたら「みなさんLet's Encryptを使ってらっしゃいますよ」と言っている。上場企業でLet's Encryptを使ってるとこが5.8％もあるのか。

[lm0x]

たのしいＨＴＴＰＳの話　ふたたび

[gcyn]

『最近なら証明書間に違いはないので、やっぱりどうでもいい』『もっと言うと、もうWebサイトなんてどうでもいいんじゃないですか？とも思う』『いつもだいたいで証明書を選んでいる』

[nmcli]

ほんと申し訳ないと思いつつ、ホスティングで事業者指定してる。作業のマニュアル化のため。。。ただ certbot 使い始めてこの上なく便利なので、今後は letsencrypt を使うようにしたい。ワイルドカードにも対応したし。

[nekosann_08]

エンドユーザー向け安物レンサバとかすべてLet's Encrypt対応しないかな。名も無きレンサバに関わると共用・共有SSLしか無かったりするんだよね…。

[yshdyk11202000]

面白いなぁ、こういう取組。考えたこともなかった。

[pmakino]

OVが意外に多くて驚いた

[koseki]

OV ってまだこんなに使われてるんだ…。客に OV を勧めるエンジニアは、自分がネット見るときにチェックしてるのかなあ

[belgianbeer]

面白いレポート

[versatile]

google docs は閲覧者履歴がとれそうでこわい

[akulog]

レンサバの人たちはよく読むべし

[hdkINO33]

DV/OV/EVの使い分けについてeコマースの文脈では https://www.pcisecuritystandards.org/pdfs/best_practices_securing_ecommerce.pdf のp37〜38あたりに書いてあるけど、EVの緑バー無くなったし証明書種別がUXに寄与することも無いので何ともはや

[mkusunok]

Let’s encryptとは違うのだよというためにEVを使ってるけど、必須かといわれると答えられなかったり

[pinotory]

とても面白い

[ystt]

“今回は、某特任准教授（懲戒解雇）の言う、「90%安全な上場企業サイト」は9.1%しかない、ということを明らかにしました。”/ 草

[zu2]

“もっと言うと、もうWebサイトなんてどうでもいいんじゃないですか？とも思うけど、それは言わないようにしてる”

[webooker]

SSLの必要性が分からないクライアントが多いので、そこにコストがかかることを説明するのが難しい。かと言って知ってるのに無視するのも寝覚めが悪いので、「無料のLet’s Encryptで設定しておきましたよ」が多い。

[mezamashi0540]

安全なサイトを求めるユーザー心理があるので、EVみたいなものの需要はあるのだろうけど、実際にEV運用してみたら駄目だったってのがある。サイトの安全性と通信の安全性は別物というのが、どうにも認知されない。

[chintaro3]

サギ師でも誰でも数万円で買える証明書の価値ってのがよくわからん

[eru01]

EV SSL証明書とかいうゴミを使ってるやつがまだ9%もいることに驚愕

[Kmusiclife]

よほどの用途がない限りLet's Encryptでいいっす。それにしてもLet's Encryptのシェア少なくね？

[tettekete37564]

“某特任准教授（懲戒解雇）の言う、「90%安全な上場企業サイト」は9.1%しかない、ということを明らかにしました。”

[hobo_king]

EV証明書使ってる所少ない……。つーかchromeがDV、OV、EVの各証明書の差をパッと見区別しないんだから、今更余程の理由がないとEV証明書の価値はDV証明書と大差無いのか……。

[quabbin]

コンシューマ、業務問わず、会社の公式サイト以外でならば、上場企業でもかなりLet's Encriptが使われてます。更新？当然全自動ですよ？

[morita_non]

昔PKIについて知った時、結局ルート証明書は無条件に信頼せざるを得ないし、結局信頼とは何か…？とか思った思い出。

[stealthinu]

EV証明書はもう意義を失ったな。昔はわざわざ法務局行って会社の書類取ったりしたものだったのに。今思うとあの金はほんと無駄金になった。

[nismit]

EV少なかった。あとDV証明がこんなに多いなんてちょっと意外。まぁECサイトとか銀行とかじゃ無かったらEVとかOVじゃなくてもそんなに問題ないもんな。

[kkobayashi]

俺たちは雰囲気で証明書を選んでいる

[dot]

知見だ

[yodelx]

“エンドユーザーの立場で言えば、証明書が有効でありさえすれば、無料のLet's Encryptでも21万円するDigiCertグローバル・サーバID EVでも、Webサイトの利便性は何も変わらない”

[ritek]

EVって思ってたより少ないんだ

[namelaw]

Let's入れた会社は労いたくなる

[k12u]

安全に運用できてるならLet's Encryptでいいんじゃないの。90日だから、って言ってる人こそ運用わかっていないのでは感がある。

[kaz_the_scum]

少し怪しいサイトがLet's Encriptだと、すぐにフィッシングサイトだと思ってしまいます。すみません。

[ssids]

まぁ、グローバルでアクセス可能な HTTPS はよろしくメジャーなCAで署名されるべきである、なんて誰も言ってないしね / 従業員にプライベートCAインストールさせる前提ならそっちの方が安全だし

[yoshi-na]

おれは、Let's Encrypt が今の流行だと言って濁している