崩壊する「HTTPS神話」、鍵マークはもはや信頼の証しではない

個人情報を入力するWebサイトでは、Webブラウザーに鍵マーク（錠マーク）が表示されているのを確認する――。セキュリティーのセオリーとして、筆者が何度も記事に書いたフレーズだ。 だが、「鍵マークが表示されていれば安全」というHTTPSの神話は崩壊した。常識が変わったのだ。 米国の政府組織であるインターネット犯罪苦情センター（IC3）は2019年6月、「Webブラウザーのアドレスバーに、鍵のアイコンあるいは『https』という表示があるという理由だけでWebサイトを信頼しないでください」と注意を呼びかけた。

[kenjou]

そもそもSSLって信頼できるサイトとの通信が安全になるだけで、サイトそのものが安全かどうかを保証するものではないのでは。

[punychan]

昔から常識で、ちゃんとした専門家はドメイン名も見ろって口を酸っぱくして言ってる。URL隠すブラウザはクソとも。

[NOV1975]

誰も語ってない神話のことを崩壊とか言われてもw

[scorelessdraw]

詐欺サイトに安全にアクセスできる

[eru01]

そもそもそんな神話無いが

[pullphone]

崩壊もクソもそんな神話ねえし

[KariumNitrate]

『「鍵マークが表示されていれば安全」というHTTPSの神話は崩壊した』 そんな神話あったのか、知らんかった。

[el-condor]

OV Certificateが何か意味があるように誤認させるのはちょっと。だから表示の区分けは概ね「EV SSLとそれ以外」になってるのよね cf. https://bit.ly/2YWkjl4

[develtaro]

みんな思うことは一緒だな。こんなんじゃこのサイトは7pay批判もできないぞ。TECHの名なんておろしたほうがいい

[kyousuke104]

初めから、信頼の証と言うのは間違いだ。「だからSSLなんて意味がない」という捉えられ方をするケースがあり得る。あまり良い記事ではない

[causeless]

"@SH1N0 崩壊する「HTTPS神話」、鍵マークはもはや信頼の証しではない | 日経 xTECH（クロステック） 前にこの記事が出たとき、HTTPSに安全神話なんかなかっただろ…ってツッコミ…" via https://twitter.com/SH1N0/status/1193678313467703297

[mtane0412]

存在してなかったものが崩壊することは可能なのか

[tana005]

DV証明書、OV証明書、EV証明書の内、後者1つExtended Verificationのみが信用できるとの記事だが、これだと野良サイトを否定する事になるんじゃないか？

[daishi_n]

SSLサーバ証明書は無料で取れるから、ショッピングサイトやネットバンキングなどはEV-SSLで提供してもらわないと困る

[raitu]

“HTTPS対応フィッシングサイトが当たり前に”DV証明書なら組織存在証明なしに取れるためと

[censure]

勝手に神話作って崩壊と言われてもね…。SSL/TLSが確保する安全は通信相手の認証と暗号化による盗聴と改竄の防止まで。認証によってなりすましは防止できるけど、そいつが安全な相手かは別。IDNはドメイン確認の困難化

[Hamukoro]

インターネット1年生のスマホデビュー勢にはパスワードとかを入力する前にurlのsを確認してねって教えてる。httpsのsはセキュリティのsだってかみ砕いて。前提クエスト終えてないやつにドメイン確認とか無理だし。

[localnavi]

SSL（https）が保証するのは「PCやスマホとサーバーとの通信が傍受・改ざんされない」だけで、ホームページの運営者や内容を担保するものだったことは（EV-SSL以外）ない。そのEV-SSLは高すぎて大企業しか使えんし。

[miruto]

「鍵マークが表示されていれば安全」っていうのは通信の暗号化ができていて安全ってだけでサイトが安全というわけではないのだけどね…。というか今はレンタルサーバで無料でSSLを使えたりするし、敷居は低いよ！

[longroof]

HTTPSの何を #信頼 するかってTLSによる暗号化通信で通信経路上での盗聴と改ざんを防ぐ以上にはそのサイト運営者の存在を証明されろって話ですよ(´・ω・｀)…

[odap]

サイトやドメインが正しいと保証されても、中身はフィッシングまがいの場合もある。というよい例かな。

[namelaw]

するのが普通であって神格化する存在ではない

[sunvisor]

https はそもそもそういうものではない。 この記事が信頼できない罠

[lenore]

通信の暗号化が当たり前になった話。神話は無いが実際に米国でも誤解が問題になっているようだし、誤解をしてる層に向けての記事だから多少煽り気味のタイトルなんだろう

[yukisno]

HTTPだと信頼できないはまだわかる。HTTPSなら信頼できるはきいたことない。どこかでそんなこといってるのかな。

[spiral]

さすがの日経クオリティ．こんなごみ記事作成しやがって．

[geerpm]

そんなのあたりまえ、なんて言わずにじゃあどうしたらその辺の人にもわかるかを考えるのがエンジニアの仕事。

[mayumayu_nimolove]

うん、だって無料で鍵マークつけられるし、それでいいなんて思っちゃいないもの。

[tk_musik]

ssl通信の安全性の話でなく証明書の話なのに混同してる人いない？

[yokyun68k]

いや、HTTPS がなければアドレスバーの内容すら信用出来ないのが出来るようになっただけなんでその内容を確認せなあかんのは当たり前やろ。

[supporter_sato]

Let's encriptのように無料の証明書が出てきた以上、TLS対応のフィッシングサイトがでできても不思議ではありませんね。アドレスバーの内容を確認するのが基本中の基本ですね

[yatta47]

神話だったの？！

[junpeso]

DV,OV,EVの話かと思ったら違った

[camellow]

SSLがなんなのかわかってないというだけだろ。賞味期限内ならばどんな刺激物を幼児に与えてもいいかと言ったらそんな事はない。SSL的にOKだからと言ってサイトの内容がマトモであると保証するものではない。

[moerrari]

今後はブラウザに実在性の証明アイコンも必要になるのだろうか？ / 証明書3種類 1.DV:Domain Validation ドメイン所有者を確認 2.OV:Organization Validation 組織の実在を確認 3.EV(EV SSL):Extended Validation OVよりも厳しく審査

[tosebro]

そもそもそんな神話ないやろと思って見てたらいっぱい書かれていた

[alt-native]

通信の秘匿とサイトの安全性って関係ないよな。むしろ日経の記者の信頼がぁ..

[daibutsuda]

Chromeの鍵表示がだんだんショボくなってるんだよ。苦労して証明書取ったのになぁ。

[moritata]

安全神話とか、技術系のサイトで安易に語って欲しくない。一定の評価を得るまでにどれだけの苦労があると思ってるんだ‥そしてこの話は元からあったフィッシングサイトなどの詐欺サイトも適応してきたってだけの話だ