アカウント名:
パスワード:
よって、EV-SSLに対応するには、
当然、各社が使っているOIDを勝手にopenssl.confの[ new_oids ]でつけるようなオレオレ証明書に対抗するためにはちゃんと証明書を吟味する必要がありますし、ユーザに会社の実在を証明するための会社の住所などを表示するインタフェースを追加しなければなりません。
CA各社に対応するとなると結構面倒そうですが、従来の「信頼されたroot CAの配付」にアイコン情報がついている程度、といえば楽かもしれません。 携帯電話やPDAのようにroot CAを追加・変更しにくいシステムでは面倒そうですね。
より多くのコメントがこの議論にあるかもしれませんが、JavaScriptが有効ではない環境を使用している場合、クラシックなコメントシステム(D1)に設定を変更する必要があります。
海軍に入るくらいなら海賊になった方がいい -- Steven Paul Jobs
EV-SSL対応 (スコア:2, おもしろおかしい)
証明書の発行者のフラグかなにかを見て色かえるだけでしょ?
日本の携帯電話とかもすぐにやったらいいのに。
あ!その前にアドレスバーがないんだった。ムリぽ。
Re:EV-SSL対応 (スコア:1, 興味深い)
Extended Validation certificate identification
によると、OIDが発行元各社によって異なるから、面倒なんでは?
これから発行元も増えるだろうし。
あと、誤解されがちだけれど、ホワイトペーパーにもある通り、
EV-SSLはあくまでフィッシング対策の「一つ」に過ぎない。
申請プロセスが強化された、ってだけの話なので、EV-SSLを使っていてフィッシングに遭って、
「EV-SSLであれば大丈夫だと思っていた [srad.jp]」なんてこと言わないようにね。
それにしても、このホワイトペーパー、素晴らしい出来だ。
さすが向こうはリスクマネジメントとかがよく解かっているな。
Re:EV-SSL対応 (スコア:1, 興味深い)
それとも、サーバー側のSSL証明書に新たに異なった証明レベルの証明書が必要になるというような仕組みなのでしょうか?
Re:EV-SSL対応 (スコア:2, 参考になる)
よって、EV-SSLに対応するには、
当然、各社が使っているOIDを勝手にopenssl.confの[ new_oids ]でつけるようなオレオレ証明書に対抗するためにはちゃんと証明書を吟味する必要がありますし、ユーザに会社の実在を証明するための会社の住所などを表示するインタフェースを追加しなければなりません。
CA各社に対応するとなると結構面倒そうですが、従来の「信頼されたroot CAの配付」にアイコン情報がついている程度、といえば楽かもしれません。 携帯電話やPDAのようにroot CAを追加・変更しにくいシステムでは面倒そうですね。
Re:EV-SSL対応 (スコア:1, 興味深い)
つまりSSLを運用しているサイト側ですることは無く、あくまでもブラウザ側のみの話ということですね。
Re:EV-SSL対応 (スコア:1, 参考になる)
厳しい審査を通った企業の証明書がEV SSL証明書としてEV SSL用CAに紐づけられる。
ただ、それだけです。
ブラウザ側での調べ方なんてどれも同じです。ブラウザ側はEV SSL対応のCAに紐付いていればEV SSLの表示(名前と緑色)をし、普通のSSL用CAに紐付いていればそのようなSSLの表示をするだけで、半オレオレ証明的な(ジオトラストのような)ザル審査証明書を締め出すことが目的。
日本人に英語の証明書見せられても何のことかわかりませんから日本語でも表示するんでしょう。
CA→企業証明書→サイト証明書 にしてくれた方がどの企業のサーバなのかはわかりやすいと思うんですが、そういう方向には変わっていきませんかね。