SSL証明書をどの認証局から入手するかは重要ですか？
はい、それは完全に重要です。認証局を信頼する場合と同じくらい、トランザクションを信頼することができます。たとえば、DoD署名付き証明書がある場合、それはかなり信頼できます。 Chungwa Telecomによって署名された証明書を持っている場合は、おそらくそれほど多くはありません。ブラウザーのデフォルトのCA証明書を時々見て、それらの関係者をどれだけ信頼するかを考えてください。
悪意のあるCAが実際にどのようにして信頼を破壊されているかについての完全な説明については、このペーパーを一読することをお勧めします： Certified Lies：Detecting and Defeating Government Interception Attacks to SSL
それは本当にユーザーの性質に依存すると思います。
ユーザーの99.9％は、ユーザーがサイトにアクセスしたときに、ブラウザーがエラーを表示しないことを確認するだけです（ブラウザーの証明書ストアにCA証明書がある会社から証明書を購入した場合）。
ただし、これは、現在展開されているPKIインフラストラクチャの大きな問題を示しています。
既知のCAは他のサイトの証明書を作成でき、サイトの正当な所有者が別のCAからの証明書をすでに持っている場合でも、ブラウザはその証明書を受け入れます。
これはいくつかの点で優れていますが、サイトオペレーターがCAベンダーを選択した場合に変更できるという点で、侵害されたCAを使用して任意のサイトの証明書を生成できることも意味します。この問題は、CNNICのCA証明書がMozilla（およびその他）のCAリストに追加されたときに発生しました。
中国の先天的な不信感（おそらく「優れたファイアウォール」に関連している）があるようですが、実際には、「破壊的な」サイトへの暗号化された接続を使用しようとする場合、中国のすべてのユーザーが提示された証明書がCNNIC CA証明書によって署名されていないこと。
さまざまなサイトから提示された証明書を監視し、何らかの理由で証明書が変更された場合に警告する便利なFirefox拡張機能（Certificate Patrol）があります。
実際、証明書をどこで取得するかは非常に重要です。ハッカーを含め、誰でも証明書を作成して署名できることを覚えておいてください。そのため、各ブラウザには、証明書を偽造するための検証済み企業のリストがあります。したがって、証明書はベリサインなどの国際的に認められた会社から入手する必要があります。
1つの観点から見ると、CAのルート証明書がすべての主要なブラウザーに読み込まれている限り、それほど重要ではありません。それらのブラウザーによって信頼されているCAからのSSL証明書がある場合、ほとんどすべてのユーザーは誰が証明書を発行したかを気にしません。
たとえば、内部アプリを作成していて、すべてのユーザーが会社の従業員であるとします。あなたの会社は内部専用のCAを実行しています。 IT部門は、会社のCA証明書をすべての従業員システムにインストールします。したがって、それらの従業員がアプリにアクセスするたびに、南京錠が表示され、安全であることを認識します。
同様に、自分だけが使用しているWebサイトの場合。自己署名できれば大丈夫です。
別の観点から、それはあなたが誰を選ぶかは絶対に重要です。いくつかの理由により、厳格なセキュリティ手順を持つCAが間違いなく必要です。
- あなたは、彼らに（誤ってまたは悪意を持って）あなたであると主張する他の誰かに証明書を発行してほしくありません。次に、このサードパーティがWebであなたになりすますことができ、あなたとあなたのユーザーはねじ込みます。
- セキュリティが緩いことがわかった場合、すべての主要なブラウザがセキュリティ更新を発行し、CAルート証明書をブラウザから削除します。 （最近の（2011年9月）の例として DigiNotar を参照してください。）この場合、ブラウザーは古いSSLを信頼しなくなるため、新しいCAをすばやく見つけてサーバーに新しいSSL証明書をインストールする必要があります。証明書。
ブラウザがそれを認識する限り。ブラウザーには、大きなCAを処理する信頼できるCAのリストがあります。安価な大きなCAから信頼されている小さなものがあります。それらの唯一のトリックは、ブラウザーがCAから信頼できるチェーンへの信頼チェーンをたどれるように、通常、チェーン証明書または中間証明書と呼ばれるWebサーバーに追加の証明書をインストールする必要があることです。これはすべてエンドユーザーに対して透過的です。
重要なのは、ルート証明書ストアから追い出されるほどに無能/不誠実なCAを選択した場合、別のCAと連絡を取った方がいいです迅速に。
それは問題ではありません：ブラウザーが受け入れる証明書はどれも同じように機能します。
重要なのは、情報に詳しい「偏執狂的な」ユーザーは、過去に悪いことをしたCAについて心配しているため、一部のユーザーがCOMODO証明書について拒否するか、少なくとも質問することを期待することです。
とにかく、SSL PKI全体が役に立たない！
「攻撃的」フラグに応じたmod編集