|
暗号化セキュリティは、そのアルゴリズムを理解する人々にとってはありがたいものだが、理解しない人々にとっては無意味である場合がかなり多い。セキュリティの高いHTTPSプロトコルは、ウェブ閲覧向けに広く使用されているが、致命的な欠陥が1つ存在する。つまり、ユーザーが証明書エラーに関する警告を無視するという問題だ。PerspectivesというFirefoxエクステンションは、このセキュリティホールを封じることを目的とする。
FirefoxはSSL証明書が、それが検出されたサイトのドメイン名と一致しない場合や自己署名である場合には、セキュリティ警告をポップアップ表示する。どちらもよくあるケースである。たとえばgmail.comは、mail.google.com用に発行された証明書を使用するし、非商用ウェブサイトの多くは、VeriSignなどの認証機関に年間使用料を支払わなくてもよいように自己署名証明書を使用している。
問題は、このような状況があまりにもよくあるために、もはや誰もFirefoxのセキュリティ警告を読んでいないという点である。ユーザーは、[受け入れる]ボタンをクリックして問題が生じないことを祈る以外に代替策はないのだと思い込んでいる。ポップアップウィンドウは、ユーザーが自分でウェブサイトと証明書の発行元を確認するようにと指示するが、専門家らが指摘するように、その方法を説明することはせず、その処理を提供することももちろんない。何度も目にするうちにその警告は、いつも吠えている番犬やすぐに反応して鳴り出す自動車のアラーム音のように無意味なものとなってしまう。
Perspectivesエクステンションでは、いつものセキュリティ警告も表示されるが、カーネギーメロン大学の研究に基づく、疑わしい証明書を簡単なクリックで検査する方法が提供される。
名前が不一致、または自己署名のSSL証明書が検出された場合、Firefoxはデフォルトで[証明書を審査する]というオプションを提供する。これによって証明書のSHA1およびMD5のハッシュ指紋を検査することができる。しかしサイトが本物かどうかの確認は、指紋を覚えているならば非常に簡単だが、覚えていなければほとんど不可能である。
|
| 問題のある証明書を検出 |
Perspectivesは、長い時間にわたって証明書を取得したり追跡したりするリモートの「ネットワーク公証」サイトで指紋を照合することにより、この問題を解決する。ネットワーク公証サイトにおいて同じ証明書が確認され、また以前に接続した履歴が存在するならば、おそらくそれは信頼してもよいということになる。
Perspectivesによるネットワーク公証サイトとの確認は、自動的に、またはユーザーの許可を得た場合のみ行うように設定することができる。また、照合する公証サイト数や、信頼できると判断するまでの時間を調整することもできる。
|
| 証明書のタイムライン検証結果 |
Perspectivesは、セキュリティ専門家が呼ぶところの「中間者攻撃（man in the middle attack）」に対しても防御できる。中間者攻撃とは、ユーザーとユーザーが訪問しようとするサイトの間に割り込み、ユーザーがサイトに送信する情報を盗聴したり、本物のサイトになりすまして応答したりする悪質な行為である。
理論的には、ユーザーとネットワーク公証サイトの間に介入して中間者攻撃を仕掛けることも可能だが、Perspectivesは複数の公証サイトを使用して、それらの間で結果を互いに照合するため、そのような攻撃は非常に困難となっている。
|
| 公証サイトによる証明書の詳細情報 |
Perspectivesの開発者らは、複数の公証サイトをDARPA（国防高等研究計画局）が資金提供するResilient Overlay Networksテストベッド上に分散して稼働させているが、公証サイト数を増やすために他の団体からの支持を得たいと考えている。公証サーバーのソースコードは、OpenSSH向けシステムの実装など、他の興味深いツールとともにPerspectivesのサイトで提供されている。
Perspectivesは包括的なセキュリティソリューションではないかもしれないが、あまりにも長い間私たちが無視してきた証明書エラー警告から、簡単に有用な情報を得るという、Firefox自体にはない1つの機能を実現しているといえる。
Linux.comでは毎週月曜日に、さまざまなエクステンション、プラグイン、アドオンを紹介しています。お使いのエクステンションなどについて、その概要、便利な点、活用のヒントを1000ワード以内にまとめてお寄せください（英語）。採用した方には100ドル進呈いたします（同じテーマのものが掲載済みまたは検討中の場合がありますので、あらかじめメール（英語）にてお問い合わせください）。