SSL サーバ証明書ってどうやって見るの

質問

SSLに対応したページで、ブラウザの鍵マークをダブルクリックして表示されるサーバ証明書の見方を教えてください。

なにやらたくさんの情報が表示されますが、何処をどう見てどう思えばよいのでしょう。

自分なりには・・・
・発行者
・有効期間
・サブジェクト
・キー使用法
・・・・などが重要そうかなと思いますが、正しい見方、見るポイント、押えるべきポイントなど、アドバイスをいただければと思います。
また、このことが書いてあるサイトなどでも結構です。

よろしくお願いします。

回答No.3

noname#43129 · ベストアンサー

ちょっと考えてきます。本物の証明書ならハッシュなんて見ても仕方
ないし、暗号強度や期限の問題でもないので難しいですね。
日本電子認証協議会にメールで聞いてみます。おそらく現状でも
EVSSL証明書くらいしか対策がないくらい弱いのでそれくらいしか
返事が返ってこないと思いますが。
http://www.jcaf.or.jp/

せめて、一般の消費者に世界中の認証局の申請方法を含めた信頼度の
状況が一目でわかる様なサイトがあればいいのですが。もうそろそろ、
作り直す時期が来ているのかもしれません。

お礼

ずいぶん日がたってしまい、年を越してしまいました。
その節はありがとうございました。

また、質問させていただくかもしれません。
よろしくお願いいたします。

補足

このあたりの情報って、なかなか見つからないですね。
というか、みんな「鍵マークがつけばOK」で済んでしまっているんでしょうか。メジャーなサイトは、ほとんど大丈夫なんでしょうか。

今まで、みんなに聞かれて「鍵マークでOKOK！」って答えていたのですが、本当にそうかって言われると、ちょっと心配です。

tumuri-kさん、本当にお手数をおかけします。
私もなにか分かりましたら、連絡いたします。

回答No.2

noname#43129

それらに関してですが、あまり感心できない事態です。実際フィッシング
詐欺にも使われていたようです。すいません前言撤回ですね。
実際それらに関しては難しいようです。電子証明書がどこから発行されて
いたかを確認しておくのが良いかも知れません。鍵マークをクリックすれ
ば、電子証明書の内容を示すウィンドウが出ますので、
「発行者のステートメント」を押してください。としか言えないですね。
その証明書を発行した会社がどういった形でサーバ証明書を発行している
のかHPで確認する事が必要なようです。まさかこんないい加減なCAが増え
ているとは思いもよりませんでした。これでは何のための信頼できる
第3者機関なのか全く分からないです。

補足

一般の消費者にも、なんかもっとわかりやすい見せ方ってないんでしょうか？消費者金融か保険の証書のよう。

見てもわからないから途中で断念して「まあ、いっか」って感じで、送信してしまいます。

回答No.1

noname#43129

暇な時読んでおいてください。役には立つと思います。
https://www.verisign.co.jp/basic/pki/index.html
その証明書が信用できなかったり、有効期限等が切れているときは
自動的に警告を促してくれるので、一般の利用者の方がほとんど
意識することはありません。
ただ、暗号のbit数は長いほうが方がいいですし、できるならベリサイン
やジオトラストの様な名前の知れた証明書を使っていた方が確認しやすい
安心感はあります。

発行者、有効期間、サブジェクト、キー使用法は見ても損はありませんが
前述とおりブラウザにバンドルされたリストから自動的に確認するので
特に大丈夫です。

補足

ありがとうございます。
べりサインのサイト確認し、次のように自分なりにまとめてみました。

基本的には、鍵マークがつくだけで安心できる。

その理由は・・・
・鍵マークがつくということは信頼できる認証局が証明書を発行している証。
・ブラウザには、基本的に信頼できる認証局の情報(公開鍵)だけがあり、その認証局が証明書を発行したから。
・・ということになる。

ちなみに最近知ったのですが、メールアドレスだけで取れる”サーバ証明書”もあるそうなのですが、鍵マークから表示されるサーバ証明書では何処で違いを見つければよいのでしょうか？
（IE7は使わないとすると）