プライベートCA証明書をクライアントにインストールした場合の問題点につ

質問

プライベートCA証明書をクライアントにインストールした場合の問題点について

■状況
社内に事務処理用のサーバがあり、社外に出ているメンバーが事務処理をできるよう、
インターネット経由でWebブラウザ接続できるようになっています。

通信を暗号化したいため、プライベート証明書を作成してSSL通信できるように
しています。

プライベート証明書なので、接続時に警告のメッセージが出ますが、毎回許可を
クリックしてもらう運用としています。

このような場合、フィッシングサイトに誘導され、ユーザIDやパスワードを
抜き出される可能性が否定できません。

そこで、プライベートCA証明書を同事務処理サーバのユーザ認証されたページ
に配置して、クライアントにインストールしてはどうかという話をしたのですが、
プライベートCA証明書の権限が大きいので、不正なプライベートCA証明書を
インストールしてしまった場合のリスクが大きすぎるという話になりました。

■質問
不正なプライベートCA証明書をインストールしてしまうと、PC上にどのような
リスクが発生するのでしょうか？

・フィッシングサイトに誘導されても警告画面がでない。

はわかるのですが、その他にどんな影響があるのかはわかりませんでした。
・PCの情報が抜き取られる。
・PCが乗っ取られる
といったリスクはあるのでしょうか？

また、
・「接続時の警告メッセージで許可をする」のと「プライベートCA証明書をインストールする」
はどういったリスクの差があるのでしょうか。

回答No.3

Lchan0211 · ベストアンサー

No.2です。

> 具体的にどのような仕組みでそのようなことになるのでしょうか。
>
> 不正なCA証明書をインストールすると、例えば、その証明書で署名を
> されたJavaアプリケーションが、正当だと判断されて、画面に警告が
> 出ずにローカルファイルにアクセスできるようになることがあるの
> でしょうか。

不正なCA証明書を利用してPCを乗っ取るのではありません。
不正なCA証明書をインストールしてしまうことによる直接の影響は、
身元の保証されていないWebサイトにアクセスしても警告が出ない
可能性があるというだけです。
ただ、身元の保証されていないWebサイトは、フィッシングサイトの
可能性があり、フィッシングサイトの可能性があるということは、
PCが乗っ取られる可能性があるという3段論法です。
(だから、たかが警告が重要なのです。)

フィッシングサイトは、Flashやpdfの脆弱性を利用して、
そのサイトを閲覧しただけでPCにウィルスを送り込んで感染させる
ことができます。これをWeb感染型ウィルスと言います。

先日猛威をふるった、ガンブラーの攻撃方法を解説しているサイトで
Web感染型ウィルスの感染の仕組みが詳しく解説されています。
http://itpro.nikkeibp.co.jp/article/COLUMN/20090727/334548/?ST=security&P=1
を参考にしてください。

> 社内で証明書を入れるのがベストなのですが、派遣先にPCがあり、
> メディアの持ち込みも禁止されているところが多く難しい状態となっています。

この派遣先PCというのは、自社の資産ではなく、社外(派遣先)の設備ですよね?
だとしたら、そのPCにプライベートCA証明書を入れてはいけません。
社外の資産に入れたらプライベートではなくなってしまいます。
(派遣先の立場からしたら、社外の勝手なCA証明書を入れられたらセキュリティ問題です。
身元の知れないソフトウェアを勝手にインストールされるのと一緒です。)

社外の設備からアクセスするのであれば、社外に対する責任がありますので、
費用をかけてきちんと正規のサーバ証明書を取得すべきです。
派遣先のPCからあなたの自社のWebサーバにアクセスする際に毎回警告を
無視させているのは、3段論法によると、あなたの会社は派遣先のPCにウィルス感染の
リスクを負わせていることになります。

お礼

ご回答ありがとうございました。
おかげさまで、もやもやしていた部分がすっきりしました。

ご指摘の通り、正式なサーバ証明書を導入したいと思います。

回答No.2

Lchan0211

> ・PCの情報が抜き取られる。
> ・PCが乗っ取られる
> といったリスクはあるのでしょうか？
フィッシングサイトに誘導されたら、そこからPCにウィルスを
仕込まれ、ウィルスの活動でPCの情報が抜き取られたり
乗っ取られたりする可能性があります。

> 「接続時の警告メッセージで許可をする」のと「プライベートCA証明書をインストールする」
> はどういったリスクの差があるのでしょうか。

接続時の警告メッセージを許可するのは、意図しているサイトと別のサイトに
接続している可能性があるのにそれを無視すると言う危険な行為です。
ホテルのインターネット接続や公衆無線LAN等、誰がどこまで管理しているか
わからないネットワーク環境を使って外出先から接続した場合、
たとえアクセス先のURL(ホスト名)が正しく見えても、中間者攻撃によって、
不正サイトを経由してアクセスしているかもしれません。

プライベートCA証明書をインストールするのも、外出先からインストールするのは
前述の通り不正サイトを経由して操作される可能性があるので危険です。
(社外からプライベートCA証明書をダウンロードできるようにするのはダメです)
が、社内の安全が保証されている環境内で配布してインストールするのは
よいと思います。
というか、社内でCA証明書をインストールしてから外出すべきです。

社内サーバにアクセスする時は警告が出ないようにし、警告メッセージが
出るのは危険である(社内サーバにアクセスしているつもりが社内サーバでは
ないかもしれない)ことを認識させるべきです。

補足

ご回答ありがとうございます。

> フィッシングサイトに誘導されたら、そこからPCにウィルスを
> 仕込まれ、ウィルスの活動でPCの情報が抜き取られたり
> 乗っ取られたりする可能性があります。
とのことですが、具体的にどのような仕組みでそのようなことになるのでしょうか。

不正なCA証明書をインストールすると、例えば、その証明書で署名をされたJavaアプリケーションが、正当だと判断されて、画面に警告が出ずにローカルファイルにアクセスできるようになることがあるのでしょうか。

社内で証明書を入れるのがベストなのですが、派遣先にPCがあり、メディアの持ち込みも禁止されているところが多く難しい状態となっています。

フィンガープリント？を媒体で配布して、証明書のインストール時にチェックしてもらうしかなさそうです。

回答No.1

kadusaya2

えぇっと、かなり間違って理解されているようなので、ちょっと長めの回答になります。
(^o^ゞ

◆ まずは質問に対する回答 ◆

> ～といったリスクはあるのでしょうか？

証明書の問題では無く、「サイトに何が仕込まれたか」によります。
分かりやすく言うと、“社内に事務処理用のサーバ” が乗っ取られた場合に、各自の “PCが乗っ取られる” というリスクが発生します。逆に言えば、サーバが無事なら各自のPCもリスクはありません。

> ～はどういったリスクの差があるのでしょうか。

自分で作った証明書をインストールするのには、何のリスクもありません。
警告メッセージで許可をする場合は、事務処理用のサーバがアダルトサイトや詐欺サイトに書き換えられていないか自分で判断する必要があります。

◆ 誤解について ◆

> フィッシングサイトに誘導されても警告画面がでない。

べつに証明書がフィッシングサイトへの誘導をガードしているワケではありません。
証明書は、「サイトのURLが実在している」「証明書で示したURLにアクセスしている」を保証しているだけであって、そのサイトがフィッシングサイトか否かは保証していません。
ベリサイン社が発行した証明書でもフィッシングサイトの可能性はありますよ。

> 不正なプライベートCA証明書をインストールしてしまう

あなたが作った証明書をインストールする話しなので、それが不正か否かは自分自身の問題です。

> ～プライベートCA証明書の権限が大きいので～

CA証明書に権限なんてありません。
役割として「下位の証明書を発行できる」がある程度です。

◆ どうすべきか ◆

だいぶ間違って理解されているので、証明書の意味をキチンと勉強してもらうのが前提として・・・。

証明書は二層以上で構成します。

文面から判断するに、一層式の自己証明書をサーバで使用しているように見受けられます。
これを、自己証明書（ルート証明書） ＋ サーバ証明書 の二層式にします。
各自のPCにインストールするのは上位の自己証明書です。サーバにインストールするのは下位のサーバ証明書です。

二層以上で構成するのが、本来の証明書チェーンの形式です。
一層の証明書は、webシステムの開発段階でテストに使用するためのものです。

あと、証明書の作成ソフトは↓コレかOpenSSLね。
http://www.vector.co.jp/soft/winnt/util/se479199.html

お礼

本件ですが、おかげさまで解決しました。
ありがとうございました。

http://hp.vector.co.jp/authors/VA027031/orenosp/selfca.txt
に分かりやすい説明がありました。
上記ページの説明は、恐らく間違っていないと思われます。

http://java.sun.com/products/plugin/1.3/docs/ja/nsobjsigning.html
によると、
「Java Plug-in のユーザが RSA 署名付きアプレットに遭遇すると、Plug-in は、アプレットが正しく署名されていること、および RSA 証明連鎖とルート CA が有効であることが検査されます。すべてが有効であれば、Plug-in はアプレットに署名したユーザと次の 4 つのオプションを含むセキュリティダイアログを表示します。」
とあります。

実際に動作を確認したわけではないですが、偽のCA証明書をインストールしたとしても、Javaアプレットの実行時には必ずダイアログがでるため、ある程度の知識があればおかしいことに気がつくはずです。

ですので、無警告で怪しいアプリが裏で動いてしまうことは無いと判断できそうです。

補足

非常に丁寧な回答ありがとうございます。

私の文章力不足で要点がうまく伝わっていなかったようです。
ご迷惑をおかけしてしまい、申し訳ございません。

・不正サイトに誘導される。
・不正なプライベートCA証明書をインストールしてしまう。
・不正サイトにアクセスする。(警告無し)
・「何か良からぬことが起こる」
という動作を想定していました。

この、
「何か良からぬことが起こる」
の部分がどんなリスクなのかについて知りたく、質問させていただいたつもりです。

> CA証明書に権限なんてありません。
> 役割として「下位の証明書を発行できる」がある程度です。
とのことなので、不正なプライベートCA証明書をインストールしたとしても、
・ActiveXが自動実行され、ローカルのファイルが削除されてしまう。(想像)
のようなことは起きないのでしょうか。

特に、
・プライベートCA証明書をインストールしないで、フィッシングサイトにアクセスした場合。
・プライベートCA証明書をインストールして、フィッシングサイトにアクセスした場合。
にどんな違いがあるのかが気になりっています。

前者だと問題に気がつくが、後者だと気がつかないのであればリスクがあると考えています。

> だいぶ間違って理解されているので、証明書の意味をキチンと勉強してもらうのが前提として・・・。
ご指摘ありがとうございます。
http://itpro.nikkeibp.co.jp/article/COLUMN/20071012/284426/?ST=selfup

このあたりを読んでいます。
理解するのにもう少し時間がかかりそうです。