Microsoftだけが信頼するブラジルの認証機関、google.com向け証明書を発行

• Andrew Ayeragwa14h

  • ブラジルの認証機関がMicrosoftによって信頼されており、google.comに対しておそらく未承認の証明書を発行した。これにより、Edgeおよびその他のWindowsアプリケーション（ChromeとFirefoxを除く）で、Googleへのトラフィックを傍受できる可能性がある。Microsoftはこの認証機関に関する問題の履歴をよく認識しており、2021年に懸念を伝え、2022年の公開CCADB議論でも追加の問題が提起されていた。この出来事が変化を促すことを願う。Windowsユーザーは、より良い扱いを受けるに値する。

• Andrew Ayeragwa12h

  • 認証機関の無能さの例として、証明書のサブジェクトにGoogleの子会社のシリアル番号が含まれていたとしても、それはGoogleによって承認されたことを意味しない。認証機関はそのフィールドに好きな内容を入れることができ、この認証機関は証明書に入れる内容を明確に検証していない。

• Andrew Ayeragwa10h

  • 企業の中間者攻撃プロキシは非常に有害だ。

[GN⁺]

Hacker Newsの意見

• ICP-Brasilが公開SSL/TLS証明書の発行を停止したことへの懸念がある

  • 誰かが公開証明書発行の禁止を回避し、GoogleのCAAルールを無視した事例がある
  • Microsoft OSでこの認証局が禁止されることを望む意見がある

• ICP-Brasilはデジタル署名関連業務を担当する政府機関である

  • デジタル契約書への署名、納税申告書へのアクセスなどで重要な役割を果たしている

• ChromeとFirefoxはすでにこの認証局を信頼していない

  • Microsoft/Windowsが他の主要ブラウザが信頼していない認証局を信頼するのは、さらに悪い状況に見える

• システムの欠陥を指摘する意見がある

  • 15年前にオンラインバンキングを使っていた頃からシステムの欠陥を認識していた
  • 銀行の証明書発行者を尋ねた際、銀行は回答できなかった
  • セキュリティに対する無知と盲目的な信頼に基づいたプロセスである

• 「Windowsユーザーはもっと良いものを受け取る資格がある」という意見がある

  • Microsoftのユーザーに対する無関心と訴訟の可能性に言及している

• Microsoftが認証局を信頼するにあたって透明性が不足しているという意見がある

  • 合理的なWebサイトはChromeなど主要ブラウザが信頼する証明書を使うべきである

• Windows/EdgeでChromeの信頼ストアを使う方法があるのか気にする意見がある

• 国家関連の認証局一覧を知りたいという意見がある

• 元の投稿ではこの問題が意図的だったのかミスだったのか明確でないという意見がある

• 独立した機関が認証局に対する信頼を提供し、ユーザーが複数機関の意見を考慮できるシステムが必要だという意見がある

• 企業が大きくなりすぎることが問題だという意見がある