正式なSSL証明書を用いたフィッシングサイトが現れたとの記事があります。

I talked earlier today to a representative of Equifax/GeoTrust, and asked a simple question: how do you confirm that someone really is who they claim to be when issuing an SSL certificate? I got a response that sounded really quite good. There was official documentation required: copies of business licenses, articles of incorporation, etc... There was official confirmation required: checks made with the Secretary of State’s Office in the state of incorporation, a requirement that the business be in good standing, etc...

想像ですが、実在の会社の名前を使って発行したんじゃないでしょうか。あるいは書類の偽造を行ったか。。。インサイダーかもしれませんが。ちゃんと書類を読まなかったり実はチェックしてなかったりするかもしれませんね。

これの第１報をどこかでみたときは、メールだけで証明書が買えるとかいう記述を見かけた記憶があるのですが、どこでみたか忘れてしまいました。

SSSLは通信を暗号化して通信中のデータを暗号化するわけですがその暗号化した通信先が信用できない相手だといくら暗号化しても意味がないわけです。そこでその通信先の相手を第3者機関（CA：認証局）通して、正しい相手であるか存在の確認をおこなってその相手先が「ちゃんと他の人に適正な審査のうえで確認してもらっているんですよ」というのが証明書になります。

今回は認証局の適正な審査がおこなわれていなかったので不適切な申請にもとづいたあたかも正しい証明書があるかのように見えてしまっているのが問題となっています。

ですので、認証局が確認した情報が不適切の情報であれば、なかなか簡単には身元がばれないということになります。

1番目の関連記事のURLです。

「電子メールのやり取りだけで，サーバー証明書を取得できるサービスが最近登場しており，これを使えば身元をほとんど明らかにする必要がない」

このようなサービスを使用していた場合、なかなか業者の特定は難しいのではないでしょうか。

電子メールそれ自体は、身元の特定に使うにはあまりにも弱いです。日本国内でサービスを受けられる、一般的なサーバ証明書発行サービスでは、相手の組織が存在するかを電話等で確認していますが、上記のような無料サービスではそのような確認をしていないと思われます。

> QuickSSL は whois に書いてある所有者のメールアドレスに到達すれば確認されるので，Geotrustは確認自体を怠ったわけではないわけですし…

つまり偽造クレジットカードでドメイン取得すれば証明書は発行できます。

認証局によって何を証明する物かポリシーが異なります。

日本ベリサイン カスタマーサービスに昔尋ねたことがあります(コード署名のときですが)

-----

まずは、弊社のデジタルIDにご説明させて頂きます。

弊社のデジタルIDを発行するにあたり、主として

・ＩＤを申請された会社が、法律上存在しているか？

・その申請が、その申請会社からのものであるかどうか？

等を確認し、認証させて頂いております。

------

というのが「コード署名」ですが、SSLでも同じでしょう。つまり「会社が登記されてるか」と「その会社から申請されてるか」しか見ておらず、そもそも与信をしていません。

つまり、上記の回答は

「幽霊会社を法人として登記する」

「会社の社印を上記の法人で登録する」

だけすればSSLのサーバ証明書を取ることが出来ます。ということで「フィッシング詐欺をはたらいた業者を特定」は不可能です。幽霊法人なんて腐るほどありますから。とうぜん、そこの会社として商業登記したところの住所なんて嘘っぱちでいいのですから、逮捕(というか身柄を確保)することは出来ません。

昔からなんですけど(上記を聞いたのは2001年ですから)、、何を皆さん驚いているのでしょう???SSLのサーバ証明書なんて昔から無意味ですけど。。。

RapidSSLのサーバ証明書を取得して、使用していますが、ルート証明書は今回の一件と同じ、「Equifax Secure Global eBusiness CA-1」です。

RapidSSLの場合は、Whoisに登録されているメールアドレスに対してメールの到達製を確認し、なおかつ電話にて認証を行っています。

たしかに、Verisignなどに比べては簡単にサーバ証明書の取得ができてしまいます。

ただ、「SSLに対する信頼性そのものが崩れていくような気がします・・・」と書かれているようですが、

SSLは本来、データを暗号化するためのプロトコルですし、サーバ証明書はサーバが本物で有ることを証明する物なので、

/.Jなどでも書かれていますが、それ以上もそれ以下もサーバ証明書に求めるべきではないのではと個人的には思います。

本来の質問とは関係ない回答ですので、ポイントは結構です。