最近取得した GeoTrust の証明書で、プロクシー経由のときにセキュリティの警告がでます。

状況がよく分からないのですが、その電子証明書をメールの電子署名にした場合にセキュリティ警告が出るということでしょうか。

プロキシの性質も分かりませんが、一部のファイアウォールが電子証明書を不正な添付ファイルとみなして警告を出すケースはあります。社内のネットワーク管理者またはセキュリティ管理者にお問い合わせください。

http://www.email-firewall.jp/products/mms.html

ひょっとして、ウィルス対策や、情報漏洩対策の機能を持った Proxy を使っているとか...。

通常の HTTP Proxy だと、HTTPS で通信する場合に、ブラウザは Proxy に対して CONNECT メソッドというのを使っていて、この場合、Proxy は Web サーバとブラウザの間で、パケットの中継をするだけの動きになります。

この時 Proxy は、ブラウザと Web サーバとの間でやり取りされる暗号化されたデータを解読する事が出来ないので、Proxy 上でウィルスチェックや情報漏洩対策をやろうとすると、

• ウィルスチェックをしようにも、暗号を解読出来ないのでチェック出来ない。
• 情報漏えい対策で、禁止キーワードをチェックしようにも、暗号を解読出来ないのでチェック出来ない。

という事になります。

これは、SSL/TLS の通信が第３者から傍受されない、という意味で正しいのですが、Proxy 上でのセキュリティ対策としては、抜け穴になってしまう（Proxy 上でのチェックを受けられない）ことになります。

そこで、製品によっては、クライアント側に特別な証明書を入れることで、

• ブラウザと Proxy の間は、その製品用の証明書で署名確認可能な証明書を Proxy が生成し、それを使って、SSL/TLS の通信を行う。
• Proxy と Web サーバの間は、Proxy があたかもクライアントのブラウザの様にして、SSL/TLS の通信を行う。

という事を実現するものがあります。こうすれば、あくまでも、Web サーバにとってのクライアントは Proxy になるので、Web サーバとの通信をチェックする事が可能になります。

SSL通信を解析可能なプロキシ - Security ＆ Trust会議室

この場合、通常、ブラウザが署名確認する証明書を、Proxy が確認することになります。という事は、例えば、その Proxy が GeoTrust のルート証明書を持っていなかったり、あるいは、中間証明書を正しく扱えないと、Proxy と Web サーバの間で、証明書の署名確認に失敗することになります。

ただ、この場合、ブラウザが署名確認したわけじゃないので、通常、ブラウザが表示している警告とは別の形で警告が表示される可能性があります。大抵のブラウザはダイアログが表示されると思うのですが、ダイアログなしに、通常、ページを表示している部分に警告の文言が表示されていると、このパターンの可能性が高いです。ひょっとしたら、Proxy 側がわざと警告が出るような証明書を生成して、警告ダイアログが表示されるようになっているかもしれません。

...と、かなり想像力たくましくして、推定したので、外している可能性大ですが(^^;。

ネットワーク構成や正確な警告メッセージが不明なので特定しがたいところがありますが、リバースプロキシ構成で、証明書のCN（コモンネーム）がクライアントから見えるところにあるプロキシのFQDNではなく裏側にあるサーバ側の名前になってたりしないですかね。

http://www2.shakemid.com/fswiki/wiki.cgi?page=DeleGate+HTTPS+Rev...