SSL(MD5)はすでに安全ではない

MD5衝突攻撃による偽SSL証明書の作成
http://yebo-blog.blogspot.com/2008/12/md5ssl.html

で、ググったときに出てきた、SSL入門のページを見ると当然のようにMD5つかってたりします。
たぶん、近日中にLinuxのOpenSSLなどのデフォルト値が変わったりするでしょうが
既存のSSL証明書はすばやく再発行するのが企業として当然かと思われます。

SSLで使えるほかの暗号化方式についてもある程度計算量が削減できるため、乗り換えたから安心というわけではなさそうです。MD5がクラッキングされる可能性が高くなったというだけで、ほかの暗号化は安全ではなさそうなのが頭の痛いところ。


高木浩光＠自宅の日記
http://takagi-hiromitsu.jp/diary/20081231.html#p01
我々を取り巻くネットのセキュリティ動向については上記ページが詳しい。Amazon、Googleとアメリカの日本法人は本当に無能な馬鹿しかいないと思う。
・アメリカでは私道公道の区別がついているが日本ではついていない。
・アメリカでは非公開がデフォルト、日本では公開がデフォルト。
というアメリカに倣いましたというわけではない、まさに日本法人のその場しのぎの嘘と、それを真に受けて発表するしか能のないマスコミも含めた現状がよくまとめられている。
しかし、AmazonもGoogleも今の私の生活には無くてはならないのが悔しいところ。
日本ベリサイン、MD5利用のSSL証明書を発行停止
http://www.verisign.co.jp/ssl/about/20090106.html

上記対象製品の署名アルゴリズムを以下の通り、2009年1月15日(木)以降、MD5か ら、よりセキュアなSHA-1へ切り替えます。

証明書を商売にしているベリサインがやめるということなので、とりあえずLinuxなどで使用しているユーザもSHA-1などへ変更することをオススメします。