いまだに残る日本ベリサイン偽装問題 Beyond Security とiDefense が検証(2002.7.5)

・概要
　SCAN 編集部では、3月15日に、日本ベリサインの「Secure Site シール」
に存在する偽装可能性について配信した。
　これは、日本ベリサイン社の「Secure Site シール」をクリックした際に、サイト認証情報を偽装表示できるものである。本来は、日本ベリサイン社

製品・サービス・業界動向業界動向

12 views

2004.12.10 Fri 12:00

・概要
　SCAN 編集部では、3月15日に、日本ベリサインの「Secure Site シール」に存在する偽装可能性について配信した。
　これは、日本ベリサイン社の「Secure Site シール」をクリックした際に、サイト認証情報を偽装表示できるものである。本来は、日本ベリサイン社がシールを交付しているサイトのみが、認証情報を表示できるはずのものである。
　この問題を利用してシールの交付を受けていないサイトが交付を受けているような表示を行うことが可能である。

日本ベリサイン　偽装可能性の残る「Secure Site シール」利用者の啓蒙による自衛強化などによる複合的な対処(2002.3.14)
https://www.netsecurity.ne.jp/article/1/4367.html

・影響の範囲
　日本ベリサイン社の「Secure Site シール」サービスにこの問題が存在するため、日本国内（正確にはブラウザで日本語表示している利用者）のすべてのサイト利用者に対して偽装を行うことが可能である。
　利用者に対して、直接的な被害を与えることはないが、詐欺や悪質な商法をサイト上で行う際に、利用者の信用を得る効果的な方法として利用される危険がある。
　なお、イスラエル Beyond Security の検証によると、日本以外のベリサインには、偽装可能性は確認できなかったとのことである。

・対策
　利用者がシールの示す信頼あるいは安全性についての認識をあらためることである。シールそのものを信用せず、サイトに関する複合的な情報を収集すべきである（暗号化通信が行われているかなど）。

・経緯
　編集部が、この偽装問題について配信した後に、イスラエル Beyond Security の SecuriTeam が追加の検証を行い、その結果を6月28日に自社サイトに掲載、その後 BUGTRAQ に投稿した。 BUGTRAQ には、7月4日に掲載された。

SecuriTeam Falsifying a VeriSign Seal (Japan)
http://www.securiteam.com/securitynews/5IP0Q2A7FK.html
BUGTRAQ Falsifying a VeriSign Seal (Japan)
http://msgs.securepoint.com/cgi-bin/get/bugtraq0207/18.html

　その後、これらを情報源として米iDefense が偽装問題についてのレポートを配信した。
　上記2社によると、最低ひとつ以上の偽装サイトが日本国内に存在する可能性が高い。

・ベンダ側の対応状況
　日本ベリサイン社の「Secure Site シール」は、3ヶ月を経過した現在も偽装可能な状態となっている。