サーバ証明書について

LINEで送る
[`evernote` not found]

ある病院のサイトで、サーバ証明書を導入せずに個人情報を入力させている所があったので、個人情報流出の可能性があると指摘させて頂いた。 数日後、以下のような返事が来た。 かねてからの検討事項と言うよりも、指摘されて慌てて対応しているのがバレバレなんだけど…

フォームのセキュリティ強化につきましてはかねてからの検討事案で
ございまして、近日中にSSLを導入することになっております。
遅くとも再来週までには作業が終了の予定でございます。
ご指摘下さいまして、ありがとうございました。

本日確認した所、確かにSSLには対応していた。 だが、驚いたことにプロバイダが用意したワイルドカード証明書が使われていた。 これだと、その病院が取得したドメイン名でサーバを証明することが出来ないため、フォームの部分はプロバイダのサブドメインに遷移している。 と言う事は、「確かにその病院のサーバである」事を確認できないまま、個人情報を入力させられるのである。
意味ないじゃん!
しかも、ワイルドカード証明書だから、同一プロバイダの別サーバで偽装した場合、サーバ偽装に気付かずに個人情報を入力してしまうのである。 結果として、個人情報流出の可能性が消えていないのだ。
そこの病院には社内SEが2名いるそうであるが、2名とも無知だったのだろう。 サーバ偽装なんて、だいぶん以前から言われていることなのに勉強すらしていないのであるから、驚いた。 しかも、鍵マークを表示させて利用者を安心させておいて、個人情報流出の危機に曝すのだから酷い話である。 悪質と行っても過言ではないだろう。
時が来たら、画像を付けて「どれだけ酷いか」をアップしようと思っている。

LINEで送る
[`evernote` not found]

コメントを残す

メールアドレスが公開されることはありません。 * が付いている欄は必須項目です