「米大企業の41%が社外宛メールの監視のために従業員を雇う」記事へのコメント

暗号化しとけばいいのに

[Anonymous Coward]

メールサーバ建ててhttpsでWebメールできるようにでもしておけば、アクセス先が仕事に関係あるのか疑われてもメールの中身までは手出しできないはず。 ということは、発覚する人は大した悪意はないでしょう。せいぜい「今夜デートしようよ」みたいなプライベートなものから、無知ゆえに情報を漏らしちゃう人。これらはちゃんと教育すれば直るはず。

Re:

[Anonymous Coward]

うちはProxyを介さないと外に出られない環境です。
そのProxyはhttpsを遮断します。
フォームのPostも遮断しますし、Getも長いものは遮断します。

Re:暗号化しとけばいいのに

[Ryo.F (3896)]

Proxy製品の中には、ご丁寧にもProxyで一旦復号して中身をチェックした上で、暗号化してクライアントに渡すやつもあるんだとか。
実物は見たことが無いんですけど、認証はどうするんだろうか？

Re:暗号化しとけばいいのに

[kanie (911)]

Proxy製品の中には、ご丁寧にもProxyで一旦復号して中身をチェックした上で、暗号化してクライアントに渡すやつもあるんだとか。

前に調べたときは、普通にMan-In-The-Middleでした。
警告が出ないようにするときは、あらかじめ(製品用の)ルート証明書をユーザエージェントに喰わせておきます。
なんだかなぁ。

Re:暗号化しとけばいいのに

[Ryo.F (3896)]

それでも、URLと証明書のホスト名が合わない、って警告は出るんちゃう？

Re:暗号化しとけばいいのに

[kanie (911)]

それでも、URLと証明書のホスト名が合わない、って警告は出るんちゃう？

リクエストされたURI用のサーバ証明書を勝手に生成し、ねじ込んでおいたルート証明書の非公開鍵で署名すれば警告出ないでしょう。 アプライアンスでキャッシュしておけば、次からは生成せずに済むだろうし。

Re:暗号化しとけばいいのに

[niratama (2175)]

わざと期限切れとかオレオレCAとかの（つまり本来なら警告される）場合、そこまで再現するんでしょうか？

Re:暗号化しとけばいいのに

[Ryo.F (3896)]

あ、なるほど、サーバ証明書じゃなくてCA証明書な。納得。

Re:

[Anonymous Coward]

わざとかどうかに関係なく、証明書が無効なサイトに接続した場合ですな。
もし警告出さなかったらセキュリティホールと呼んで過言ではありませんな。

Re:暗号化しとけばいいのに

[Ryo.F (3896)]

私が話を聞いた製品は、proxyでHTTPSを復号してセキュリティチェックを行う、って触れ込みでしたから、いくらなんでも何らかのアクションはあるんじゃないかと思います。

Re:

[Anonymous Coward]

オレオレ証明でOK