Operaはデフォルトで対処不要、偽Google SSL証明書問題

Opera Softwareは8月30日(ノルウェー時間)、Operaの最新版となる「Opera 11.51」を公開した。この時期のマイナーアップグレードとなると、Google.comを含む偽SSL証明書に関する対策を盛り込んだものではないかと考えられるが、Opera 11.51には今回の問題に特化した対策は含まれていない。これは、特別に対策する必要なく最初から搭載されている機能で今回のケースにも対応しているというのがその理由だ。一方、ChromeとFirefoxは今回の問題に対処したマイナーアップグレードバージョンをリリースしたほか、MicrosoftはWindows側の機能で今回の問題へ対処を実施している。

「When Certificate Authorities are Hacked」にOperaが今回のケースに特別に対処する必要がないことのメカニズムが解説されている。認証局が発行した証明書には、その証明書が現在でも有効であるかどうかを問い合わせるURLデータが含められている。誤って証明書を発行したり、証明書が失効した場合でも、このように毎回取い合わせが実施されるためその証明書の安全性を確保することができる。

しかしながら、偽証明書を使ってユーザを詐称しようとしているようなケースでは、この確認用のURLにアクセスできないようにネットワークを変更していることが多い。その結果、すでに無効化されている証明書を信用して処理を進めてしまうことがあるという。

Operaでは有効かどうかを確認するURLにアクセスできなかった場合、対象のサイトを未検証のサイトと同じレベルまで落として表示する。つまり、SSLを利用するサイトにアクセスしているにもかかわらず、アドレスバーの表示が通常のサイトと同じようになる。ユーザーは違和感を感じ、注意を払うことになるため、今回の偽SSL証明書に関して特別に対処を盛り込む必要はない、ということだと説明されている。