SSL通信でセキュリティ警告が出る問題

高木浩光＠自宅の日記の広島市曰く「警告は出ますがセキュリティ自体には問題ない」と高知県情報企画課曰く「とくにおかしいと思わない」で、セキュリティ警告を無視して先に進む危険性が取り上げられている。

やはり、 よそのサイトで「警告が出るが問題ないのでそのままお進みください」という 間違った解説がされているのを目にしているから、こういう勘違いが伝染して いるようだ。
さすがに民間ではこういう間違った解説をしているところは今では少ない。 それに対して、LGPKIを使っている他の都道府県の多くや、GPKIを使っている 中央官庁の多くが、独自のルート証明書を入れさせる仕組みを採っているため、 最初にこの警告が出る状態で運用している。 「そういう警告というのはよく出てくるケースがありますので」というのは、 それらのことだろう。 そういうのを見た記憶のある人が、このような勘違いをしてしまう。
病原体の発生源は政府である。この国のPKIはもう死んだに等しい。 もはや防ぎようがない。

たしかに発生源のひとつは政府かもしれないけど、やはりセキュリティの難しさも一因だと思う。例えば、SSLを使用したアクセスからそれ以外のページに移動するときもブラウザは警告を表示する(この警告は多くの人は「今後、この警告を表示しない」にチェックしている可能性も高いが)。
ブラウザが警告を表示した場合に、そこから進んでいいかどうかは、素人にはわかりにくいのが現実だと思う。セキュリティの設定を厳しくすればするほどたくさんの警告を表示するので、一般の人は麻痺してしまっているんだと思う。
あと、もうひとつの問題は、技術サイトにもある。例えば、こことかこことかこことか。証明書の入手に関する部分を引用する。

続いて証明書を入手します。
VeriSignなどの外部機関に署名してもらうのがベターなのですが、お金がかかります。
お金が無いので自分で署名して証明書を発行してしまいましょう。

別のところでは

さて、ここであらためて確認ですが、この方式はあくまで暗号化をするだけで、自己証明ということになります。ですから携帯電話などでは「証明書を発行している発行者が信頼できないから、表示しようとしているサイトは信頼できない可能性があるので表示できません」というようなことを言われてしまいます。ごちゃごちゃ言わずに表示しろ！といいたくなります(-_-;)

とか。
この記述では、この説明を読んだ人の多くは、自分で証明書を発行してもかまわないんだと勘違いしてしまう。お金がない人が自分で証明書を発行していいのなら、お金があったって自分で証明書を発行してもかまわない、と無意識に結論することだって、想像に難くない。
そして、世の中の大半を占めている素人レベルのIT技術者はこの説明を信じて Webシステムを作るだろう。そしてその技術者は、ユーザに対しても、「独自で証明書を発行しているからそうなります」という程度の説明しかしない可能性が高い。技術者がそう説明してしまうと、疑問をもっていたユーザも気にしなくなる。。。
という悪循環で、「セキュリティ警告は無視してかまわない」という認識が、爆発的に増えているんじゃないのかなぁ。まぁ、政府も大きく荷担していることには間違いないんだろうけど。