- - PR -
-
XFormsへの期待
| 投稿者 | 投稿内容 |
|---|---|
|
投稿日時: 2001-10-16 11:45
たとえば、何らかの申請を行うことを考えた時に申請書には普通印鑑が押してあり、
後からその申請書を見たときに本当にその人が申請書を出したことを確認できます。 これをWeb上に移行することを考えた時に、現状のインフラでは何らかの作りこみを しない限り、申請書(XML)に署名(印鑑に代わるもの)をつけてサーバにPOSTすること ができません。 また、セキュリティの関係からローカルの資源には容易にアクセスできないよう制限 されているため、実現も容易ではありません。 これは、今後いろいろとシステムがWebに移行する中で、システムを開発する側としては 悩ましい部分であります。 XForms というのが、全く何も見えていないわけですが、HTMLのFormsの拡張というところ から、ちょっと期待してみたりしているところです。 ＠ITでも XForms の記事を載せていただけると嬉しいです。 [ メッセージ編集済み 編集者: ふうた 編集日時 2001-10-16 11:46 ] 昔投稿したスレッドが更新されていますね。最近勧告候補に上がった関係でしょうか。 とりあえず、誤記があったので修正しておきます。  [ メッセージ編集済み 編集者: ふうた 編集日時 2002-12-03 16:59 ] |
|
投稿日時: 2001-10-16 21:21
ちょろっと見てみましたが…お望みのものとはだいぶ違うような…
わたしには、XML に抽象的な UI を定義するためのものに見えます… その UI をどう表現し、入力に対してどのような挙動をするかは、XForms プロセッサの実装によりそうです。 個人的にはちょっと懐疑的。あれば便利ではあるけど…。 ------ で、署名のお話。 PGP サインでも、SSL のクライアント認証でもいいのでは:) |
|
投稿日時: 2001-10-17 09:47
そうですか、的外れだった見たいですね・・・
残念です。 ちなみに「SSL のクライアント認証」だと、申請時には確かに認証されるのですが、 その時にクライアントの証明書から必要な情報を取ってこないといけないという 作りこみが発生してしまいます。 極端な話「SSL のクライアント認証」だと、申請できるかどうかだけの確認なので、 人の名前を語って申請できてしまうということになります。 セキュリティ的に「否認」の脅威がないでしょうか？ (SSLが認証・暗号化のみで署名の機能は持っていないと認識していますが、間違って いればご指摘ください。) XMLには XML Signature (XML署名) がありますが、これだとあとからXML文書について いる署名を認証サーバに検証してもらうことで確かにその人からの申請がされていると いうことを確認できますよね。 そういった仕組み(インフラ)が欲しいということです。 「PGP サイン」はどちらかというと、PtoPでの利用で用いられ、認証サーバに検証して もらうというイメージがなく、こちらも署名の機能は持っていない(暗号化のみ)と認識 しています。(違ってたらご指摘ください) どうでしょうか？ P.S. ＠ITで XML Signature (XML署名) の記事をもっと載せて欲しいです。 タグ毎に署名がつけられると聞いていますが？！ [ メッセージ編集済み 編集者: ふうた 編集日時 2001-10-17 09:48 ] |
|
投稿日時: 2001-10-17 20:51
つまり、SSL クライアント認証に、認証したクライアント情報をとれる API? が定義されればいいんですよね。既存のアプリサーバでそれをやってくれるものもいくつかあるようです。共通インフラではないですけど。
PGP のほうは、まぁ、P2P と考えてもいいのですが、各個人が PGP key を持っていて、public key をサーバ上にアップしておき、文書に対して PGP sign しておけば、サーバ側で sign を照合すればいいのでは。 たとえば Debian のパッケージメンテナはそういう仕組みになっており、「そのパッケージがたしかにそのメンテナの PGP key によって作られている」というのがわかるようになっています。 ハンコの例ならいけますよね。 まぁ、これも作り込みがいりますが。 |
|
投稿日時: 2001-10-17 21:24
確かにそういう意味だと、PGPでも実現できそうですね。
ただ、最近認証まわりのインフラが整ってきているのか、「XXXの認証サーバを使って欲しい」 とか「既に認証サーバが立ち上げあっているのでそれを使って欲しい」とかって、結構あるみたいです。 そうなってしまうと、PGPだと・・・ 既存のインフラ(できれば、W3Cとかの標準団体が決めた仕様に則ったもの)を上手く組み合わせて、最小限の労力で実現するというのが理想なんだけど、そうすると私たちの仕事はなくなってしまう？！
(まあ、無理な話でしょうけど・・・) [ メッセージ編集済み 編集者: ふうた 編集日時 2001-10-17 21:30 ] |
|
投稿日時: 2002-11-01 23:03
６０億人のパスワード？
現実世界では、たった４桁のパスワードで大切なお金のやり取りをしてますね。 ＷＥＢの世界で４桁のパスワードで済ますとなれば、裏がいりますよね。 現実は、カード所有が裏です。 双方向でなく、１方向で認証するには、何らかの所有が必要です。 防犯セキュリティでは、指紋、眼底、顔、声紋などがありますが、 これも約束事です。 はんこの世界では、はんこの認証が背景にあります。 光の世界では、光速より早く、そのゆらぎが到達することがあるそうです。 認証とはなんでしょう？ 私を認めて貰いたい、あなたを認めます。ということです。 では、認証の必要たるゆえんは何ですか？ その資源を使いたい、使っても良いということだと思います。 現実世界で、無限の資源を使いたいということは有りません。 と思いますが、ここに、１方向でも認証を可能とする鍵があります。 資源を知っているということですね。 資源を提供する側は、しきいを高くし、使いたい側はこんなものか ということになります。システムの守備範囲の問題になります。 資源への知識が、はんこということですか？ 質問者の意図が、不可能を想定したものかわかりませんが、 少なくとも、現実世界の足かせを想定したものだと考えます。 何らかの解を見つけ出すことを希望します。 ちなみに、１方向で、不特定多数を相手に、しかも、お金のやり取りをする。 不可能への挑戦ですが、解答があります、なんだと思いますか？ 馬鹿馬鹿しいから解答は保留します。 最後に、光の話ですが、このゆらぎをテーマにＳＦ小説を書きたいなと思っています。 |
|
投稿日時: 2002-11-05 11:08
ALADDINです
ちょっとコーヒーブレイク的に・・・ 私は専門ではないのですが、電子署名や印鑑のことが 話題になったので http://www.giken.co.jp/products/security/pcks/index.html |
|
投稿日時: 2002-11-30 16:11
ふうたさんの言う通り、SSLだけでは駄目だと思います。
ちなみにSSLも改ざん防止ようにメッセージに対してダイジェスト をつくり送っていますが、これはあくまでも、ブラウザとWebサーバ間 のみで保証されます。実際にXMLの文書に署名をしたい場合はXML Signature を使用します。しかし、最大の問題点は現在はXMLを作成するのは サーバサイドの処理でやっている点です。サーバサイドで署名をすると いうのは、個人の署名にはならないでしょう。サーバーの管理者が署名を しているようなものです。 わたしも、XFormsには期待をしています。XFormsは多分（まだ私も勉強不足 なので・・・！）クライアント側でXMLを作成するので、XFormsのブラウザで 署名することが理論的には可能じゃないでしょうか？ 署名についてもXFormsが解決してくれるのではとは気が付かなかったです。 マイクロソフトはXFormsをサポートしますかね？？？ |
Copyright © ITmedia, Inc. All Rights Reserved.
著作権はアイティメディア株式会社またはその記事の筆者に属します。
当サイトに掲載されている記事や画像などの無断転載を禁止します。
著作権はアイティメディア株式会社またはその記事の筆者に属します。
当サイトに掲載されている記事や画像などの無断転載を禁止します。