セキュリティー制限

インターネット上でのセキュリティーのブリーチはまれですが、いずれのインターネット・セキュリティー・システムにも固有の制限があることを認識することが重要です。以下の情報は Z and I Emulator for Web 固有のものではありません。HTTP を使用するほとんどのインターネット・アプリケーションに当てはまります。Web サーバーがセキュア HTTP (https) を使用している場合は、この情報は当てはまりません。

Z and I Emulator for Web に関しては、サーバー認証が無効になっている場合でも SSL セキュリティーは提供されます。

クライアントおよびサーバー間の共通の SSL 接続は、次のように動作します。

CA 署名証明書

クライアントがサーバーに連絡をとる。
サーバーが、自身の CA 署名証明書をクライアントに送信する。
クライアントは、自身のトラステッド CA のリストを検査して、サーバーの証明書に署名した CA がリストにあり、信頼できるかどうかを確認します。リストにあり、信頼できる場合は、SSL 折衝が継続されます。そうでない場合は、即時に失敗します。

自己署名証明書の使用:

クライアントがサーバーに連絡をとる。
サーバーが、自身の自己署名証明書をクライアントに送信する。
クライアントは、自身の自己署名証明書のリストを検査して、サーバーの証明書がリストにあり、信頼できるかどうかを確認します。リストにあり、信頼できる場合は、SSL 折衝が継続されます。そうでない場合は、即時に失敗します。

慎重でなければならない理由
プロセスの中で非常に重要なステップは、クライアントが自身のトラステッド CA と自己署名証明書のリストを検査する部分です。ローカルにインストールされたクライアントの場合、Z and I Emulator for Web はそのクライアントのハード・ディスクから直接ロードされており、このリストは、クライアントのローカル・ハード・ディスクに保持されます。これは、十分にセキュアであると考えられます。しかし、ダウンロード・クライアントの場合、クライアントはそのすべてのコードを HTTP を使用してサーバーからダウンロードする単なるブラウザーであり、ブラウザーがトラステッド CA または自己署名証明書のリストを検索できる唯一の場所は、たった今証明書をダウンロードしたサーバー上です。そのサーバーが侵入者であった場合、セキュリティーはブリーチされます。この問題を回避する 1 つの方法は、 HTTPS はブラウザーが実際に正しいサーバーに接続されていることを保証するので、 HTTP ではなく HTTPS を使用することです。

慎重でなければならない理由

プロセスの中で非常に重要なステップは、クライアントが自身のトラステッド CA と自己署名証明書のリストを検査する部分です。ローカルにインストールされたクライアントの場合、Z and I Emulator for Web はそのクライアントのハード・ディスクから直接ロードされており、このリストは、クライアントのローカル・ハード・ディスクに保持されます。これは、十分にセキュアであると考えられます。

しかし、ダウンロード・クライアントの場合、クライアントはそのすべてのコードを HTTP を使用してサーバーからダウンロードする単なるブラウザーであり、ブラウザーがトラステッド CA または自己署名証明書のリストを検索できる唯一の場所は、たった今証明書をダウンロードしたサーバー上です。そのサーバーが侵入者であった場合、セキュリティーはブリーチされます。この問題を回避する 1 つの方法は、 HTTPS はブラウザーが実際に正しいサーバーに接続されていることを保証するので、 HTTP ではなく HTTPS を使用することです。