SSL暗号化とは
SSL暗号化は、通信データを暗号化して盗聴・改ざん・なりすましから守る仕組みであり、Webサイトで重要情報を安全にやり取りするための土台となる技術です。
SSL暗号化は、Webサイトのログイン画面や問い合わせフォーム、オンライン決済など、重要な情報を送受信する場面で広く利用されています。通信内容を暗号化するとともに、サーバ証明書によって接続先の正当性を確認することで、安全な通信環境を実現します。
SSL暗号化では、公開鍵暗号方式と共通鍵暗号方式を組み合わせて、安全性と通信速度を両立しています。通信は、次のような流れで行われます。
- クライアントがサーバへSSL/TLS通信を要求する
- サーバがデジタル証明書と公開鍵をクライアントへ送信する
- クライアントが共通鍵を生成し、公開鍵で暗号化してサーバへ送信する
- サーバが秘密鍵で共通鍵を復号し、以降は共有した共通鍵を用いて暗号化通信を行う
現在はSSLの後継規格であるTLS（Transport Layer Security）が広く利用されています。SSLという名称は広く浸透しているため、実際にはTLSを利用していても「SSL」や「SSL暗号化」と総称されることが一般的です。
SSL暗号化の役割
SSL暗号化により、どのような効果が得られるのでしょうか。
データの盗聴を防止する
通信されるデータは、その過程で第三者に盗聴されるおそれがあります。特にその通信が、個人情報などの重要な情報を含む場合は、大きな被害につながりかねません。
そこで利用されるのがSSL暗号化です。そのままでは第三者が読み取れないように通信内容を暗号化します。その暗号文を復号するための鍵は、通信を行う二者しか持たないため、第三者に中身を知られずに済みます。
データの改ざんを防止する
データの改ざんとは、データを第三者が不正に書き換えることです。たとえば、ECサイトにおける商品注文数を不正に書き換えられると、顧客にもECサイトにも大きな混乱が生じるでしょう。
SSLは通信内容の改ざんによる被害も防げます。なぜなら、暗号化すると同時に改ざん検知用のデータを暗号文と同時に送信しているためです。
データ送信者による改ざん検知用データと、データ受信者が算出する改ざん検知用データが同一であれば、改ざんされていないと証明されます。
ただし、SSL暗号化で防げるのはあくまで通信途中の改ざんです。サーバに侵入されてWebサイトの内容を改ざんされるなど、通信過程以外で攻撃を受ける場合は防げません。
なりすましを防止する
なりすましとは、偽物のWebページを作成することです。そのページでユーザーに重要な情報を入力させることをフィッシング詐欺と呼びます。
たとえば、ネットバンキングのログイン情報をなりすましサイトに入力してしまうと、大きな金銭的被害が発生するかもしれません。ログイン情報を取得した第三者に実際のネットバンキングにログインされ、金銭を盗まれるおそれがあります。
SSL暗号化では、SSLサーバ証明書のやり取りによってなりすましを防止できます。SSLサーバ証明書とは、Webサイトの持ち主が正規であることを確認するためのデータです。認証局に申請し、認証されれば発行されます。
それをサーバにインストールすることで、Webサイトが正規のものであると証明できます。
SSLサーバ証明書の種類
SSLサーバ証明書は、認証する対象や審査内容によって、主にDV・OV・EVの３種類に分けられます。
| 種類 | 認証内容 | 向いているWebサイト |
|---|---|---|
| DV証明書 | ドメインの使用権を確認する | ブログ、オウンドメディア、小規模サイト |
| OV証明書 | ドメインの使用権に加え、組織の実在性を確認する | 企業サイト、会員制サイト |
| EV証明書 | 組織の実在性や所在地などを厳格な基準で確認する | 金融機関、大規模ECサイト、信頼性が重視されるサイト |
DV証明書
DVは「Domain Validation」の略で、申請者が対象ドメインを使用する権利を持っているかを確認して発行される証明書です。
比較的短時間で発行されやすく、無料で利用できるサービスもあります。ただし、企業や団体の実在性までは確認されません。
OV証明書
OVは「Organization Validation」の略です。ドメインの使用権に加えて、申請した企業や団体が実在するかを認証局が確認します。
企業の公式サイトや、顧客情報を扱う会員制サイトなど、運営組織の信頼性を示したい場合に適しています。
EV証明書
EVは「Extended Validation」の略です。組織の法的な実在性や所在地、申請権限などについて、OV証明書よりも厳格な審査が行われます。
金融機関や大規模なECサイトなど、運営者の信頼性を重視するWebサイトで利用されています。
SSL暗号化の導入手順
続いて、SSL暗号化を導入する手順を見ていきましょう。SSLサーバ証明書のインストールについてもあわせて解説します。
１．CSRを発行する
CSRとは「Certificate Signing Request」の略で、日本語に訳すと「署名リクエスト」となります。これは、SSL暗号化を導入するWebサイトの情報を記したテキストデータです。
SSL暗号化を導入するには、まずCSRを作成する必要があります。CSRは認証局から認証を得るための申請書の役割を果たします。
２．申し込む
作成したCSRを認証局の申請サイトで提出しましょう。CSRのほかにもサイト運営企業の所在などの情報を求められるため、認証局の指示に従いましょう。求められる情報は認証レベルによって異なります。認証レベルは以下の３種類に分けられます。
- ドメイン認証
- ドメインの使用権を確認する簡易的な認証
- 企業認証SSL
- 企業の実在を認証するため、電話や書類審査が必要
- EV SSL
- 厳格な審査で、銀行やSNSなどのサイトが対象
３．SSLサーバ証明書をインストールする
無事認証されれば、SSLサーバ証明書が発行されます。メールで送付されるのが一般的です。そのSSLサーバ証明書をサーバの所定の場所にインストールすれば、SSL暗号化は完了です。
ただし、サイトのURLの「http」が「https」に変わることで、いくつか確認すべきことがあります。
たとえば、サイトそのもののURLが「https」から始まっても、サイト内の画像のURLが「http」のままだと問題があります。完全に暗号化されたことにはならないため、それらの画像のURLも変更しましょう。
また、「http」でアクセスしてくるユーザーが「https」のほうにリダイレクトされる設定も必要です。
SSL暗号化に関するよくある質問
ここでは、SSL暗号化に関してよくある疑問に回答します。
- ■SSL暗号化されているか確認する方法は？
- WebサイトのURLが「https://」から始まっているかを確認します。ブラウザのアドレスバーにあるサイト情報のアイコンを選択すると、証明書の発行先や有効期限なども確認できます。
- ■SSL暗号化は無料で導入できますか？
- 無料のSSLサーバ証明書を利用できる場合があります。レンタルサーバやクラウドサービスによっては、管理画面から無料SSLを設定できます。ただし、組織の実在性を認証するOV証明書やEV証明書は一般的に有料です。
- ■すべてのページをSSL暗号化する必要がありますか？
- ログイン画面や入力フォームだけでなく、Webサイト全体をHTTPS化する常時SSLが一般的です。一部のページだけをHTTPS化すると、ページ間の移動時に通信が保護されない可能性があります。
- ■SSL暗号化を導入すればWebサイトは完全に安全ですか？
- SSL暗号化で保護できるのは、主にユーザーのブラウザとWebサーバ間の通信です。マルウェア感染や不正ログイン、サーバへの侵入、脆弱性を悪用した攻撃などは別途対策する必要があります。
SSL暗号化を実施してセキュリティ強度を高めよう！
SSL暗号化とは、通信内容を暗号化し、通信経路上の盗聴や改ざんなどを防ぐ仕組みです。具体的には以下の脅威を防げます。
- ■盗聴
- ■改ざん
- ■なりすまし
SSL暗号化を導入する手順は以下のとおりです。
- ■CSRを発行
- ■認証局に申請
- ■証明書をサーバにインストール
以上を踏まえてSSL暗号化を導入し、強固なセキュリティを実現しましょう。
