EV SSLと従来のSSL、2種類のサーバ証明書はどう違う?

日本国内でも金融機関をはじめ、様々な業種のWebサイトにEV SSL証明書が導入されるケースが増えている。その証明書は、マイクロソフトなどのWebブラウザベンダやベリサインなどの認証局(CA、Certificate Authority)などで構成される「CA/ブラウザフォーラム」が策定した世界共通の審査基準のもとで発行されるが、従来のSSLサーバ証明書とくらべ何がどう変わったのか。また発行される証明書自体に違いはあるのだろうか。日本ベリサインの平岩義正氏と上杉謙二氏に、従来のSSLとEV SSLという2種類のサーバ証明書の相違点と、認証業務を行なう認証局自体の信頼性について聞いた。

日本ベリサイン マスマーケット営業部 部長 平岩義正氏

日本ベリサイン マーケティング部プロダクトマーケティング シニアプロダクトマネージャ 上杉謙二氏

──EV SSL証明書の発行プロセスは、従来のSSLサーバ証明書の場合とどのような点が異なるのでしょうか

上杉氏　EV SSL証明書を発行する場合、確認する書類の数や確認対象者が増えます。書類については、EV SSL証明書の発行には、サーバ証明書の利用規約同意書に押印した印鑑の印鑑証明書が必要です。

さらに電話による確認プロセスが増えますね。申請者や技術担当者だけでなく、その上司にあたる本部長・事業部長クラスの方に対して、署名権限確認者の在籍と役職を確認します。ひとくちに「実在性の確認」といっても、EV SSLサーバ証明書の発行では、運営者の企業の深部まで調べているわけです。

──従来のSSLサーバ証明書とEV SSL証明書とで、発行される証明書そのものに違いはあるのでしょうか

平岩氏　技術的な違いはありません。どちらもSSLの仕組みをベースにしており、証明書はバイナリデータとして提供されます。

EV SSLサーバ証明書を導入したWebサイトのアドレスバーの例。Webサイトの運営組織名をクリックすると、認証局や運営組織の所在地を確認できる。必ずチェックするようにしておきたい

両者の大きな違いとして、証明書にWebサイトの運営者名(法人名)が必ず記載される点が挙げられます。SSLサーバ証明書の中には、サーバのドメイン名しか記載されていないものがありますが、EV SSL証明書では運営者名も記載され、Internet Explorer 7などのWebブラウザではアドレスバーが緑色に変わります。その中には運営者の住所(事業所所在地の要約)やWebサイトの運営者名が記載され、証明書から運営者の実在性を高いレベルで確認できるようになっています。

また、サーバ証明書を発行した認証局を示す「PolicyID」と呼ぶ値があり、ベリサインのEV SSL証明書であることを示すPolicyIDもあります。

将来的には証明書に使われる暗号強度の向上も想定しています。SSLという仕組みが依拠しているPKI(公開鍵暗号基盤)は、解読が不可能なくらい膨大な時間がかかることが安全性の根拠になっている半面、(コンピュータの性能がよくなるにつれ)いつかは破られるという宿命を負っています。EV SSLのガイドラインでは、暗号化強度についての技術的要件も定められており、今後暗号強度の要件は高められる予定となっています。

──従来のSSLサーバ証明書は、今後EV SSL証明書へと移行していくのでしょうか

上杉氏　用途・目的に応じた両者の使い分けが進むのではないでしょうか。ショッピングやオンラインバンキングなど、広く一般にサービスを提供するWebサイトでは、これまで以上に実在性の証明が求められていくことから、EV SSL証明書の採用が進んでいくと考えられます。

米PayPalではEV SSL証明書を全面導入している

また、パスワードなどを入力するページだけではなく、Webサイト全体にEV SSL証明書を導入するケースも増えると考えられます。その一例がアメリカの「PayPal」(クレジットカードを利用した送金・決済サービスを提供)です。同社はフィッシング詐欺の標的にされ、多くの偽物サイトが作られましたが、Webサイト全体へEV SSL証明書を導入したことで、Webサイトと運営企業の結びつきがハッキリし、顧客に高い信頼性を提供できるようになりました。

一方、同じ会社や特定の取引先など「顔見知り」の相手との間で使われるWebシステムでは、安全性とコストのバランスから、引き続き従来のSSLサーバ証明書が使われるということも考えられるでしょう。

──EV SSL証明書の重要性が高まるなか、それを発行する認証局自体の信頼性は、どのように担保されているのでしょうか

平岩氏　当社のように多くの企業の認証を行なう認証局の社会的責任は、インターネット利用の拡大に比例して大きくなっています。認証局が何らかのミスを犯せば、インターネット全体の信頼性を損ないかねません。認証局という事業は、この覚悟をしたうえで初めて成り立つといえます。

その中で日本ベリサインは、運営方針をCPS(認証業務運用規定)というドキュメントで明文化しています。さらに、そこに書かれた内容に基づいて実際に運用されていることを証明するため、第三者機関による監査を受けることで信頼性を担保しています。

──具体的に、どのような運営体制のもとで認証事業が行なわれているのでしょうか

平岩氏　当社ではファシリティ(建物)や業務プロセスなど、あらゆる面で厳しい管理体制を敷いています。ファシリティについては、場所などの詳細は明かせませんが、認証局の証明書発行を管理するデータセンターの建物自体の堅牢性を高めています。たとえば、物理攻撃への耐性を高めるために壁を厚くするといった対策もありますし、壁にワイヤーを埋め込むことで簡単に侵入できないような構造を持たせるなど、様々な工夫をしています。そうした環境で、認証局の命といえる"秘密鍵"(※)を厳重に管理しています。

※公開鍵暗号方式によるデータ通信で公開鍵と一対になる鍵。SSL/EV SSLサーバ証明書には認証局自らの秘密鍵による署名がなされている。認証局以外の者がその秘密鍵を盗むと、不正にその認証局の署名が利用される危険があるため、"認証局の秘密鍵"はセキュリティを整備した環境で厳重に管理する必要がある。

実際に現場で認証業務を担当する者についても、厳密な管理体制を実践しています。たとえば、IDカードや生体認証を用いたセキュリティシステムを導入することで、権限に応じて出入りできる部屋を制限したり、入退室記録をとったりといった対策です。さらに重要な業務を行なう者には、モーションセンサーでどんな行動をとっているかまで把握しています。

こうした管理体制を構築し維持するには莫大なコストがかかりますが、この厳格性こそSSL/EV SSLサーバ証明書の発行手数料の代わりにお客さまに提供する価値であり、重要なサービスであると考えています。