サーバ証明書が備える2つの機能

Webサイトの安全な利用に欠かせないSSLサーバ証明書。第1回はサーバ証明書の基本的な役割と、EV SSL証明書が登場した背景について紹介しました。では、サーバ証明書によって、サイト運営者と利用者にはどんなメリットがもたらされるのでしょうか。今回はサーバ証明書全体の仕組みを見ながら、それによって確保されるWebサイトの安全性の内容について確認し、導入の必要性について解説していきます。

運営者・利用者双方にメリットをもたらすSSLサーバ証明書

サーバ証明書によってもたらされるWebサイトの安全性は、「実在性証明」と「暗号化通信」というふたつの機能に基づくものです。これによって、たとえば"A社が運営するオンラインショップ"を考えた場合、ショッピングサイトと利用者には次のようなメリットがもたらされます。

A社が運営するオンラインショップ

  • 利用者に対して、ショッピングサイトが確かにA社によって運営されていることを証明できる(ベリサインなどの認証局がその実在性を証明する)
  • 実在性証明と暗号化通信が確保され、ショッピングサイトの信頼性をアピールできる

オンラインショップ利用者

  • ショッピングサイトがA社によって運営されていることを(サーバ証明書によって)確認でき、安心して購入できる
  • 暗号化通信によって、商品購入に必要な個人情報を安心して入力、送信できる

ショッピングサイトと利用者という2者の間だけでは、「本当にA社が運営しているショッピングサイトなのか」を互いに証明、確認する術がありません。"信頼できる第三者"によって、そのショッピングサイトが、確かにA社によって運営されていることを、利用者に対して証明する必要があるのです。その"信頼できる第三者"が、ベリサインのような認証局(CA、Certificate Authority)になります。認証局が第三者として介在し、ショップ経営者にサーバ証明書を発行して"信頼"の太鼓判を押すわけです。

サーバ証明書の利用イメージ

逆に言うと、SSL/EV SSLサーバ証明書を導入しないまま運営しているオンラインショップの場合、利用者は上記のような安全性を確認できません。商品をショッピングカートに入れ、購入手続きを行なう際、サーバ証明書の導入を示す「鍵マーク」や「グリーンバー」がなければ、利用者は不安を感じて手続きを取りやめてしまうかもしれません。そうした販売機会の損失を避ける意味でも、サーバ証明書は非常に重要なものとなるわけです。これはオンラインショップを例にしたケースですが、Webサイト上でアンケートを実施したり、資料請求のための会員登録を促したりするようなケースでも同じことが言えます。

では、あらためて「実在性証明」と「暗号化通信」について説明しましょう。

「実在性証明」と「暗号化通信」について

「実在性証明」とは、Webサイトと運営者の結びつきを明らかにすること。インターネットは自己申告制の世界であり、Webページ上に記載されている運営者が実際にWebサイトを運営しているという保証はありません。そこでベリサインのような証明書を発行する認証局がWebサイトの運営者が実際にいることを確認し、Webサイトと運営者の関係をサーバ証明書の形で示します。

そのサーバ証明書を持つWebサイトと、利用者のWebブラウザの間でデータを安全に通信する機能が「暗号化通信」です。インターネット上の通信では、通信するデータ(クレジットカード番号など)が第三者に盗み見られたり改ざんされたりする危険があります。データの暗号化はこれらのデータが漏えいする危険を排除し、重要な情報をWebサイトとクライアント間で安全に取り交わすことを可能にします。

ショッピングやオンラインバンキングなどのWeb上のサービスは、その運営者を特定でき、かつその相手とだけ情報をやり取りできなければ安心して利用できません。サーバ証明書は、まさにこの要請に対し、「実在性証明」と「暗号化通信」というふたつの機能でWebサイトの安全利用を支えてくれるものなのです。

実在性証明の信頼性を確保するEV SSL証明書

こうした役割を持つサーバ証明書ですが、SSLサーバ証明書の実在性証明には信頼性の点に難があります。前回でも触れたように、認証局によってSSLサーバ証明書の発行基準が異なり、サイト運営者の実在を確認するために調べる内容にも差異があるからです。

たとえばベリサインのSSLサーバ証明書発行サービスである「ベリサイン サーバID」の認証では、信用調査会社のデータベースや公的書類などで運営者(法人)の所在を確認するのに加え、電話によって申請者当人の在籍や申請の意思確認もします。その一方で、申請者のメールアドレスを確認するだけでSSLサーバ証明書を発行するような認証局もあります。

アクセスしたWebサイトの安全性を確認する場合、鍵マーク以外に「ベリサインセキュアドシール」(下のカコミ記事参照)を確認できれば、そのWebサイトが企業認証を経て「ベリサイン サーバID」を導入していることがわかります。ただ、そうした確認手段がない場合、そのWebサイトがどんな認証を経てSSLサーバ証明書を取得したのかを確認することは非常に困難です。

このような問題を解消するため、新しく作られたのがEV SSL証明書です。その発行には運営者の実在性の確認が必須で、厳しい基準が定められています(詳細は【インタビュー】EV SSLとSSL、その違いと信頼基盤としての認証局の取り組み - ベリサインに聞く(2)を参照ください)。

その審査基準は世界共通であり、EV SSL証明書を取得するには、どの認証局でも同じ審査を受けることになります。またEV SSL証明書は「CAブラウザフォーラム」という団体に加入している認証局にしか発行できません。こうした発行プロセスの共通化・厳格化により、実在性証明の信頼性を確保しているのです。

EV SSL証明書には、Webサイトの運営者名の記載が必須になっており、EV SSL対応Webブラウザ(Windows VistaのInternet Explorer7など)ではアドレスバーが緑色に変化します。また証明書にサイト運営者の所在地を記載するケースも増えています。このように、サイト利用者に対し、サイト運営者の実在性に関する判断材料を提供できるのもEV SSL証明書の大きな利点です。

鍵マーク以外に「ベリサインセキュアドシール」をチェック!

EV SSL証明書の登場背景を見ると、「SSLサーバ証明書は信頼できないのか?」「鍵マークだけでは確認は不十分なのか?」と疑問に思うかもしれません。しかし、SSLとEV SSLは、SSL技術自体の仕組みが変わらないため、ここで問題となっているのは"サーバ証明書の認証(確認)方法"です。発行基準が厳しく、信頼できる認証局のサーバ証明書であれば問題はないわけです。たとえば、Webサイトに「ベリサインセキュアドシール」が貼られている場合、そのサイトのサーバ証明書はベリサインによって発行されていることがわかります。"EV SSL証明書＋ベリサインセキュアドシール"という組み合わせであれば、さらに安心してそのWebサイトを利用することができるでしょう。

「ベリサインセキュアドシール」を見つけたら必ずクリック! そのWebサイトの運営組織名や所在地などを確認できる

証明書の内容が確認されると暗号化通信が始まる

サーバ証明書のもうひとつの機能である「暗号化通信」については、EV SSL証明書とSSLサーバ証明書とで仕組みに違いはありません。証明書の内容に問題がないことをWebブラウザが確認すると、自動的に暗号化通信が始まります。

その確認において重要な役割を担うのが、ルート証明書です。これは証明書を発行した認証局を信頼するかどうかを判定する基準となるもの。「Webサイトの実在性証明を保証する認証局自体には誰が信用を与えているの?」と思うかもしれませんが、一定の信頼性が認められた認証局については、その認証局のルート証明書がWebブラウザやOSに初めから組み込まれています。ベリサインのようにルート証明書が広く普及している認証局のサーバ証明書を使うということは、それだけ多くのユーザーと手軽に安全な通信が行なえるということにもなります。

このルート証明書を用い、信頼できる認証局から発行された証明書であり、証明書の内容に改ざんがないことが確認されると、データの暗号化に使う鍵を生成し、Webサイトとの間で通信を始めます。

Internet Explorer 7に組み込まれているルート証明書の例。「インターネットオプション」→＜コンテンツ＞タブ→＜証明書＞ボタン→＜信頼されたルート認証局＞タブで確認できる

一方で証明書を発行した認証局の信頼性が認められない、有効期限が切れている、内容が改ざんされているなど、証明書にひとつでも問題があると、その旨の警告を表示して通信を一時的にストップします(Internet Explorer 7の場合)。サイト利用者の方がそうした暗号化通信の裏側で起きていることを必ずしも知る必要はありませんが、警告が出る場合は安全性が確保されていない状態だということは知っておいてください。そのWebサイトで重要情報を入力するのは絶対に避けましょう。

見直される「実在性証明」の重要性

冒頭で触れたとおり、サーバ証明書で確保されるWebサイトの安全性は「実在性証明」と「暗号化通信」に過ぎません。しかしそれは、不特定多数が参加し、通信相手の存在が見えないインターネットのなかで、Webサイトの利用に最低限の安全性を確保してくれるものです。EV SSLの登場で「実在性証明」の機能が見直されるにつれ、その重要性はますます高まっていくことでしょう。

次回はSSL/EV SSLサーバ証明書を取得する具体的な手続きについて紹介します。

(イラスト:ショーン＝ショーノ)