ざっくり理解するSSL証明書
どうも！クラウドインテグレーション事業部の古田です。
今回はSSL証明書についてざっくり理解出来るよう自分への備忘録も兼ねて残します。
SSLとは？
Secure Socket Layerの略
ネット上でデータを暗号化して送受信する仕組み(プロトコル)のこと
TLSとは？
Transport Layer Securityの略
SSLより更に進化した暗号化プロトコル
脆弱性においてSSLよりTLSの方がよりセキュアやし最も推奨されてるけど、SSLの方が名前有名やからTLSも含めてSSLと呼んだりするらしい
そして本題、SSL証明書とは？
ズバリ！サイトを利用するユーザーに 向けてここは安全なサイトやで！！ ってことを証明するための証明書
、、、とさすがにこれではざっくりが過ぎるので、どうやって安全性を証明してるのか紹介します
SSL証明書の安全性を証明する2つの役割
① サイトの実在性を証明
- 認証局(CA)と呼ばれる公正な第三者機関により通信先のサイトが実在していること、なりすましやフィッシングサイトなどではないことを証明してくれる
② 通信の暗号化
- SSL証明書に含まれる鍵によって通信データを暗号化することができる。暗号化された通信は通信先でしか暗号を解除できないため安全に通信ができる。これにより個人情報やクレジットカード情報などを抜き取られるのを防げる！
ここまでをまとめると、、、
公正な第三者機関がこのサイトは怪しくないで！って証明してくれてるし、通信も暗号化して個人情報抜き取られんようにしてるからウチは安全なサイトやねんで！
略して、ここは安全なサイトやで！！になるわけです
※イメージは下記画像参照
※①〜⑤の流れをWebサイト、ユーザー、認証局にて行っている
ただ、これでSSL証明書があるサイトの全て安心かと言うとそうでもなく、、、
証明書には3段階の信頼度が存在
- 先述の公正な第三者機関である認証局(CA)がどの認証レベルで認証したかによって証明書の信頼度が分かれる
① ドメイン認証（DV）
- 認証局が申請されたドメイン名の所有者に対して電子メールやDNS（Domain Name System）などで確認を行い、証明書を発行する
- 個人でもドメインを取得していれば取得可能
- 発行までのスピードが速い
- 3つの中で一番低価格で利用可能
- 暗号化された通信であることのみが保証されているため、有名なサイト以外ではクレジットカード利用は避けたほうが良さそう
DV証明書を使用する主なユースケース
ブログサイト、個人のWebサイト、取引を行わず個人情報を収集しない、特定のユーザーだけが訪問するWebサイトなど
② 企業実在認証・組織認証（OV）
- 組織として法的に実在し、その組織が証明書に記載されるドメインの所有者である証明。登記簿と申請後に申し込み意思の確認が必要。年間約6万円程の維持費がかかる
- この認証が通っているとドメイン認証だけのサイトよりもだいぶ安心できる
OV証明書を使用する主なユースケース
ログイン画面、企業サイトなど
③ EV認証（EV）
- 上記2つの認証の項目に加え、物理的に組織が存在しているか、事業が存在・運営されているか、承認者・署名者は誰なのかを証明
- 認証項目が最も多いEV認証が、効力・信頼性ともに最も高い証明。年間約13万円ほどの維持費がかかる
- 最上位の認証レベルのため、ネット銀行など決済情報を扱うページなどで使用される
→認証レベルが高いほど信頼性が高く、費用もかかるため安全性の高いサイトであることが証明される
※Webサイトで証明書の有り無しを確認する方法は、アドレスバーの端に南京錠のような鍵マークが表示される。そこから認証情報を確認できる
※ちなみに、年間にかかる認証費用の高さや低さは暗号化レベルには関係なく、高い＝良いというわけではない
EV証明書を使用する主なユースケース
グローバルな銀行及び金融サービス、電子商取引サイトなど
鍵マークやアドレスバーをクリックして確認できる情報は？
・証明書の種類やシリアルナンバー
・証明書の有効期間
・通信先の名称・所在地
・発行元の認証局情報
※認証レベルによって確認できないものも有り
まとめ
SSL証明書についてざっくり理解が出来たら何よりです。
