3
2

Delete article

Deleted articles cannot be recovered.

Draft of this article would be also deleted.

Are you sure you want to delete this article?

@Shankou
in

Webセキュリティ攻防戦⑤

3
Posted at

第5回：盗聴者たちとの戦い「HTTPから常時HTTPS化へ」

〜むき出しの通信と、暗号化の民主化〜

導入：最後の弱点は「道中」にある

これまでの連載で、私たちはブラウザの画面を守る盾（SOP、サニタイズ）や、データベースを守る盾（プレースホルダ）の歴史を見てきました。
ハッカーの攻撃からシステムを守るため、Webアプリケーションは 非常に堅牢 になりました。

しかし、ハッカーたちは最後に「最も無防備で、最も簡単に情報が盗める場所」を狙います。
それは、あなたのスマホやPC（ブラウザ）から、Webサービスのサーバーへとデータが運ばれる 「インターネットの通信経路（道中）」 そのものでした。

シリーズ最終回となる第5回は、私たちが普段何気なく見ているブラウザの 「鍵マーク」 がどのようにして世界の常識になったのか。むき出しの通信環境からユーザーを救った、インターネット暗号化の歴史と戦いの物語です。

1. むき出しのハガキ「HTTP」とカフェの恐怖

Webサイトを閲覧する時、URLの先頭にはかつて http:// という文字がついていました。
これは「HTTP（ハイパーテキスト・トランスファー・プロトコル）」という、Webの基本的な通信ルールのことです。

HTTPには、セキュリティ的に 致命的な弱点 がありました。それは「通信内容がすべて『平文（暗号化されていないむき出しの文字）』で送られる」ということです。
これは現実世界で例えるなら、 「透明なハガキ」 にパスワードやクレジットカード番号を書いてポストに投函するようなものです。

もしあなたが、カフェの無料Wi-Fiやホテルの共有ネットワークに接続して、HTTPのサイトでログインボタンを押したらどうなるでしょうか？
同じWi-Fi空間にいるハッカーが、専用のツール（パケットキャプチャソフトなど）を起動して息を潜めていた場合、空中を飛んでいるあなたのパスワードは 丸見えの状態 でいとも簡単に盗聴されてしまいます。

2. 暗号化の盾「HTTPS」と、かつての高い壁

この盗聴の恐怖を防ぐために用意されたのが、 「HTTPS（HTTP Secure）」 という仕組みです。
通信経路を「SSL/TLS」という技術で強力に暗号化し、ハガキを 「絶対に途中で開けられない頑丈な金庫」 に入れて送るような状態にします。万が一ハッカーが通信を傍受しても、意味不明な文字列の羅列にしか見えません。

「それなら、最初から全部のサイトをHTTPSにすればいいじゃないか」
そう思うかもしれません。しかし、2010年代前半までのWebの世界では、それは 非常に困難なこと でした。

なぜなら、サイトをHTTPS化して「本物のサイトである（鍵マークをつける）」と証明するためには、信頼できる認証機関から「SSL証明書」というものを発行してもらう必要があったからです。
この証明書は 取得に年間数万円〜十数万円のコスト がかかり、サーバーへの設定作業も非常に複雑でした。

そのため、当時のWebサイトは「普段はHTTPで通信し、ログイン画面やクレジットカードの決済画面になった時だけ、お金をかけて導入したHTTPSの画面に切り替える」という運用が一般的でした。個人のブログや企業の案内サイトなどは、ほぼ100%がむき出しのHTTPだったのです。

3. Googleの強硬手段と「常時HTTPS化」

この「一部だけ暗号化」という妥協した状態を許さなかったのが、ブラウザシェアの絶対王者である Google（Chrome） でした。

Googleは「ユーザーが安全にインターネットを使えるように、すべてのページをHTTPSにするべきだ（常時HTTPS化）」という強い信念のもと、力技とも言える 強硬手段 に打って出ます。

  1. 検索順位の優遇（2014年〜）
    Googleは「HTTPSに対応しているサイトは、検索結果で上位に表示されやすくする」と発表しました。これにより、アクセス数を伸ばしたい企業たちは一斉にHTTPS化を推進し始めます。

  2. 「保護されていません」の警告（2018年〜）
    さらにGoogle Chromeは、HTTPSに対応していない古いHTTPサイトを開くと、URLバーに目立つように 「保護されていません（Not Secure）」 という恐ろしい警告を表示するように仕様を変更しました。

この警告が出ると、ユーザーは「このサイトはウイルスに感染しているのか！？」と勘違いして離脱してしまいます。世界中のWebサイト運営者は、生き残るために 強制的にHTTPS化 を迫られることになったのです。

4. 救世主「Let's Encrypt」と暗号化の民主化

Googleがムチを振るう一方で、技術者コミュニティからは 素晴らしい救済策（アメ） が提供されました。
それが、2015年にサービスを開始した 「Let's Encrypt（レッツ・エンクリプト）」 というプロジェクトです。

電子フロンティア財団（EFF）やMozillaなどの非営利団体が立ち上げたこのプロジェクトの理念は、非常にシンプルで革命的なものでした。
それは 「誰でも、無料で、自動でSSL証明書を発行できるようにしよう」 という究極の目標です。

それまで数万円の費用と面倒な書類審査が必要だった証明書が、コマンドを数回叩くだけで 完全無料 で手に入るようになったのです。
この「Let's Encrypt」の登場により、お金のない学生の個人ブログからスタートアップ企業のサービスまで、あらゆるWebサイトがノーコストでHTTPSの鍵マークを手に入れることができるようになりました。

まさに、資金力のある一部の企業だけのものだった暗号化技術が、万人の手に渡った 「暗号化の民主化」 が達成された瞬間です。現在、インターネット上のWebトラフィックの大半が、安全なHTTPSで暗号化されています。

おわりに：終わらない攻防戦

SOP、CSRFトークン、サニタイズ、プレースホルダ、そして常時HTTPS。
私たちが何気なくスマートフォンでSNSを見たり、買い物をしたりできる裏側には、ハッカーの悪意からユーザーを守るために、世界中のエンジニアたちが何十年にもわたって築き上げてきた 幾重もの見えない盾 が存在しています。

しかし、セキュリティの世界に「これで絶対に安全」というゴールはありません。
新しい技術が生まれれば、必ず新しい攻撃手法（未知の脆弱性）が生まれます。盾と矛の戦争は、インターネットが存在する限り永遠に続くのです。

もし次にブラウザのURLバーにある 「鍵マーク」 を見かけたら、その裏にある技術者たちの熱い戦いの歴史を、少しだけ思い出してみてください。

（「Webセキュリティ攻防戦」全5回 完）

📚 参考文献・出典

本記事で解説した歴史的背景や事実は、以下の公式記録および発表に基づいています。

  1. Googleによる常時HTTPS化の推進

  2. Let's Encryptの誕生と理念

    • Let's Encrypt Official Site:
      すべてのWebサイトに暗号化通信を提供する非営利の認証機関。無料で自動化された証明書発行プロセスにより、Webの常時HTTPS化に最大の貢献を果たしました
      Let's Encrypt - Free SSL/TLS Certificates

🤖 執筆協力
本記事の構成案作成および推敲には、生成AIのアシストを活用しています。

3
2
0

Register as a new user and use Qiita more conveniently

  1. You get articles that match your needs
  2. You can efficiently read back useful information
  3. You can use dark theme
What you can do with signing up
Sign upLogin
3
2

Delete article

Deleted articles cannot be recovered.

Draft of this article would be also deleted.

Are you sure you want to delete this article?