【初心者向け】
インターネットを利用する際、ウェブサイトを見たり、情報を送受信したりすることが日常的に行われています。しかし、その裏側では、あなたのパソコンやスマートフォン（ブラウザ）とウェブサイトのサーバーの間で様々なやり取りが行われており、その通信の中身は、本来第三者が見ようとすれば見ることができてしまうのです。
例えば、今見ているウェブサイトのアドレスや、入力したクレジットカード番号、パスワードなどが筒抜けになってしまうと考えると、とても怖いですよね。
そんな危険から私たちの情報を守るために生まれたのが SSL（Secure Sockets Layer） という仕組みです。
SSLとは？暗号化による安全な通信
SSLは、サーバーとブラウザの間で行われる通信を暗号化する技術です。これにより、もし第三者が通信を覗き見ようとしても、その内容は解読できないようになっています。例えるなら、手紙を誰にでも読める状態で送るのではなく、特別な暗号を使って送るようなイメージです。暗号化することで、たとえ途中で誰かに見られても、内容を知られる心配はありません。
現在では、SSL化されていないウェブサイトには警告が表示されるほど、その重要性は高まっています。特に、利用者の多い Google Chromeでは、どんなサイトでも強制的に「https」に飛ばされるようになっています。個人情報を入力しないサイトだからといって安心せずに、しっかりとSSLの設定をすることが大切です。
なぜSSLが必要なのか？盗聴、なりすまし、改ざんのリスク
SSLがなぜこんなにも重要視されているのでしょうか？それは、SSLによって以下の3つの脅威から私たちの通信を守ることができるからです:
- 盗聴対策: 通信が暗号化されるため、第三者が内容を覗き見ても理解できません。
- なりすまし対策: サーバー証明書という仕組みを使って、アクセスしているウェブサイトが本物であることを証明します。これにより、偽のウェブサイトに騙されるリスクを減らすことができます。
- 改ざん対策: 通信の途中で内容が書き換えられた場合、それを検知する仕組みがあります。これにより、知らない間に情報が改ざんされるのを防ぎます。
SSLとHTTPSの関係：HTTPとの違い
皆さんが普段ウェブサイトを見る際、アドレスバーに「http://」や「https://」と表示されているのを見たことがあると思います。
- HTTP (Hypertext Transfer Protocol) は、暗号化されていない、基本的な通信のルールです。例えるなら、誰でも見られる状態で情報がやり取りされるようなものです。
- HTTPS (Hypertext Transfer Protocol Secure) は、このHTTPにSSL（またはより新しい技術である TLS (Transport Layer Security)）による暗号化の仕組みを加えたものです。つまり、「https://」で始まるウェブサイトは、SSL/TLSによって通信が暗号化され、より安全に情報をやり取りできるのです。
現在では、HTTPSの通信がメインになってきており、安全なウェブサイトの証となっています。
SSLの進化：SSLからTLSへ、脆弱性と対策
実は、かつて主流だったSSLというプロトコルには脆弱性が見つかり、「POODLE攻撃」といった盗聴を可能にする攻撃が報告されました。そのため、現在ではより安全な TLS (Transport Layer Security) というプロトコルが主流になっています。
しかし、TLSにもバージョンがあり、古いバージョン（TLS 1.0、1.1）にはまだ脆弱性が残っている可能性があります。そのため、ウェブサイトの管理者（サーバー側）は、TLS 1.2以降のより安全なバージョンを使用することが推奨されています。現在、「SSL通信」という言葉が使われることもありますが、実際にはTLSが使われていることが多いです。
SSLの仕組みの基本：サーバー証明書と認証局
HTTPSによる安全な通信を実現するためには、サーバー証明書というものが非常に重要になります。これは、ウェブサイトの運営者（サーバー）が、**認証局（CA: Certificate Authority）**と呼ばれる信頼された第三者機関に申請して発行してもらうものです。
サーバー証明書には、そのウェブサイトのドメイン名や運営者の情報などが含まれており、「このウェブサイトは確かにこの運営者のものであり、安全ですよ」ということを証明する役割があります。例えるなら、お店の身分証明書のようなものです。
認証局は、サーバー証明書を発行する際に、申請者が本当にそのドメインの所有者であるかなどを厳格に審査します。
SSL暗号化の具体的な流れ
SSL/TLSによる暗号化通信は、以下のような手順で行われます:
- クライアントハロー: あなたのブラウザがウェブサーバーに対して「これから安全な通信をしたいです」というリクエスト（クライアントハロー）を送ります。この時、ブラウザが対応しているTLSのバージョンや暗号化方式などの情報も一緒に伝えます。
- サーバーハロー: ウェブサーバーは、受け取った情報の中から最も安全なTLSのバージョンと暗号化方式を選び、あなたのブラウザに「この方法で通信しましょう」という応答（サーバーハロー）を返します。同時に、ウェブサーバーは自身のサーバー証明書をあなたのブラウザに送ります。このサーバー証明書には、ウェブサイトの公開鍵という情報が含まれています。
- サーバー証明書の検証: あなたのブラウザは、受け取ったサーバー証明書が信頼できる認証局によって発行されたものかどうかを確認します。これは、あらかじめブラウザやパソコンに登録されているルート証明書という情報を使って行われます。もし証明書が信頼できないものであれば、警告が表示されます。また、サーバー証明書に記載されたドメイン名が、実際にアクセスしようとしているウェブサイトのドメイン名と一致するかどうかも確認します。
- 共通鍵の作成と公開鍵暗号化: サーバー証明書の検証に問題がなければ、あなたのブラウザは通信全体で使う共通鍵という秘密の鍵を作成します。この共通鍵を使って、実際にやり取りするデータを暗号化します。しかし、この共通鍵をそのままサーバーに送ると、途中で盗まれる可能性があります。そこで、先ほどサーバーから送られてきた公開鍵を使って、この共通鍵を暗号化してサーバーに送ります。
- 秘密鍵による復号: サーバーは、受け取った暗号化された共通鍵を、自身が持っている秘密鍵という特別な鍵を使って復号（元の状態に戻すこと）します。この秘密鍵は、サーバー証明書を発行してもらう際に認証局から一緒に発行されるもので、サーバーの管理者しか知らない非常に重要な情報です。
- 暗号化された通信: これで、ブラウザとサーバーは共通の秘密の鍵（共通鍵）を安全に共有することができました。以降の通信では、この共通鍵を使ってデータが暗号化されたり、複合化されたりするため、第三者には内容が分からなくなります。例えば、クレジットカードの情報などを入力しても、暗号化されて送られるため、安全にやり取りができるのです。この暗号化と複合化は、データのやり取りのたびに常に行われます。
SSL導入のメリット
ウェブサイトにSSL（HTTPS）を導入することには、以下のようなメリットがあります:
- セキュリティの向上: 通信が暗号化され、盗聴や改ざんのリスクを減らすことができます。
- 信頼性の向上: HTTPSで始まるウェブサイトは、ユーザーに安心感を与え、信頼性を高めることができます。
- 警告表示の回避: SSL化されていないウェブサイトでは、ブラウザに警告が表示されるようになり、ユーザーの離脱につながる可能性があります。HTTPS化することで、このような警告を避けることができます。
- SEO対策: Googleなどの検索エンジンは、HTTPS化されているウェブサイトを評価する傾向があります。
まとめ
SSL（TLS）は、インターネット上での安全な通信に欠かせない技術です。あなたの情報が第三者から守られ、安心してウェブサイトを利用するために、HTTPSで始まるウェブサイトを選ぶことが重要です。ウェブサイトの運営者も、ユーザーの安全のためにSSL/TLSを適切に設定することが求められています。
参考動画リンク
- SSLとは？なぜ必要？意味や仕組み、メリットを解説【初心者向け】: https://www.youtube.com/watch?v=egXsG_KG-28
- 【#69 CCNA CCNP ネットワークスペシャリスト対策】SSL/TLSってなんだ？: https://www.youtube.com/watch?v=b9650FQB0_w
- 【徹底解説】SSLの仕組みとは？なぜhttpsを使うのか: https://www.youtube.com/watch?v=8pbS_R4-wiw