SSL -Secure Sockets Layer

SSLとは？

SSL (Secure Sockets Layer) は、インターネット上でデータを暗号化して送受信する仕組み（プロトコル）です。ウェブサイトにSSLを導入すると、ブラウザとウェブサーバー間の通信が暗号化され、第三者による盗聴や改ざん、なりすましなどを防ぐことができます。

SSLの仕組み

SSLは、公開鍵暗号方式と共通鍵暗号方式を組み合わせたハイブリッド暗号方式を採用しています。

1. ハンドシェイク: ブラウザとウェブサーバーは、SSL通信を開始する前に「ハンドシェイク」と呼ばれるプロセスで、暗号化方式や鍵の交換などを行います。
2. 公開鍵暗号方式: サーバーは、公開鍵と秘密鍵のペアを作成し、公開鍵をブラウザに送信します。ブラウザは、この公開鍵を使って共通鍵を暗号化し、サーバーに送信します。
3. 共通鍵暗号方式: サーバーは、秘密鍵を使って共通鍵を復号します。以降の通信は、この共通鍵を使って暗号化されます。

SSLのメリット

• 盗聴の防止: 通信内容が暗号化されるため、第三者に盗み見られる心配がありません。
• 改ざんの防止: データが改ざんされると、暗号化が解読できなくなるため、改ざんを検知できます。
• なりすましの防止: サーバーの身元が証明書によって保証されるため、偽のウェブサイトにアクセスしてしまうリスクを減らせます。

SSLの導入

SSLを導入するには、SSL証明書を取得し、ウェブサーバーに設定する必要があります。SSL証明書は、認証局 (CA) と呼ばれる機関から発行されます。

SSL証明書の種類

SSL証明書には、ドメイン認証 (DV) SSL証明書、企業認証 (OV) SSL証明書、拡張認証 (EV) SSL証明書など、様々な種類があります。

SSL証明書は、認証レベルによって主に3種類に分けられます。

ドメイン認証（DV）SSL証明書

• • ドメインの所有者であることを確認する証明書です。
  • 審査が比較的簡単で、発行までの時間が短く、費用も安価です。
  • 個人サイトやブログなど、セキュリティ要件が厳しくないサイトに適しています。

企業認証（OV）SSL証明書

• • ドメインの所有者であることに加え、組織の実在性を確認する証明書です。
  • 審査には企業情報の提出が必要で、DV証明書よりも発行に時間がかかります。
  • 企業サイトやECサイトなど、一定レベルのセキュリティが必要なサイトに適しています。

拡張認証（EV）SSL証明書

• • 企業の実在性を厳格に審査する証明書です。
  • 審査が最も厳格で、発行までに時間がかかりますが、信頼性が最も高い証明書です。
  • 金融機関や官公庁のサイトなど、高いセキュリティが必要なサイトに適しています。

SSLとTLS

TLS (Transport Layer Security) は、SSLの後継プロトコルです。SSLとTLSは互換性があり、一般的に「SSL/TLS」と総称されます。

代表的なSSL発行元

代表的なSSL証明書発行元と、それぞれの特徴を簡単に紹介します。

1. Let’s Encrypt

• 特徴: 非営利団体 Internet Security Research Group (ISRG) が運営する認証局で、無料でDV SSL証明書を発行しています。自動更新ツール Certbot が提供されているため、導入・運用が容易です。
• メリット: 無料であること、導入が簡単なことが最大のメリットです。
• デメリット: DV証明書しか発行していないため、企業認証や拡張認証が必要な場合は利用できません。また、サポートはコミュニティベースです。
• 向いているユーザー: 個人サイト、ブログ、小規模なウェブサイトなど、コストを抑えたいユーザー。

2. Sectigo (旧 Comodo)

• 特徴: 世界で最も多くのSSL証明書を発行している認証局です。DV、OV、EVすべての種類の証明書を発行しており、幅広いニーズに対応できます。
• メリット: 豊富な種類の証明書から選択できること、信頼性が高いこと、日本語でのサポートが充実していることがメリットです。
• デメリット: Let’s Encryptと比べると費用が高めです。
• 向いているユーザー: 企業サイト、ECサイトなど、信頼性とセキュリティを重視するユーザー。

3. GlobalSign

• 特徴: 世界中で広く利用されている認証局です。DV、OV、EVすべての種類の証明書を発行しており、日本語でのサポートも充実しています。
• メリット: 信頼性が高いこと、日本語でのサポートが充実していること、様々な種類の証明書を提供していることがメリットです。
• デメリット: Let’s Encryptと比べると費用が高めです。
• 向いているユーザー: 企業サイト、ECサイト、官公庁のサイトなど、信頼性とセキュリティを重視するユーザー。

4. DigiCert

• 特徴: 高い信頼性とセキュリティを誇る認証局です。OV、EV証明書を中心に発行しており、大企業や金融機関での利用が多いです。
• メリット: 信頼性とセキュリティが非常に高いこと、ブランド力があることがメリットです。
• デメリット: 費用が高めです。
• 向いているユーザー: 大企業、金融機関、官公庁など、最高レベルのセキュリティを求めるユーザー。

5. さくらインターネット

• 特徴: 日本のレンタルサーバー事業者であるさくらインターネットが提供する認証局です。DV、OV、EVすべての種類の証明書を発行しており、日本語でのサポートが充実しています。
• メリット: 日本語でのサポートが充実していること、さくらインターネットのサービスとの連携がスムーズなことがメリットです。
• デメリット: 他の認証局と比べると、知名度がやや低い。
• 向いているユーザー: さくらインターネットのサービスを利用しているユーザー、日本語でのサポートを重視するユーザー。

SSL証明書発行元の選び方

SSL証明書を選ぶ際は、ウェブサイトの規模や種類、セキュリティ要件、予算などを考慮する必要があります。

• 個人サイトやブログなど、セキュリティ要件が厳しくない場合は、Let’s Encryptなどの無料のDV証明書で十分です。
• 企業サイトやECサイトなど、一定レベルのセキュリティが必要な場合は、OV証明書を検討しましょう。
• 金融機関や官公庁のサイトなど、高いセキュリティが必要な場合は、EV証明書がおすすめです。

SSLの重要性

インターネット上でのセキュリティ対策として、SSLは非常に重要です。特に、個人情報やクレジットカード情報などを扱うウェブサイトでは、SSLの導入が必須と言えます。

SSLに関する補足

• SSLは、ウェブサイトだけでなく、メールやVPNなど、様々な通信を保護するために利用されています。
• SSL証明書は、有効期限があります。有効期限が切れると、ブラウザに警告が表示されるため、更新が必要です。
• 最近では、ほとんどのブラウザがSSLに対応しており、SSL化されていないウェブサイトにアクセスすると警告が表示されるようになっています。

関連用語

• ACMEクライアント