SSLとは？
SSL（Secure Socket Layer）とは、インターネット上でデータ送信を安全にするための暗号化プロトコルです。
個人情報やクレジットカード番号を取り扱っているWebサイトにおいて、情報漏洩を防止するために広く利用されています。
また暗号化以外の特徴として、下記が挙げられます。
- なりすましの防止
- 電子証明書により相手の本人性を証明
ほかにもSSLは、WebサーバとWebブラウザ間で通信する際にデータを暗号化する技術です。
例えばインターネットバンキングで利用者を登録する際に、SSLが活用されています。
入力された登録情報は、暗号化された状態で金融機関のWebサーバーに送られるため、通信途中で情報を盗まれる心配がありません。
また、WebブラウザからSSLが使用されたサイトに接続する際には、http「s」が表示されています。
錠のマークが表示されたりアドレスバーが緑色に変わったりするので、SSL通信が使用しているかどうか確認が可能です。
SSLの仕組み
SSLの仕組みは、下記の通りです。
- ブラウザがSSL通信をサーバーに要求する
- 公開鍵を含んだサーバー証明書が送信される
- 受け取った公開鍵で共通鍵を作成して、暗号化されたデータをサーバーに送信する
- 共通鍵で暗号化されたデータをブラウザとサーバー間でやりとりする
SSLでは、特定のブラウザとサーバー間でのみ使用できる「共通鍵」を使い暗号化を行います。
共通鍵とは、サーバーとクライアントで使用する最もセキュリティ強度の高い暗号方式です。
仮にデータ送信の途中で不正アクセスによってデータが流出した場合も、共通鍵によってデータの悪用を防止できます。
こちらの記事では、サーバーの基本概念や役割、選び方のポイントを解説しているので、ぜひ参考にしてください。
SSLとTLSの違い
SSLとTLS（Transport Layer Security）の違いは、暗号化プロトコルのバージョンです。
以前はSSLが一般的に使用されていたのですが、セキュリティの脆弱性が発見されました。
そこから、SSLの改良版として登場した暗号化プロトコルがTLSです。
また、現在SSLは廃止されていますが、名前が広く知れ渡っていることから今でも「SSL」と呼ばれています。
電子証明書では「SSL証明書」と呼ばれていますが、正しくは「SSL/TLS証明書」と呼ぶので覚えておきましょう。
SSL導入のメリット
SSL導入のメリットは、下記の4つです。
- 情報漏洩・改竄を防止できる
- ユーザーに安心感を与えられる
- 運営元の信頼をアピールできる
- SEO面で有利になる
それぞれ解説していきます。
情報漏洩・改竄を防止できる
SSLの導入によって、情報漏洩・改竄を防止できます。
第三者が暗号化された情報を解読するには、暗号鍵が必要です。
つまりSSLを導入しないことで、下記のリスクが考えられます。
- データ送信途中で盗み見されたり、書き換えられたりする
- 自社の信用情報を失ってしまう
ほかにも、暗号化されていないWi-Fiを利用する際に発生する中間車攻撃やCookieの盗聴も挙げられるでしょう。
認証局が発行するSSLサーバー証明書で全てのページを暗号化することで、ユーザーにとっても安全なWebサイトを構築できます。
ユーザーに安心感を与えられる
SSLの導入は、ユーザーに対して安心感を与えられます。
2018年10月以降で、SSLが未対応のWebサイトにあるフォームを入力する際に、「保護されていない通信」と警告が表示されるようになりました。
そのためSSLが導入されていない場合、ユーザーに不信感を与えるだけでなく、問い合わせ数の減少・離脱率の上昇につながります。
「SSL化＝危険性の高いWebサイト」とイメージされてしまうため、ユーザーに安心感を与えるためにSSLは導入しましょう。
運営元の信頼をアピールできる
SSLを導入することでSSLサーバー証明書が発行されるため、運営元の信頼をアピールできます。
SSLサーバー証明書とは、Webサイトの実在性を確認して、ブラウザとWebサーバー間でデータを暗号化するための電子証明書です。
また、SSLサーバー証明書には下記の種類があります。
- ドメイン認証型：ドメイン所有者とSSL証明書の申請者が一致していることを証明して、ドメインの使用権を保持する
- 企業認証型：ドメイン認証より信頼性は劣るが、個人情報収集ページが設けているWeサイトを利用する際に使用される
- EV認証型：世界基準の認証ガイドラインに基づき、ドメイン認証型・企業認証型より信頼性の高い証明書
つまりSSLサーバー証明書が発行されている企業のWebサイトは、認証局から実在が認められた企業といえるでしょう。
SEO面で有利になる
SSLの導入は、SEO面で有利になります。
2014年にGoogleは、SSL化したWebサイトの方が検索順位に良い影響があると発表しました。
実際に株式会社フィードテイラーが行った調査によると、全上場企業の91%がSSL化に対応済であると分かっています。
つまりSSL化は当然の施策になっており、導入価値があるといえるでしょう。
出典：常時SSL化 調査レポート 上場企業サイト対応状況（2023年5月版）
SSL導入のデメリット
SSL導入のデメリットは、下記の4つです。
- 導入・維持にはコストがかかる
- 表示スピードが遅くなる場合がある
- Webサーバーの専門知識が必要
- ホームページ自体は攻撃から守れない
それぞれ解説していきます。
導入・維持にはコストがかかる
企業がSSLを導入・維持する際は、初期費用と維持するためのコストが数千円〜数十万円ほど発生します。
そのためSSLを導入する際は、導入メリットと天秤にかけて判断しなければいけません。
実際に天秤にかける際は、下記のポイントを意識しましょう。
- 自社のコスト削減を優先すべきか
- ユーザーの安全性の確保を優先すべきか
- 他社のSSLを比較して再度検討するべきか
費用を抑えるには、無料で利用できるSSLもあります。
しかし無料SSLは、ドメイン所有者がSSLを申請した記録しか分かりません。
そのためユーザーに安心感を与えるためにも、有料のSSLが望ましいでしょう。
表示スピードが遅くなる場合がある
SSLの導入によって、Webサイトの表示スピードが遅くなる場合があります。
遅くなる理由は、Webサイトの情報をユーザーのデバイスに届ける際に暗号化の手間がかかるためです。
暗号化のステップが入ることで、各ページが表示されるまでの時間が長くなる可能性があります。
とはいえ、現在はパソコンやスマートフォンのCPU性能が飛躍的に向上しているので、表示速度の遅延は感じにくいでしょう。
Webサーバーの専門知識が必要
SSLの導入には、Webサーバの専門知識が必要です。
そのため企業によっては、技術面でのハードルを感じてしまうでしょう。
具体例として、下記の2つがあります。
- ソフトウェアやアプリケーションの設定変更が必要
- 「http」から「https」にする際の設定を自ら行わなければならない
また、企業のホームページを作成ソフトで自作している場合は、さらに導入が困難と感じてしまうかもしれません。
ほかにはホームページ担当者が退職してしまった場合、後任が何をすれば良いのか分からない可能性もあります。
こちらの記事では、「HTTP」と「HTTPS」の違いや移行方法、運営時のポイントを解説しているので、ぜひ参考にしてください。
ホームページ自体は攻撃から守れない
SSLはWebサイトに訪れたユーザーは守れますが、ホームページ自体は攻撃から守れません。
SSLには情報を盗んだり傍受したりする効果がありますが、守れる対象は訪問者のみです。
特にホームページの脆弱性を突いた攻撃を受けると、ユーザーの氏名や住所、電話番号などが盗まれてしまい、甚大な被害が発生します。
そのため訪問者や自社のホームページを守るために、SSLだけでなくWAFも併用しましょう。
こちらの記事では、WAFの特徴や種類、おすすめのWAF製品を紹介しているので、ぜひ参考にしてください。
SSLの種類
SSLには3つの種類があるとお伝えしましたが、さらに深掘りしていきます。
- ドメイン認証型
- 企業認証型
- EV認証型
ひとつずつ解説していきます。
ドメイン認証型
ドメイン認証型とは、ドメインの所有権のみに適用される最もシンプルなSSLです。
特徴として、下記の3つが挙げられます。
- 低価格で利用できる
- 個人や個人事業主が取得できる
- 難しい審査がないので、発行スピードが速い
個人で運営するWebサイトだけでなく、期間限定のキャンペーンサイトやSSLを早急に導入したい企業に向いているでしょう。
また通常であればメール認証と認証局の調査が必要なのですが、ドメイン認証型では不要です。
企業認証型
企業認証型とは、証明書に記載される企業が法的に存在していると証明するためのSSLです。
法人しか登録できないので、個人は利用できません。
企業認証型の特徴は、下記の通りです。
- 証明書情報に組織名が記載される
- Webサイトの信頼性がアップする
また、審査は登記簿謄本や帝国データバンクの情報を活用して行われます。
発行される証明書には「株式会社〇〇」と表示されるため、企業の実在性と安心感につながるでしょう。
EV認証型
EV（Extended Validation）認証型とは、世界基準の認証ガイドラインによって審査が行われる最も厳格なSSLです。
証明書に記載される内容として、下記が挙げられます。
- 企業の所在地
- ドメインの所有者
- 運営企業の法的実在性
- 申し込みの意思と権限
EV認証型を取得する際は、認証局によって審査が行われます。
そのため知名度が高い企業や官公庁のWebサイトで使用されているSSLといえるでしょう。
SSLはどうやって導入するのか
SSLを導入する際は、通信暗号化に必要な鍵とSSLサーバー証明書が必要です。
サーバー証明書には、第三者機関の審査を経て発行されている電子証明書が必要なので覚えておきましょう。
実際の導入手順は、下記の通りです。
- SSLサーバー証明書を発行するためにCRSを作成
- 認証局の申し込みフォームに必要事項を入力して申請
- 印鑑証明書や登記簿謄本などの書類が必要であれば認証局に送付
- 発行された証明書をサーバーに保存して、インストールを行う
SSLサーバー証明書を発行している認証局は、暗号化プロトコルを「売る」行為だけでなく、企業の実在性やドメインの所有者を証明するための審査も行なっています。
まとめ
今回は、SSLの意味や導入するメリット、導入までの流れを解説しました。
SSL（Secure Socket Layer）とは、インターネット上でデータ送信を安全にするための暗号化プロトコルです。
導入するメリットとして、下記の4つがあるとお伝えしました。
- 情報漏洩・改竄を防止できる
- ユーザーに安心感を与えられる
- 運営元の信頼をアピールできる
- SEO面で有利になる
また、SSLとTLSでは暗号化プロトコルのバージョンが異なります。
本記事でお伝えしたSSLの種類や導入までの流れも参考にして、セキュアな環境を構築しましょう。
【SNSフォローのお願い】
kyozonは日常のビジネスをスマートにする情報を毎日お届けしています。
今回の記事が「役に立った！」という方はtwitterとfacebookもフォローいただければ幸いです。
twitter：https://twitter.com/kyozon_comix
