SSLサーバ証明書のしくみ

11.04.11 / こあくまベリサイン訪問記 / Author: aico

実はこのあいだ、ネットで応募した映画の試写会に当たったので試写会に行ってきました。

試写会に応募するときは、インターネットで試写会の参加申込フォームで名前や住所、電話番号などの個人情報を記入して応募します。

でも、ふと思ったのです。

画面の向こうの見えない相手に自分の個人情報をこんな簡単に渡しちゃって大丈夫なのかな？

本物そっくりにつくられてる偽サイト(フィッシングサイト)と、本物のサイトを見分けるにはどうしたらいいんだろう？

…ということで、今回はSSLサーバ証明書についてベリサインさんに教えてもらいました！

フィッシングって知っていますか？

フィッシングサイトとは、悪意を持った第三者が実際にある金融機関や有名企業を装いメールなどで偽のサイト(フィッシングサイト)のURLを送りつけ、

クレジットカード情報や個人情報をだまし取る行為のことです。

近年では、yahoo!オークションのフィッシングメールが大量発生するなど日本のフィッシングサイトの発生件数は年々増加しています。

フィッシングサイトは本物のサイトそっくりに作られているため一見すると違いがよくわかりません。

フィッシングサイトとそうでないサイトを区別できますか？←ベリサインさんのサイト！やってみてください〜

インターネットの世界は取引する相手が目に見えません。

ではどうすれば相手が本物の実在する企業や組織であるということを確認できるのでしょうか？

SSLって何だろう？でもあるように、

SSLには、個人情報など大事な情報を暗号化し、ベリサインなどの第三者の認証機関がページの運営企業や組織が存在することを認証する仕組みがあります。

そして、ベリサインなど第三者の認証機関がページの運営者が実在し、本物のサイトであることを証明するために発行するのがSSLサーバ証明書です。

SSLサーバ証明書には、大きく分けて企業認証型とドメイン名認証型の２つがあります。

ドメイン名認証型SSLサーバ証明書では、ドメインの所有者と証明書発行を申し込んできた運営者が同一であることを確認します。

しかし、ドメイン名認証型のSSLサーバ証明書には、暗号化機能はあるけれど、本物のサイトであることを証明する機能がありません。

そのため、ドメイン名認証型が使われるのは、個人のサイトや、サイトの利用者の少ないページで利用されており、

映画の試写会の応募サイトなど多くの人が見るページで使われるのは、企業認証型のSSLサーバ証明書です。

企業認証型のSSLサーバ証明書を発行するには、ドメイン名の登録名義の確認に加えて、

帝国データバンクや登記事項証明書の確認、電話による申請者の在籍・役職と申請の意思確認などが行われます。

また、企業認証型でもEV SSLでは、事業所の実在性の確認と事業所への申請責任者確認書の送付・返送が必要など、

実在証明の認証内容がより強化されています。

では、もし認証されたサイトを運営する企業や組織が不正を起こしてしまったらどうなってしまうのでしょう？

ベリサインなどの認証機関には発行した企業や組織の最新の情報が保有されています。

そのため、認証されたサイトを使った不正が発覚した場合、すぐに証跡を確認することが出来ます。

また、不正が発覚すると証明書は失効され、私たちサイト利用者にわかりやすいように失効されていることを警告する画面が表示されるようになります。

このように、不正をしても足がつきやすいことから、企業認証型のSSLサーバ証明書には犯罪の抑制という効果もあります。

では、このSSLサーバ証明書、私たちサイトのユーザーはどのようにして確認すればよいのでしょうか？

つづきます！