No.023

https://△△△.jp

今改めて知っておきたい、サーバー証明書の基礎知識〜サーバー証明書の役割とその概要〜
SSL/TLS を用いた安全な通信を実現するために Web サーバーに設定される「サーバー証明書」の役割とその概要について解説します。

■ SSL/TLSによる通信の保護
本物のWebサイトに似せた偽サイトに利用者を誘導し、利用者がそれと気付かずに入力した機密情報の盗み取りを図使われています。

■

サーバー証明書の役割〜 SSL/TLS による安全な通信の実現〜

るフィッシングの事例が、多数報告されています。
最近のWebサーバーにサーバー証明書をインストールすること

フィッシングでは、利用者に送りつける電子メールアドレスで、WebブラウザーとWebサーバーの間のHTTP（Hypertextの差出人の詐称に留まらず、その内容の偽装についても精巧Transfer Protocol）の通信をSSL/TLSで保護し、インターネッなものとなっており、誘導の手口が巧妙化しています。

（*3）
。
トをより安全に利用できるようになります（図1）

フィッシングの事例が増加している背景として、電子商取引（EC）やネットバンキングなど、インターネットがさまざ
www.example.jp

まな経済活動に利用されるようになったことが挙げられまhttps://www.example.jp/

す。
また、現在では税金の電子申告や国勢調査の回答など、国や政府の重要な手続きにもインターネットが利用されてい保護された通信（HTTPS）ます。
こうした活動や手続きにインターネットを利用する場合、第三者に通信を盗聴されることで認証情報やクレジットカード情報が漏えいしたり、通信内容を途中で改ざんされたりすることがないようにする必要があります。

Webブラウザーがアクセス時に、サーバー証明書の内容を自動検証

www.example.jp
サーバー証明書

図 1 サーバー証明書による通信の保護

フィッシングの検知や通信の盗聴・改ざんの防止には、暗通信がSSL/TLS で保護されている場合、Web ブラウザーのア号技術を用いた通信の保護が有効です。
通信を保護すること

ドレスバーの表示がhttp からhttps に変わります（*4）。HTTPS のSで以下の四つの項目が実現され、より安全に情報をやりとりはSecure（安全）を表しており、安全な通信が行われていることできるようになります。

を示します。

① 通信相手の本人性確認：なりすましの防止② 通信路の暗号化：盗聴からの保護■ サーバー証明書の種類
現実世界の証明書には、社員証や学生証などのように民間③ 通信内容の保護：通信内容の改ざんの検知の組織が発行するものから、住民票、運転免許証、パスポート④ 通信相手の否認防止：通信した事実と内容の事後証明などのように公的な機関が発行するもの、それも比較的手軽に発行可能なものから、発行に際し厳密な本人確認の手続き

インターネットの通信、特にTCPのようなコネクション型の通信を保護するためのプロトコルとして、TLS（Transportが求められるものまでさまざまなものがあり、それに応じて証明書の信頼度も変わってきます。

TLSは 当 初、
SSLLayer Security）
が 標 準 化 さ れ て い ま す（*1）。
（Secure Sockets Layer）として標準化されましたが、SSLのプ（*1）本稿執筆時点の最新版は2008年にリリースされたTLS 1.2であり、セキュリティをよロトコル仕様には致命的な脆弱性が発見されており、TLSへ（*2）
「常時SSL化」「SSLサーバー証明書」など、SSLという名称は現在も広く使われています。の移行が強く推奨されています（*2）。
SSL/TLSはインターネットをより安全に利用するために必要不可欠な技術であり、サーバー証明書はその実現のためにり強化したTLS 1.3の開発が進められています。
そのため、本コラムではSSL/TLSと表記しています。
（*3）サーバー証明書を用いたSSL/TLSによる通信の保護は、Webサーバー以外のサーバーでも利用できます。
（*4）Google Chromeではアドレスバーに「保護された通信」と表示されます。EV証明書（後述）の場合、組織名なども表示されます。

掲載内容は2017年11月現在のものです。

Copyright © 2017 株式会社日本レジストリサービス

JAPAN REGISTRY SERVICES今改めて知っておきたい、サーバー証明書の基礎知識

サーバー証明書も同様に、Domain Validation（DV）証明書、認証局は、発行した証明書が何らかの理由で信頼できなくOrganization Validation（OV）証明書、Extended Validationなった場合に、その証明書を失効する役割も担います。
証明（EV）証明書の三種類があります。

書の失効が必要になる例として、記載事項の変更、事故によDV証明書は、申請者がそのドメイン名の管理者であることを確認します。
比較的手軽に発行できますが、組織を認証る秘密鍵の流出、第三者による秘密鍵の盗難などが挙げられます。

しているわけではないため、証明書をインストールしたWeb

認 証 局 は、
証 明 書 の 発 行 と 失 効 に よ り、
暗号理論ページを表示する際、Webブラウザーに組織名が表示されま（Cryptography）における信頼できる第三者機関（Trustedせん。
また、そのドメイン名の管理者であることを確認できれば、既存のドメイン名に似せたドメイン名、つまり、フィッシングに悪用される恐れのあるドメイン名に対しても、発行（*6）の役割を果たします。
Third Party）■ 認証局の信頼性
認証局の運用の不備によりセキュリティ上の問題が引きは可能ということになります。
一方、OV証明書は、組織が確かに存在すること（実在性）を起こされたケースが、これまでにいくつか報告されていま電話による調査や登記簿の確認など、いくつかの手段で認証す。
2011年にはオランダの認証局であったDigiNotarが外部した上で発行されます。
OV証明書はその点で、DV証明書よりから攻撃を受け、500以上の偽のサーバー証明書が発行されも信頼性が高いと言えます。

る事件が発生しました。

そして、金融機関など、より高い信頼性が求められる組織どの認証局を信頼するかは、各Webブラウザーの信頼されにおいて、EV証明書が使われるケースが増えています。
EV証たルート証明書（Trusted Root Certiﬁcates）の設定内容に依（*5）の統一基準に基存します。
DigiNotarの事件では、主要なWebブラウザーからづく、厳密な認証を経て発行されます。
EV証明書では、インス同社の証明書が除外されて信頼されない認証局となり、同社トールされたWebサイトにアクセスするとWebブラウザーは2011年9月に廃業しました。

明書は業界団体であるCA/Browser Forumのアドレスバーが緑色になり、証明書に記載された組織名が表示されるようになっています。

■

こうした事柄を踏まえ、サーバー証明書の発行を受ける際には料金だけでなく、各認証局の管理体制や運用状況なども事前に確認しておくとよいでしょう。

認証局の役割〜証明書の発行と失効〜■ 最近の状況

サーバー証明書をはじめとする電子証明書は、認証局（CA: Certiﬁcate Authority）が発行及び失効を行います。

2015年に、パフォーマンスの向上やデータ転送量の効率化などを図ったHTTPの新バージョンである、HTTP/2が標準

サーバー証明書ではそのサーバーの管理者が申請者とな化されました（RFC 7540）。
Google Chrome、Mozilla Firefox、り、認証局に発行を申請します。
申請を受けた認証局は申請

Microsoft EdgeなどのWebブラウザーでは保護された通信者の実在性を所定の方法で確認（認証）し、確認できた相手路、つまり、HTTPSにおいてのみ、HTTP/2をサポートすることに対し、証明書を発行します（図2）。

を表明しています。
また、
Googleは2014年に検索エンジンの順位決定の要素

認証局（CA）の一つとして、HTTPSによる通信の保護、つまり「常時SSL化」の有無を検索結果のランク付けに加味すると発表しており、いわゆるSEO対策という観点からも、WebサイトのSSL/TLSへの対応が必要になっています（*7）。
こうした動きからもSSL/TLSによる通信、そしてその実現

www.example.jp

HTTPSに不可欠なサーバー証明書の役割が、ますます重要になっています。

③Webサーバーに証明書を設定（*5）電子証明書を使った通信の安全性やその利便性を向上させるためのガイドラインを策定している、会員制の任意団体です。主要な認証局とWebブラウザーのベンダーが図 2 認証局によるサーバー証明書の発行メンバーとなっており、策定されるガイドラインは業界標準となっています。
（*6）通信の当事者（送信者と受信者）双方から信頼される、通信の当事者以外の第三者機関。
（*7）HTTPS をランキング シグナルに使用します。
<https://webmaster-ja.googleblog.com/2014/08/https-as-ranking-signal.html>「JPRS トピックス＆コラム」バックナンバー https://jprs.jp/related-info/guide/

Copyright © 2017 株式会社日本レジストリサービス