SSL暗号化通信とSSL証明書の違い【SSLは100%安全ではない】

みなさん、こんにちは！

ブリュの公式ブログ.netにお越しいただきまして、ありがとうございます。

このサイトでは、ITについて特化したサイトを運営しています。

今回は、SSL化されたサイトは安全なのか？について、SSL証明書の観点から解説します！

SSL通信とSSL証明書の違い（基本的に別物です。）

基本的に、SSL通信とSSL証明書は別物です。

• SSL通信：通信経路の安全性を暗号化により保障するもの
• SSL証明書：通信相手の信頼性（実在性）を保証するもの

ポイントとして、SSL証明書がなければSSL通信はできません。

しかし、キーになるのSSL証明書は、認証レベルの低いもの（実在性まで保証していないもの）であれば、誰でも発行できます。

つまり、誰でも発行できる信頼性の保証されていないSSL証明書を使用したSSL通信を行った場合、通信経路は安全ですが、通信相手が危険という状況が起こりえます。

SSL通信は、通信の安全性を保障するもの

SSL化されたサイトは安全であるとの認識がありますが、それは通信における話だけです。

通信中に、第三者が盗聴あるいは改ざんを行うことが不可能であり、サーバーとの送受信において完全にプライバシーが保護されるためです。

したがって、SSL化されているサイトでクレジットカードの情報を入力しても、第三者には漏洩しません。

あくまでも第三者には・・・です。

ですが、そのサイト運営者自体は信頼できるのでしょうか・・・？

実は、詐欺サイトだってSSL化できるんです。

SSL証明書の種類とは？

SSL証明書には、大きく分けて3種類のものが存在します。

ドメイン認証型SSL証明書

ドメイン認証型は、SSL証明書の中では最も信頼性の低いものです。

SSL証明書も、無料のものもあり、この無料のSSL証明書はドメイン認証型です。

独自ドメインの所有権だけを確認できれば、誰でも取得できます。

しかし、ドメインさえあればだれでも取得できるSSL証明書。

もちろん、詐欺サイトだって取得できます。

このドメイン認証型のSSL証明書では、通信を暗号化すること以外に意味はないと思ってください。

絶対に、クレジットカードの情報を入力してはダメです。

第三者への漏洩の心配はないですが、サイト運営者自体への信頼性が全くありませんから。

企業認証型SSL証明書

企業認証型SSL証明書は、ドメインに加えWebサイトを運営している組織の実在性を証明する証明書です。

したがって、最低限、サイトを運営している組織の実在性は証明されています。

第三者機関（調査会社等）が保有する情報の照会を行い、電話による確認などを行うことから、認証強度が強く、高い信頼性のあるSSL証明書です。

これは完全に有料のSSL証明書になります。

EV型SSL証明書

EV型のSSL証明書は、サイトを運営している組織の実在が保証され、さらには所在地の認証も行われます。

さらに、URL欄に、その組織の名称までもが表示されます。

例えば、ノートンのウェブサイトを見てみましょう。

私自身がお世話になっているウイルスセキュリティソフトであるノートンは、シマンテックというアメリカの会社が運営しています。

ちゃんとURL欄に、Symantec Corporation [US]と表示されています。

これが、EV型SSL証明書です。

金融業界でいえば、三井住友海上火災保険が、EV型SSL証明書を導入しているようです。

こちらも、Mitsui Sumitomo Insurance Co., Ltd. [JP]と表示されています。

まとめ

ここまで、SSL暗号化通信とSSL証明書の違いについて説明してきました。

一番知ってほしいことは、SSL通信だからといっても安全ではないことです。

• SSL通信は、通信を暗号化し（改ざん・盗聴からの）安全性を保つもの
• SSL証明書は、サイト運営者の信頼性を保つもの

という違いを知って、詐欺サイトでもSSLは導入できるということを知っておいてください。

いつもと違うネットショップでクレジットカードの情報などを入力する際は、SSL証明書の内容まで確認するようにしてください。

Amazonや楽天でショッピングする際も、誤って偽サイトにアクセスしていないかを確認するようにしましょう。

もし実在しないなど、何らかの不信感があればいったん購入は控えましょう。

では、ネットショッピングを安全に楽しんでください。

これで、詐欺サイトへの不安はなくなります！