ざっくり学ぶ、情報セキュリティマネジメント #6-8

SSL/TLS

動画が見られない場合は

この動画は、無料公開期間を経た後、メンバーシップ限定動画になります。動画見放題のメンバーシップ（月額990円）を是非ご利用ください。

Webサイトを閲覧するときに利用できる暗号化通信技術。フォームなどで送信するときの情報や、ログイン後のページなどで個人情報を確認するときなどにも、情報を暗号化して送信することができます。

元々は、SSL（Secure Socket Layer）という暗号化技術が使われていましたが、こちらはすでに危険性が指摘されていて、現在では改良された「TLS（Transport Layer Security）」が利用されています。

ただし、「SSL」という言葉が浸透してしまっていたため、「SSL/TLS」と記述したりまたは「SSL」という言葉にTLSを含めてしまうこともあります。

デジタル証明書

SSL/TLSを利用したい場合は、最初にWebサーバーに「デジタル証明書」というものをインストールします。

これは、認証局（CA）という組織に年間維持費を支払って、自社の存在証明などを申請することで取得できるもので、これをインストールするとTLS/SSL通信が可能になります。

CAは、この証明書の「公開鍵」をWebブラウザに配布していて、この公開鍵を使うことで、Webサーバーが提供する証明書が正しいかを判断することができます（詳しくは、デジタル署名のしくみも参照）。

こうして、Webサーバーが信頼できると、クライアントは手持ちの公開鍵を使ってキーを生成して暗号化します。そして、Webサーバーに送信します。

そしたら、このキーを利用して互いに共通鍵を生成します。これで通信の準備が完了です。この共通鍵を使って、暗号化したら送受信していきます。

HTTPとHTTPS

SSL/TLS通信が行われると、Webサイトを見るときのアドレスが「http」から「https」に変化します。

かつては、暗号化をするとWebサーバーに負担がかかることや、証明書の取得にお金がかかることから、暗号化が不要なWebサイトの場合（すべて公開情報だけで構成されているWebサイトなど）では、SSL/TLSを利用しないのが一般的でしたが、Google等が暗号化通信を推奨するようになり、現在では非SSL/TLS通信の場合は警告なども表示されるようになりました。