SSLサーバー証明書はなぜ値段が異なる?何のために高い証明書を買うのか?Webの安全を守るHTTPSという通信方式があります。Webサイトのユーザーはあまり意識することがないと思いますが、Webサーバーを構築する事業者などであれば「サーバー証明書」というものを取得したことがあることでしょう。このサーバー証明書ですが、発行する認証局によってはもちろん、同じ認証局でも複数の証明書の選択肢があって価格が異なることがあります。何が違うのでしょうか?SSLサーバー証明書Webの通信を安全するためにはHTTPSという通信の方式を使います。HTTPSを使うことで、WebサーバーとWebブラウザの間の通信を「盗聴」「改ざん」「なりすまし」から守ることができます。このHTTPSを構成する要素の一つに「SSLサーバー証明書」と呼ばれるものがあります。Security)がありますが、現在SSLの実装であるSSL2.0と3.0は廃止されていてSSLというプロトコル自体はすでに使用しないことになっていて、現在ではTLSのみの使用が推奨されています。そのため現在では「SSLサーバー証明書」は「TLSサーバー証明書」と呼ぶべきかもしれませんが、一般的には旧来からの呼び方である「SSLサーバー証明書」と呼ばれています。ここでは単に「サーバー証明書」と呼ぶことにします。サーバー証明書にはサーバーの運営者についての情報と、通信時のデータを暗号化するのに必要なWebサーバーの公開鍵が含まれています。これに認証局がデジタル署名というものを施したものがサーバー証明書になります。このデジタル署名が施されていることで、あらかじめブラウザに登録されている認証局の公開鍵によって正しいサーバー証明書かどうかを検証することができます。運営者情報と公開鍵が正しいサーバーが発行したものだということを確認することができるのです。これによって正しいWebサーバーであることを確認し、サーバーとクライアント間で安全に鍵(のもとになる情報)を交換することで安全な通信を実現しています。サーバー証明書の種類サーバー証明書にはいくつかの種類があります。(OV)証明書」「EV証明書」と分かれています。・ブラウザのアドレスバーに組織名が表示されるEV証明書を買うのがベストなのか?DVやOVに比べてEV証明書は、非常に信頼性が高いと謳っている認証局もあり、EV証明書を買うのがベストなように思われます。DV/OV/EVの認証方式によって証明書自身の機能は何も変わりません。強力な暗号方式になるとかそういう機能はありません。いうことは、ユーザーにとって盗聴や改ざんからより強く守られるわけではありません。(認証局によっては、使用している暗号アルゴリズムや鍵長によって価格差を付けているところもあります。)認証局のWebサイトなどで「EV証明書は非常に信頼性が高い」などと謳っているところをみると、DV/OV/EVの認証方式の違いは「信頼性」のようです。DVはドメインの所有者しか確認しませんし、OVは企業認証を行ってくれますが、その違いはユーザーにはほとんどわかりません。それに比べてEV証明書は、EV証明書を使用していることをブラウザに表示してくれます。わかりやすいと謳っています。ほとんどの人は気が付きすらしていないと思います。この程度の信頼性しかEV証明書はユーザーには与えていないのです。これ以外にもどこの認証局が発行したサーバー証明書を使うのかという観点もあります。証明書はサーバーとクライアント以外の“信頼できる”第三者の認証局が発行するものです。信頼できるというのは認証局のデジタル署名が検証できるという技術的なことはもちろんですが、その認証局自身が秘密鍵を盗まれてしまわないかといったセキュリティレベルであったり、倒産しないかといったリスクも関係してきます。これもユーザーにとってはあまり関係のないことですね。ブラウザのEV証明書をやめるGoogleがある大規模なフィールド実験を行った結果、EV証明書によるブラウザの表示はセキュリティ対策として効果があるか不明だという結論を出しています。ユーザーはEV証明書だろうが、そうでなかろうが行動に変化はないと。参考:https://www.usenix.org/system/files/sec19-thompson.pdfその結果などを踏まえて、ChromeブラウザはEV証明書による表示変更を2019年9月10日から廃止することになりました。ちなみに2018年にAppleはiOS12でSafariブラウザのEV証明書による表示変更をやめています。ブラウザの表示に差がなくなると、ユーザーとしてはなおさらDV/OV/EVの認証方式の違いを確かめることは容易ではなくなってきます。多くの場合はDV<OV<EVの順で証明書を取得するコストは高くなります。暗号強度などに差がなく、ユーザーにとっては認証方式による信頼性の差を感じないのだとしたら、高い証明書を買う必要があるのでしょうか?証明書を取得する際には、何を必要としているのかを今一度考え直した方がよいかもしれません。すると、高い証明書を買う必要はないのかもしれませんよ。リカバリディスクの作成方法。