国内市場に登場しておよそ1年半が経過し、金融機関を中心に徐々に導入が進んでいる。実際には、どういった効果が期待されるのか。一般消費者や導入企業におけるメリット、および留意点を整理したい。SSLには多くのプレイヤーが存在し、ゆえに絡み合って解決の糸口がなかなか見えてこない問題があることも明らかになってきた。同特集では、そうした現状を数回にわたって紹介する。プロダクトマネージャの阿部貴氏に話を聞いた。SSL証明書が登場した背景には、Webの危険性が高まったことがある。その最大の要因が、フィッシング詐欺だ。銀行Webサイトとまったく同じ見た目の偽サイトを作り、「システム変更に伴うユーザー再登録のお願い」などと、もっともらしいことが書かれたスパムメールからユーザーを誘導。偽サイト上でカード情報を入力させることで、それらをすべて盗んでしまうという手口である。阿部氏によると、2007年12月の時点で、毎月2万5000以上の新しいフィッシングサイトが報告されたという。同氏は「これだけ作られるということは、作る側の費用対効果が大きい証拠」と話す。犯罪が組織化されたことで、おそらくはより効率的に利益を出すシステムが確立されてしまったのだろう。フィッシング詐欺の恐ろしさを端的に示すものとして、2007年12月にGoogleで「厚生労働省」と検索すると偽サイトが1位に表示されたという話がある。キーワードによっては、検索結果のトップ10に複数の偽サイトが入り込むこともあるという。それらすべてがフィッシングサイトではないだろうが、偽サイトという意味では、もう誰がいつ触れてもおかしくないくらい当たり前に存在するようになっている。したことから、一般消費者の間にWebや企業への不信感がまん延していった。2005年の調査では、「企業がセキュリティ対策を十分に行っていない」と感じる者が84%、「オンラインショッピングをまったく行わない」という者が24%に達したと報告されている。オンライン事業者にとってはすでに死活問題だったが、SSL証明書を導入したフィッシングサイトの登場が、さらに不信感を募ることになった。SSL証明書の発行審査基準のあいまいさが問題にSSL証明書の役割は大きく2つある。1つが暗号化通信の実現で、もう1つが通信相手の証明だ。SSL暗号化通信では、Webサーバーから送信される公開鍵を使ってデータを暗号化し、暗号化されたデータを受け取ったWebサーバーは、厳密に管理された秘密鍵を使って復号を行う。SSL証明書はこの暗号化通信を実現すると同時に、通信相手が意図したアクセス先のドメインと一致することを証明し、かつ、企業の実在性も保証してくれる。これらの仕組みによって、エンドユーザーは、正しい相手に通信途中で傍受されることなく、情報を伝達することができるのだ。従来のSSL証明書には、発行審査の基準があいまいであるという問題があった。SSL証明書に通信相手の証明という役割がある以上、その企業が本当に存在し、本当に正当であるか、厳密に審査されなければいけない。ところが例えば、小規模のショッピングサイトなどで「サーバー正当性の証明はいいから、とにかく通信の暗号化だけ行いたい」というニーズがあった際に、審査基準があいまいなために、簡単に応じてしまう認証局があった。フィッシング詐欺師は、この基準のあいまいさを利用し、暗号化通信を実現するためだけにSSL証明書を導入したフィッシングサイトを作成するようになった。httpsページにおいては、まず証明書のエラーが出ないかを確認しなければならない。その上で、フィッシングサイトを見極めるには、Webブラウザのアドレスバーに表示されたURLが本物であるか確認し、次いでWebブラウザの下部に暗号化されていることを示す鍵マークが表示されているかを確認する必要がある。したリテラシーは十分に広まっているわけではなく、ただ単に鍵マークが表示されているだけで、安心だと思い込んでしまうユーザーも多い。そこで、フィッシング詐欺師はSSL証明書を導入して、鍵マークが表示されるフィッシングサイトを作成。鍵マークへの信頼を逆手に偽りの安心感を演出し、詐欺の成功率を高めようともくろんだ。実際にこの手口によってどれほどの被害が出たのかは定かでないが、こうした状況が伝わるにつれ、一般消費者のWebに対する不信感はますます募っていくこととなった。Forumという団体がより厳格な審査手順を策定。SSLを発行する企業はすべて、この手順に従わなければならないとした。SSL証明書が導入されたWebサイトで、アドレスバーが緑色に変化する仕様を盛り込んだ。SSLで認証されていることが即座に分かる。同氏によると、「グリーンバー表示・非表示の場合で、エンドユーザーの反応を調査したところ、100%のユーザーがグリーンバーが表示されていたことに気がついた」というので、視覚的効果という意味では功を奏したといえる。このグリーンバーの横には、Webサイトの運営者名が表示される。緑色の視覚的効果とともに、Webサーバーの正当性を直感的に確認することが可能になった。運営者名をクリックすると、認証局名が表示され、証明書の詳細も確認できるようになっている。右側にはWebサイト運営者名が表示されるエンドユーザーが安全性を確かめるには、グリーンバーであることを見て、次いで、運営者名を確認すればよい。SSLではその手間も省ける。SSL証明書のあるWebサイトを利用したいと回答。SSL証明書のないWebサイトでは買い物をしないと答えた」(同氏)ということが判明。SSL証明書への期待は大きいとうかがえる。9.5でグリーンバーに対応している。IE7で表示したグリーンバー。3.0で表示したグリーンバー。9.5で表示したグリーンバー。SSL証明書で変化する色は緑色だけではない。状況に応じて、黄色や赤色に変化する場合がある。その場合は、そのWebサイトを利用するのは危険だということだ。赤色になるケースとしては、まずフィッシングサイトとしてブラックリストに載っている場合。Website」となる。そのほか、「証明書の有効期限が切れていたり、認証元が不明な場合も赤色になる」(同氏)。疑わしいWebサイトの場合、アドレスバーは黄色に変わる赤色に変わったアドレスバー。Website」と表示される従来のSSL証明書では、証明書のステータスに異常がある場合、ダイアログを表示してエンドユーザーに警告を促していた。SSLでは、本能的に危険を感じさせる赤色で、はっきりとリスクを示してくれる。リテラシーの低い一部のWebサイトでは、クライアント側で有効性を検証できない通称「オレオレ証明書」を利用し、証明書の異常を示す警告が出てもそれを無視するように指示しているところがある。本来、このような警告が出た場合、なりすましされた偽のWebサーバーへアクセスしようとしている可能性もあり、無視するのは危険な行為なのだ。SSL証明書の登場で、こうした証明書の乱用が防止できるかもしれない。そのためにも「赤色になったらアクセスは即中止する」(同氏)という認識を、エンドユーザーはしっかりと持つべきである。「どんなときに黄色や赤色になるかは、Webブラウザベンダが定めており、完全に統一されているわけではない」(同氏)という。このため、同じWebサイトにアクセスしたとしても、Webブラウザの種類によっては黄色になったり赤色になったりすることがありえる。緑色になる条件については、「厳密に定められており、各ブラウザでほぼ差はない」とのこと。3.0では、グリーンバー機能はデフォルトでオンとなる。SSL証明書を導入したWebサイトにアクセスしてもアドレスバーは変色しない。Updateでルート証明書を最新のものにすればよい。2)は、IE7で搭載されたフィッシングサイトをリアルタイムに検出する機能。Webブラウザのメニューの中から[ツール]→[フィッシング詐欺検出機能]→[自動的なWebサイトの確認を有効にする]を選ぶと、ダイアログが表示されオン・オフを切り替えることができる。同機能では、ローカルに保存された正当なWebサイトリストと照合することでフィッシングサイトを判断する。リストに載っていないWebサイトにアクセスしたときに、同機能がオフになっている場合は、有効にするかどうか確認のダイアログが表示される。ここでオンにすることも可能。その後、ローカルリストに載っていないWebサイトにアクセスするたびに、マイクロソフトが保有しているリストとの照らし合わせが行われる。必須ではないが、「サーバー証明書の取り消しを確認する」という設定項目をオンにすることも推奨されている。これは、IE7に搭載されている、Webサイトの証明書が取り消されていないかどうかを確認し、取り消されている証明書を無効とする機能。IE7では、パフォーマンスの問題などからデフォルトでは無効となっている。これを有効にするためには、Webブラウザのメニューの中から[ツール]→[インターネットオプション]を選び、[詳細設定]タブ内の[サーバー証明書の取り消しを確認する]にチェックを付ける。【お詫びと訂正】初出時、「サーバー証明書の取り消しを確認する」をオンにすることを必須としておりましたが、必須ではありませんした。お詫びして訂正いたします。一般消費者側でグリーンバーを使う準備は着々と整い始めている。SSL証明書導入が進むかだ。そこで次回は、導入企業に視点を移し、厳格になった発行審査基準や発行に必要なもの、分かってきた意外な導入効果などを紹介する。