公章TweetSSL証明書のフレームワーク(仕組み)SSLの大きな目的のひとつが、「接続しているサイトのドメイン(ホスト名)が正しいこ」との証明です。ここでは、ブラウザがどのように接続サイトを確認しているかというフレームワークを説明します。ルート証明書と階層ブラウザには、信用する第3者の証明書(ルート証明書)があらかじめインストールされています。IEの場合、次のようにインストールされているリストを表示することができます(IEの設定→インターネットオプション→コンテンツ→証明書→信頼されたルート証明機関):そして、Webサイトの証明書は、これらのルート証明書と紐付けられた信頼関係を持っています(アドレスバーの鍵マークをクリックすると証明書の詳細が表示されます)。Crossco社のサイトでは、UserTrustという第3者認証機関(フレンド名UserTrust、前の図の一番上にあるもの)の認証を受けています。証明書の失効確認SSL証明書は、生成ミスやクラッキング等の理由により失効(無効化)される場合があります。(ステープリング/ホッチキス)Webサーバは、設定されたSSL証明書の失効確認をOCSPにより実施し、その結果をキャッシュします。SSLハンドシェイク時に、SSLサーバ証明書と同時にOCSP情報をクライアントへ送信クライアントの動作としては、以下になります:CRLとOCSPSSLハンドシェイクとは別に、HTTPアクセスによりCRL取得もしくはOCSP確認を行います:CRL:クライアントは、このリスト(CRL)をダウンロードし、対象SSL証明書のシリアル番号が含まれていないか確認します。API送信し、有効であることを確認します。補足:失効確認をどちらの方法で行うかは、ブラウザの実装に依存し、最近のブラウザでは、OCSPが使用されます。確認結果を、一定期間、キャッシュします。失効確認ができない場合、次のような振る舞いをとります:ブラウザ:最近のブラウザでは一般的に無視します。アプリ:多くの場合エラーを表示します(作りこみに依存)。Stapling証明書の取得と同時に失効確認を実施します。以下のメリットがあります:アクセス速度向上(CRL取得、OCSPリクエストを省略可能)安定性向上(証明書発行機関のWebサーバがダウンしていても、WebサーバにOCSPキャッシュがあれば、影響がありません)。