Googleアップデートにより、SSL対応がほぼ必須となったのが遠い昔のよう。
でも世間一般ではまだまだ「セキュリティ対策」や「暗号化通信」といった曖昧の知識が希薄で、なぜ必要なのか？という必要性が感じられませんよね？
そこで、SSLとは何なのか？なぜ必要なのか？について紹介します。
SSLとは
Secure Socket Layerの略で、IT用語のひとつです。
ハッカーなどの悪意のある第3者による、盗み見・改ざん・なりすましなどを防ぐための暗号化通信のことを言います。
例えば、企業サイトの問い合わせフォームやショッピングサイトの個人情報を入力したとして、入力が完了したあとに送受信を行います。
その際、フォーム⇒サーバー⇒受取先 といった手順で情報の送受信が出来るのですが、フォーム⇒サーバー／サーバー⇒受取先 の送受信中はサーバーに向けての情報が筒抜けとなります。
通常であれば、数秒・数分で送受信が正しく行われ、
メールや問い合わせ内容を確認できるのですが、極稀に送受信中の情報をハッカーなどの第3者による盗み見されるといった現象もあり得ます。
結果、改ざん・なりすましといった「サイバー犯罪」に繋がってしまうのです。
そういった最悪の事態を防ぐための措置として、SSLと称される暗号化通信を行います。
SSL（暗号化通信）では、送受信時に簡単に解読できないよう情報に鍵をかけます。
ホームページであれば、SSLを導入した際に「https://～」というURL表記になります。
SSLの仕組み
暗号化通信では、ネットワーク上のデータが送受信中や接続中に、第3者により悪用されないように、通信上で定められた規則に沿い、「データの暗号化（変換）」と「復号（変換された情報を元に戻すこと）」を行います。
暗号化せずに接続された情報を「平文」と称します。
平文とは？
ホームページではhttp://～が該当します。
通信時はそれぞれ、平文を暗号データに変換することを暗号化、暗号データから平文に戻すことを復号化と呼びます。この変換方法が2通りあり総称して「鍵」と例えています。
公開鍵暗号方式(PKI)
共通鍵暗号方式
公開鍵暗号方式(PKI)
暗号化⇒復号化／復号化⇒暗号化の際に、2種類の鍵を使う方法です。
①平文⇒暗号化（公開鍵）⇒暗号文
②暗号文⇒復号化（秘密鍵）⇒平文
送信側と受取側が、異なる鍵を管理・使用し2種類の鍵がなければ情報開示できない仕組みです。
メリット
・「公開鍵」「秘密鍵」の各1種類ずつがないと機能しない。仮にどちらか片方の鍵が流出してしまっても復号される危険性がない。
・双方で鍵を管理者しやすく安全性が高い。
デメリット
鍵が異なるため、情報処理に時間がかかる
共通鍵暗号方式
暗号化⇒復号化／復号化⇒暗号化の際に、1種類の鍵で共有する方法です。
①平文⇒暗号化（共通鍵）⇒暗号文
②暗号文⇒復号化（共通鍵）⇒平文
送信者と受信者の双方が、同じ鍵を共有することで情報開示できる仕組みです。
メリット
鍵が同一のため、情報処理が早い
デメリット
・「共通鍵」1種類のため、双方で鍵を管理者しやすく安全性が高い。
・流出してしまった場合、改ざんや盗み見のターゲットにされやすくなる。鍵の管理を厳重にする必要がある。
SSLでは原則、「1. 公開鍵暗号方式」で通信内容に鍵をかけ、
「2. 共通鍵暗号方式」で、実際のデータをやり取りする仕組みになっています。
SSL使用方法
SSLを設定したホームページは、https://（http over SSL/TLS）と表記され、SSL／TLSにより情報を暗号化し送信元・受取先の両者間で「http」通信が出来るようになっています。
SSLの使用には、サーバー証明書と称される身分証明書を認証局（CA）により発行する必要があります。前述で記載した秘密鍵に該当します。
ちなみに、認証局（CA）は電子証明書を発行する身元保証協会のことを表します。
SSLサーバー証明書の概要である「ホームページ所有者の確認」「暗号化通信」の役割を果たしており、上記の情報を元に証明書を発行します。
発行後は、サーバーから証明書をDLし、サイト内に設置します。
発行されたサーバー証明書は、サイト内に設置することで「https://～」通信になります。
この証明書に基づき、暗号化通信を行い、加えて接続先のサーバーが信頼できるサーバーかどうかを確認するサーバー認証により、ユーザーに情報が届けられます。
SSLの見直し
SSLは2018年度から、根本的に見直され進化系として新たに「TLS」が誕生しました。
呼び名が異なるだけで、機能にそれほど差異はありません。
SSLからTLSにバージョンアップした際に、新たに加わった機能が「改ざんの検知」です。
TLSでは、以下の手順でサーバー認証を行います。
I、SSLによる暗号化通信
秘密鍵を使用しサーバー認証を行う。Webブラウザとサーバー間での通信内容に鍵をかけ、第3者による盗み見・改ざん・なりすましを防ぎます。
Ⅱ、サーバーの正当性を証明
接続先の「サーバー証明書」を確認し、信頼できるサイト・メールかどうかを確認します。
この認証機関で改ざん・なりすましを防ぐことが出来るのです。
