HTTPSとは何か

　Webの標準プロトコルであるHTTP（Hypertext Transfer Protocol）はもうおなじみだろう。HTTPは基本的に、暗号化されていない通信によってクライアントとサーバ間でデータを転送する。このため、クライアントとサーバ間のネットワークセグメント（クライアントが接続されたネットワーク上、サーバが接続されたネットワーク上、または両者間の任意の場所にあるセグメント）にアクセスできる人は、クライアントによるWebの閲覧内容を見ることができる。

　こうした傍受を防ぐことは、金融取引や機密の個人情報の交換をはじめ、さまざまなプライベートアプリケーションにおいて重要だ。傍受を防止するには、HTTPS（Hypertext Transfer Protocol Secure）が利用できる。このプロトコルは、SSLによる暗号化機能を基本的なHTTP仕様に付加したものだ。HTTPSが機能する仕組みの概略は、次のようになる。

1. ユーザーがWebブラウザから、「https://」で始まるURLを使って安全なページを要求する
2. WebブラウザがWebサーバにHTTPSポート（TCPポート443）でコンタクトし、安全な接続を要求する
3. サーバが自身のSSL証明書のコピーを返す
4. Webブラウザがその証明書を使って、リモートサーバの身元を確認し、リモートサーバの公開鍵を抽出する
5. Webブラウザがセッション鍵を作成し、サーバの公開鍵で暗号化してサーバに送信する
6. サーバが秘密鍵を使ってセッション鍵を復号する
7. クライアントとサーバがセッション鍵を使い、以降のすべての通信を暗号化する

HTTPSをWebサイトに実装するには

　SSL証明書でWebサイトのセキュリティを確保し、ユーザーがHTTPS暗号化通信によって接続できるようにすることは、極めて簡単だ。しかしそうするためには、あらかじめ認証局（CA）からSSL証明書を取得しておかなければならない。取得コストはまちまちで、Verisign、Comodo Group、Entrustなどのベンダーが証明書を販売している。価格は、基本的な証明書の場合で年間150～400ドル。

　証明書を購入する際は、信頼できるCAを選ぶことが重要だ。CAは購入申し込みを受けると、Webサイト運営者の身元を確認してから証明書を発行する。ユーザーは、CAが証明書の発行前に適切なデューディリジェンス（精査）を行っていると信じるしかないからだ。さらに重要なのは、ほとんどの場合、Windowsの信頼できるルートCAのリストに含まれるCAの1つを選ばなければならないことだ。このリストに含まれないCAを利用すると、Windowsユーザーがあなたの会社のサイトを訪問した場合、証明書が有効でない可能性があるという警告メッセージを見ることになる。

　証明書を入手したら、Webサーバにインストールする必要がある。Microsoft Internet Information Services（IIS）やApache（Apache HTTP Server）にデジタル証明書をインストールする手順の解説がWebで公開されている。

まとめ

　デジタル証明書をインストールし、あなたの会社のWebサーバにユーザーがHTTPSで接続できるようにすることは、Webサイトのセキュリティを確保する上で非常に重要だ。あなたの会社とWebトランザクションに対するユーザーの信頼を得るための簡単な方法でもある。この方法を実行することで、あなたの会社の安全なWebページにアクセスしたユーザーのWebブラウザに鍵のアイコンが表示されるようになり、これらのページとの通信がインターネット上で傍受されないことが保証される。

本稿筆者のマイク・チャップル氏は、ノートルダム大学のITセキュリティプロフェッショナル職を務めており、CISA（公認情報システム監査人）、CISSP（公認情報システムセキュリティプロフェッショナル）の資格を持つ。米国家安全保障局と米空軍に情報セキュリティ研究員として勤務した経験がある。『CISSP: Cissp Certified Information Systems Security Professional』や『Information Security Illuminated』（共著）など、情報セキュリティに関する数冊の著書がある。