冨山陽平のブログ “思いきり やりぬく”

ITの適正活用,セキュリティ,ITの適正活用、組織風土改革、従業員満足度調査、これあらた、久留真家、冨山陽平

冨山陽平のブログ 思いきりやりぬく

SSL通信のしくみを擬人化してみる

2013/08/04 (日)

 SSL通信ってどういう仕組みなの?というのは昔からよく聞かれます。少しわかりやすく例えてみたいと思います。SSL通信というのは、要するに二人だけ(クライアント<パソコンなど>とサーバ)の秘密の話を作ることなので、暗案都(クライアント)さんが鯖江(サーバ)さんという人とある秘密の会話をするシーンに置き換えてみます。

***********

新宿中央公園の噴水前にて。。。

暗案都:あんた、鯖江さん?

鯖江:おう、そうだが、なんか用か?

暗案都:ちょっとした話がある、ここじゃあまずいから、他で話したいんだが。。。まず、あんたが鯖江さんだって証拠を見せてくれないか?

鯖江:いいよ。はい、運転免許証。

暗案都:確かに(運転免許番号と顔を確認)。じゃあ、話をする場所を決めよう。スターバッ○ス、△△貸し会議室、音楽のうるさいクラブどこがいい

鯖江:スターバッ○スは絶対に駄目だ。残りの2つであれば、△△貸し会議室がよい。

暗案都:よし、決まった。

秘密の話開始。。。

************

と、このような感じです。見ていただくとわかると思いますが、秘密の話をきちんとするためには、2つの重要なポイントがあります。

  1. 身元確認:鯖江さんだという証拠を暗案都さんが確認できる(ここでは、暗案都さんの身元確認は不要)
  2. 話す場所の決定:暗案都さんが話す場所の候補を提示し、鯖江さんが決める

 実際、いろいろな場面でSSL通信は使われていますが、実はこの2つがあまり意識されていない場面も多いのです。たとえば、暗案都さんも鯖江さんも話をする場所に対して無頓着であれば、せっかく秘密の場所で話をしたのに、ダダ漏れということもありえるのです。技術的な話は文末に提示する参考資料に譲りますが、

「そのSSL通信本当に安全か?」

という視点で閲覧者が確認すべき点を挙げてみます。

  • アドレスバーに表示されているアドレスが適切である(例:みずほ銀行ならば、https://xxx.mizuhobank.co.jp/xxx)。xxxは任意の文字。
  • httpsにつなぐ際に、エラーがでない(適切ではない可能性がある!有効期限が切れている!など)。
  • https://sslcheck.globalsign.com/ja/ でSSLのテストをする(より詳細なものは、本家の https://www.ssllabs.com/ssltest/index.html )

テスト結果がA~Fまででますが、Fだから悪いというわけではありません。どういう秘密の話をするかによりますが、Aに近いほど一般的に安全と言われているものでしょう。一方、セキュリティというのは日々せめぎあいです。明日状況がころっと変わっていることもあります。

 いずれにしても、鍵マークがでているからというだけで安心して、クレジットカード情報等を入力するのではなく、上記のような一手間かけることも重要かと思います。

参考文献:https://www.nic.ad.jp/ja/materials/iw/2009/proceedings/h9/iw2009-h9-04.pdf

 ※上記の擬人例との対応:サーバ証明書の検証=身元確認、暗号アルゴリズムの決定=場所選び

カテゴリー: ITの適正活用

キーワード:

コメントとトラックバック: なし

トラックバック先:

コメントを残す