SSL証明書の役割

SSL証明書は、以下の役割を果たすものです。

1.サイト訪問者が、サイト所有者を確認する (実在認証)
2.サイト訪問者が、サイト所有者に暗号化して情報を送信する (暗号化)

フィッシング詐欺などインターネット犯罪を防ぐだけではなく、サイト訪問者に安心感を与えます。 特に、カード決済や個人情報の入力ページでは設置が必須のものとされていますが、 SSL証明書にはさまざまな種類があり、何を基準にどれを使うかの選択が容易ではありません。おおかまな基準は以下のようになります。

1.価格

定価27,000円のコモドから定価81,000円のシマンテックまで、同じSSL証明書でなぜ価格がこんなに違うのか、と思われる方もいるかもしれません。その理由として以下のことがあげられます。

A. SSL証明書の発行元(認証局)の運営経費が異なる
発行元がSSL証明書を発行するにあたり、申請者が本当にその団体であるかを確認するために電話をしたり、書類を提出させたりする場合があります。そのような事務手続きに経費がかかります(したがって審査の簡易なSSL証明書ほど価格が安くなります)。また、発行元自体もデータセンターなどで高度なセキュリティを維持するために費用がかかります。

B. SSL証明書の条件によって、需要と供給の関係のバランスが異なる
発行コストがかからなくとも、携帯電話での閲覧に対応していたり、多くのブラウザに対応する証明書はそれだけ人気があり、高くても買われます。また、歴史が浅く、これから市場に大量に流通させる必要のあるSSL証明書発行元は、初期段階で価格が安くなっています。

C. ブランド力を維持するために、高い価格を維持している
ブランド品と同じように、SSL証明書発行元には、高い価格を維持することによってそのブランド力を維持するというビジネス戦略があります。一般インターネット利用者に人気があれば、サイト運営者は高くてもそのSSL証明書を選ぶでしょう。実際、そのブランドが好きか嫌いかが、SSL証明書の選択の決め手になったりします。

D. 大量販売による価格低下
大量販売をすればそのぶん仕入れ値は安く済み、お客様に値引きすることが可能です。弊社では高価なシマンテックのセキュア・サーバ IDを49,800円、 コモドのドメイン認証タイプ(ロゴなし)に関しては6,000円でご提供しております。市場のように大量に仕入れていることからサイト名は由来しています。

2.携帯電話への対応状況

SSL証明書発行元が、PCブラウザや携帯機種の開発元に依頼しないと、そのSSL証明書は動作しません。日本で流通しているシマンテック、ジオトラスト、グローバルサイン、コモドなどは、もともと国際的なSSL証明書発行業者で、PCのブラウザには古くから対応しています。しかし、日本で流通している携帯機種に対応させるには、日本の開発業者に設定を依頼する必要があります。また、その設定された新しい機種が広く流通しないと、未対応の旧機種の比率が多くなり、それだけ対応率が悪いということになります。携帯電話対応率が90%を超えるには、各携帯機種提供業者に依頼してから3年以上かかるといわれています。

3.実在認証

情報の暗号化は、SSL証明書の機能(アルゴリズム)としてもともと備わっているものです。暗号化のみを利用するのであれば、オープンソースであるopenSSL(無料)を利用しても良いと思われます。ですから、有料のSSL証明書を使う意味は実在認証の機能にあるとも言えるでしょう。グローバルサインのクイック認証SSLやジオトラストのクイックSSL プレミアムは、申請時に発行元で、申請内容とそのドメインのwhois情報が一致することの確認を行うことでもって審査とします。(ドメインのwhois情報で審査することをドメイン認証といいます)しかしwhois情報は自己申告で比較的容易に変更できるものですから、虚偽の内容のwhois情報でもって発行されたSSL証明書がフィッシング詐欺などの犯罪に利用される可能性もゼロではありません。他方、シマンテック、コモドの全製品、およびグローバルサイン、ジオトラストの上位の製品では、実在確認書類の提出または帝国データバンクコードの提出が義務付けられています。シマンテックのように、原則として電話での確認を行った上で発行されるSSL証明書もあります。

4.ロゴとシール

SSL証明書を利用していることをweb上で示すものにサイトシールとロゴがあります。コモド社の証明書のひとつ、ドメイン認証タイプではサイト所有者の情報は表示されず、コモド社のSSL証明書を利用しているということのみを表示するロゴが提供されます。これをサイトシールとよび、サイト所有者に対応した情報表示がされるものをロゴとよんでいます。コモド社以外の業者ではサイト所有者の情報を一律で表示しています。ドメインのwhois情報で実在確認を行う「ドメイン認証」で発行されるSSL証明書ではドメイン名が、それ以上の審査で発行するSSL証明書では、サイトの所有者とその住所が表示されます。なお、弊社で提供しているコモド社のロゴでは、所有者および住所が日本語で表示されます。これは、シマンテックやジオトラストには無い機能です。

5.FQDN(コモンネーム)

FQDN(Fully Qualified Domain Name)とは、www.やサブドメイン名などを省略せず完全に記述されたドメイン名を指します。
SSL証明書はこのFQDNひとつに対して機能します。

https://www.ドメイン名
https://ドメイン名
https://サブ.ドメイン名

上記は別のFQDNですから、それぞれ別の SSL証明書が必要です。ただ、コモド、グローバルサインでは、1個のSSL証明書で、www.がドメイン名の前につくFQDNとつかないFQDN の両方に対応します。しかしサブドメインに関しては同じSSL証明書が使えませんので、別の証明書が必要です。なおシマンテックにこの機能はなく、www.のありなしを区別してひとつのFQDNに対して証明書がひとつ必要です。
なお、ワイルドカードといって、ジオトラストとコモドではすべてのサブドメインに対応するSSL証明書を提供していますが、これは価格がかなり高くなっています。

6.EV SSL

現在ご覧になっているこのページのURL表示バーが緑色になっているかと思われます。これはEV SSL証明書といって、厳しい審査を経て発行されるSSL証明書を利用していることを意味する表示です。EV SSL証明書は、ドメイン認証のSSL証明書の増加など、証明書発行の審査が簡易になってきたことに対する反省から近年始まったものです。現在は金融機関などの高度なセキュリティが必要なサイトでしか利用されていませんが、サイト訪問者に安心感を与えるメリットが大きく、今後利用が広まっていくものと思われます。

7.SGC機能

情報の暗号化に関する機能です。SSL証明書では、ブラウザとサーバそれぞれの暗号化強度のうち低いほうを選択して通信を行います。 SGC(Server Gated Cryptography)はこれを適用せず、40bitや56bit程度の暗号化強度のブラウザを利用しているときでも、強制的に128bitまで強度を引き上げる機能です。シマンテックのグローバル・サーバ IDなどがこの機能を持ちます。ワイルドカード、EV SSLなどとは独立の概念です。

8.発行までの日数

EV SSL証明書は、厳正な審査のために30日以上必要となる場合があります。シマンテックのSSL証明書は、更新の場合、平均2-3営業日で発行されます。ただし、証明書は発行元認証局など複数の機関を経由して発行されるものであり、自動では行われないので手続きの日付・時間帯によって前後します。また、新規の場合には、ほとんどの場合電話による確認があります。また、帝国データバンク番号、DUNS番号が無く、NTTの電話帳にも記載が無い場合、電話料金の支払いの請求書などの別の書類の提出後から長い場合2週間程度見ておく必要があります。