なぜ、「鍵マークの確認」が必要なの？――「HTTPS通信」のメリットを理解しよう：セキュリティ、いまさら聞いてもいいですか？（3）（2/3 ページ）

HTTPS通信の確認方法

　HTTPS通信でWebサイトを閲覧するのに、特別な操作は不要です。無線LANの設定のように、パスワード入力などの作業を行う必要もありません。なぜなら、「HTTPS通信を使用するかどうかを決めるのは、Webサイトを作った人だから」です。

　利用者はそれに従うしかありませんので、「WebページがHTTPSを使用しているかどうか」を確認することが大切になります。特に、ショッピングサイトのクレジットカード番号入力ページなど、重要な情報を入力するページでは、HTTPSが使用されていることを必ず確認しましょう。

　WebページでHTTPSが使用されているかを確認するには、ブラウザー上で、WebページのURL（アドレス）を見るのが一番簡単です。暗号化されていないページのURLが「http://」で始まるのに対して、HTTPSで暗号化されているページは、「https://」で始まります（下図）。

　なお、同じサイト内でも、ページによってHTTPとHTTPSが使い分けられている場合があります。現在は、個人情報やクレジットカード番号などの重要な情報を入力するページでのみ、HTTPSを使用するケースが多いようです。ただし、最近では全てのページでHTTPSを使用する「常時SSL」が注目を集めており、少しずつ普及し始めています。

サーバー証明書

　ここまでは通信の暗号化について説明してきましたが、HTTPSには、もう一つ重要な機能が備わっています。それが「証明書によるサーバーの認証」です。なお、HTTPSにはさらに「通信の改ざん防止」という仕組みもあるのですが、これは連載の別の回で紹介します。

　さて、先ほど、サイトとの通信がHTTPSで暗号化されているかどうかを判断するために、URLが「https://」で始まっていることを確認しました。記事の冒頭でも少し触れましたが、このとき、URL欄に「鍵マーク」が表示されます。

　この鍵マークをクリックすると、そのWebサイトが持っている「サーバー証明書」を見ることができます（下図）。

　サーバー証明書は、アクセスしているサイトが「信頼できる認証局によって認証された、正当なサイトであること」を証明するための身分証のようなものです。

　皆さんが使っているWebブラウザーには、あらかじめこの「信頼できる認証局」の情報が登録されています。ちなみに、認証局は国内外に複数存在します。興味のある人は、Web検索などで調べてみてください。

　このWebブラウザーの持つ認証局の情報と、Webサイトが送ってきたサーバー証明書を照らし合わせることで、アクセスしているWebサイトが偽物のサイトなどではないことを確認します。本稿では詳細な説明はしませんが、このとき、サーバー証明書が改ざんされていないことを保証するために、「デジタル署名」という技術が用いられています。

　実は、サーバー証明書は誰でも作成できます。勝手に発行した証明書をWebサーバーに配置して、HTTPS通信を行うことも可能です（「オレオレ証明書」などと呼ばれます）。

　しかし、前述の通り皆さんのブラウザーには信頼できる第三者機関である認証局の情報が登録されていますので、このような証明書を使用しているWebサイトにアクセスすると、Webブラウザーに警告メッセージが表示されます。

　また、他にも警告メッセージが表示されるケースとして、「証明書の有効期限切れ」があります。証明書には有効期限が設定されており、定期的に更新が必要なのです。あるいは、「秘密鍵」と呼ばれる情報が漏えいした場合なども、証明書の失効手続きが行われ、警告が表示されるようになります。