第2回　HTTPSの詳細：超入門HTTPS（2/2 ページ）

SSL／TLS初期化後の通信

　以上のようにしてSSL／TLSの通信路が確立できれば、後はその通信路上でHTTPプロトコルを使った通信を行えばよい。この部分はHTTPでもHTTPSでも変わらない。Webブラウザのデバッグ機能を使えば、HTTPS通信であってもメソッドやその内容を確認できる。

HTTPSでの通信例
HTTPSであっても、上位のプロトコルは暗号化されていない場合のHTTPプロトコルと同じである。開発者ツールを使えばその通信内容を確認できる。
　 （1）Windows 10のMicrosoft Edgeでhttps://〜を使ってアクセスしてみる。
　 （2）開発者ツールで［ネットワーク］を選択する。
　 （3）HTTPSとなっている（実際にはTLS 1.2上でHTTP 1.1プロトコルが使われている）。
　 （4）GETやPOSTなどのメソッドが使われているのはHTTPの場合と同じ。

サーバ証明書

　HTTPSではWebサーバにセットされている「サーバ証明書」が重要な役割を持つ。暗号化の鍵として利用されるだけでなく、そのWebサーバがある特定のドメインに属している正当なシステムであることを保証したり、ユーザーに対して、そのドメインが正規の組織が管理しているドメインであることを表明したりするからだ。サーバ証明書にはWebサーバの所有者の情報や公開鍵暗号システムで利用される公開鍵などが含まれ、それが発行者によって電子署名されている。

●サーバ証明書の種類

　Webサーバにセットする証明書には次のように幾つかの種類がある。

　DVからOV、EVとなるにつれて所有者の存在確認などが厳しくなり、その分証明書としての信頼性が高くなるが、コストも上昇する。

　もっとも、Let's Encryptのような無料の証明書サービスもあるので（次のリンク参照）、以前よりもHTTPS導入のためのハードルは低くなってきているのも事実である。

　以上のいずれかの証明書が使われていれば、Webブラウザのアドレスバーに暗号化を表す鍵マークなどが表示される。特にEV証明書の場合は、組織名が（ほとんどのブラウザでは）緑色で大きく表示されるなど、より特別に正当な組織であることが分かるようになっている。

サーバ証明書の種類の違いによる表示の違い
証明書の種類によって表示方法が異なる。これはWindows 10のMicrosoft Edgeの例。
　 （1）OVやDV証明書の場合はこのようなシンプルな鍵マークの表示になる。
　 （2）EV証明書の場合は組織名などが緑色で表示され、より信頼できるサイトであることが分かる。大手企業や金融機関などでの採用が多い。

　証明書の詳細は次の通りである。

証明書の例
上記のサイトのWebサーバ証明書の詳細を表示させたところ（Internet Explorerによる表示）。
　 （1）証明書の発行者（証明機関）。
　 （2）「サブジェクト」は発行された証明書の対象を表す。
　 （3）証明書の署名などで使われているアルゴリズム。以前はSHA-1も使われていたが、脆弱性が見つかったので現在ではもう使われない。利用できるアルゴリズムなどの仕様は、SSL／TLSのバージョンや実装などによって変わっている。いつまでも古い証明書や実装を使い続けるのは危険である。
　 （4）証明書の発行対象のドメイン名（FQDN名）。この名前が正しく存在することを証明している。
　 （5）証明書の発行対象の組織情報（もしくは証明書販売業者の情報など）。

●サーバ証明書に使われているアルゴリズムに注意

　サーバ証明書ではデータを符号化するためにさまざまな数学的アルゴリズムを利用できる。それらのうち、SHA-1を使った証明書は安全性が低いため（SHA-1の脆弱性が見つかったため）、現在では非推奨となっている。SHA-1を使った証明書（や、自己発行の、いわゆるオレオレ証明書）をインストールしてあるWebサイトへ接続するとWebブラウザが警告メッセージを表示するようになっている。

WebサイトのHTTPS化

　現在HTTP（だけ）で運用しているWebサーバを全面的にHTTPS化（常時HTTPS化）する場合、サーバ証明書を導入してWebサーバの設定を変更するだけでは済まない。

　さまざまなリソースをHTTPS経由でもアクセスできるように更新する他、今までHTTPでアクセスされてきた外部公開URLなどをHTTPSでのアクセスに切り替えさせる（リダイレクトする）対策も必要である。これを行わないと、今までブックマークされたり、告知していたりしたリンク情報（例：「http://〜」など）が急に全て無効になってしまうからだ。

　HTTPS化する方法を全て説明するのは本記事の趣旨からは外れるので、ここでは主な作業項目だけを列挙しておく。

　本記事ではHTTPSプロトコルについて簡単にまとめてみた。WebサイトのHTTPS化／常時SSL化には、通信内容の暗号化による情報漏洩の防止だけでなく、SEO対策やサイトの高速化など、さまざまなメリットがある。まだ移行していないなら、ぜひ移行・導入を検討するべきだろう。