SSL証明書とは？

〇SSL/TLS通信を行うための電子証明書

SSL証明書とは、SSL/TLSの暗号化通信を行うのに必要な、電子証明書です。

SSL証明書はその他に、

TLS証明書
SSL/TLS証明書
SSLサーバ証明書
サーバ証明書
SSL電子証明書

等とも呼称されます。

〇SSL証明書の認証レベルと信頼性の違い

SSL証明書にはドメイン認証(DV)、組織認証(OV)、EV認証(EV)の3段階の認証レベルがあります。

認証レベルによって、SSL/TLS暗号化通信の機能や強度に違いはありません。

しかしながら、認証レベルにより、

取得可能な対象
認証局による確認項目

が異なるため、発行されるSSL証明書の信頼性に大きな違いがあります。

3段階の認証レベルそれぞれの、取得可能な対象と認証局の確認項目、ウェブブラウザ(PC)でのSSL適用表示例は以下の通りです。

		EV認証(EV)	組織認証(OV)	ドメイン認証(DV)	ドメイン認証 (一部の無償のもの)
ドメインの使用権確認		○	○	○	○
フィッシング等のリスク確認		○	○	○	△
取得可能な対象が登記済組織である必要性		○	○	× (個人でも可)	× (個人でも可)
法的実在性確認		○	○	× (なし)	× (なし)
物理的実在性確認		○	× (なし)	× (なし)	× (なし)
事業の存在/ 運営の確認		○	× (なし)	× (なし)	× (なし)
アドレスバーの表示例	Safari 13 (iOS)
	Chrome 81 (iOS)
	Chrome 81 (Win)
	Internet Explorer 11 (Win)
	Microsoft Edge 80 (Win)
	Safari 13 (Mac)

〇が多い程、SSL証明書の取得難易度が高くなっており、取得難易度が高い分、悪用されにくく、信頼性が高いと考えられます。

・ EV認証(EV)
世界的な認証基準である、「EVガイドライン」に基づいて実施される、最も厳格な審査が行われる証明書です。

取得に必要な手続きが多く、発行までに必要な期間は比較的長いですが、EV認証(EV)のSSL証明書を導入したサイトでは、対応しているウェブブラウザ(PCやスマートフォン、ブラウザ、バージョンにより異なります)では、アドレスバーに社名が表示されたり、緑色で強調表示され、サイトを訪れたユーザーは、一目でサイト運営元の組織名とEVSSLが導入されていることがわかります。

対応していないウェブブラウザでは、アドレスバーでの社名表示はされませんが、鍵マークをクリックすることで、発行先の社名を簡単に確認することができます。

取得可能な対象は、登記済みの組織に限定されており、個人では取得が出来ません。

EVでは法的・物理的実在性に加えて、事業の存在/運営の確認も行われるため、なりすましやフィッシングサイトでの利用目的で取得しようとする場合、非常に多くの手間と時間、費用が必要であり、また、足がつきやすくなる等リスクが伴うため、悪用するのは困難であると考えられます。

・組織認証(OV)
EV認証(EV)と同様に、登記済みの組織でしか取得ができませんが、確認・審査は、法的実在性までとなります。

そのため、EV認証(EV)と比較した場合、取得するまでの手間や期間は少なく済み、手軽に取得が可能ですが、ウェブブラウザ(PC)のアドレスバーの表示変化はありません。

表の表示例にある鍵マークから、証明書の詳細情報を表示して、企業名や所在地の確認ができます。

・ドメイン認証(DV)
個人で取得が可能で、確認・審査項目はドメイン使用権の確認のみとなるため、短期間に手軽に取得することが可能です。

ドメイン認証(DV)は有償のもの、無償のものがありますが、とくに一部の無償のドメイン認証(DV)は、取得の手軽さから、なりすましやフィッシングサイトで利用される事例が数多く確認されています。

一部の無償のドメイン認証(DV)であっても、悪用が発覚した場合は失効されたり、ブラックリストへの登録がされ、再利用はできなくなりますが、発覚前であればSSL証明書として正常に機能します。

正常に機能する以上、ウェブブラウザでも警告表示はされなたいめ、サイトの運営元に悪意があるかないかの判断は困難でしょう。

ただし、有償のドメイン認証(DV)であれば、発行前になりすましやフィッシングサイトへの対策が行われています。

例えば、グローバルサイン社の場合は、