SSL

認証は公開鍵暗号方式で行ない、通信の暗号化は慣用暗号方式で行なう。

二種類の暗号を併用しているのは理由がある。公開鍵暗号方式は優れた技術だが、慣用暗号方式に比べて処理が複雑で、計算に時間がかかる。これをWebのデータ転送用に使うのは些か無理がある。

しかし、慣用暗号方式を通信に使うとなると、その鍵の受渡方法に困ることになる。通信に危険があるから暗号が必要なのであって、その通信で生の鍵を送るのでは暗号の意味がない。

そこで、公開鍵暗号方式で慣用暗号方式の鍵を暗号化して送信し、実際の通信はその鍵を使って慣用暗号方式で行なう。両者を上手く組み合わせ、高速で安全な暗号化を実現している。

伝送データの完全性は、データをメッセージダイジェスト関数(ハッシュ関数)に通して得られるMAC(Message Authentication Codes)と呼ばれる数値を比較する。これは、指紋(フィンガープリント)とも呼ばれる。

データに変更があればこの数値が変化するため、改竄を検知することができる。

SSLには大きくSSLv2とSSLv3があり、現在はSSLv3が使用されている。

SSLv2は脆弱性があったため、殆ど使われなかった。

正しく用いれば、SSL証明書が本物のWebサイトかどうかを証明してくれる。

個人情報や、クレジットカード番号の入力などは、暗号化だけでなく、その先が本物かどうかも重要な要素であるため、証明は大切である。

しかし、SSL証明書の発行は非常にお粗末なのが実態で、挙句の果てには自分で自分を証明(?)したりした信頼性0のSSL証明書、通称「オレオレ証明書」を使うサイトまで登場した。

かくして、SSLの仕様上は「本物のSSL証明書」を使った偽サイト「フィッシングサイト」も登場することとなり、問題となった。

SSL証明書の信頼性がなくなったため、現在は「EV SSL証明書」も使われる。