- 通信経路上での盗聴・改ざん・なりすましの3つの脅威から守るために暗号化を使った通信のこと
- インターネットを通じる決済・ログイン・個人情報送信など、第三者に見られてはいけないデータを送受信するすべての場面でセキュア通信は必須の基盤技術となっている
- カフェのWi-Fiで暗号化されていないHTTPサイトにログインするのは周囲の人に声でパスワードを伝えているのと同じリスクがある。ブラウザの南京錠アイコンがセキュア通信（HTTPS）の証だ
【深掘り】これだけ知ってればOK！
セキュア通信を支えるSSL/TLS証明書は、認証局（CA：Certificate Authority）と呼ばれる第三者機関が発行し、サーバーの正当性を保証する。Let’s Encryptという非営利の認証局が登場してから、個人サイトや中小企業でも無料でTLS証明書を取得できるようになり、HTTPS化が一気に普及した。証明書の有効期限は90日で、certbotなどを使った自動更新を設定しておくのが運用の基本だ。
企業システムではVPN（Virtual Private Network）もセキュア通信の手段として使われる。インターネット上に暗号化されたトンネルを掘り、社外から社内ネットワークに安全につながる仕組みだ。ただしVPN機器自体が攻撃対象になるケースもあり、ファームウェアを最新に保つことが必須の運用だ。
HTTPS＝完全安全という思い込みを捨てることがセキュリティの第一歩だ。技術が通信を守り、人間がサイトの正当性を確認するという役割分担が現実的なセキュア通信の使い方だ。
よくある誤解
HTTPSとTLSは別物という誤解
HTTPSはHTTPにTLS暗号化を組み合わせたプロトコルだ。「SSL証明書」という呼び方が今でも慣習的に使われているが、実際にはSSLはすでに廃止されておりTLSが使われている。「SSL/TLS証明書」と両方書くのが正確だが、現場では「SSL証明書」と呼ぶことが多い。
セキュア通信＝VPN、という誤解が根強い
VPNはセキュア通信を実現する手段の一つに過ぎない。HTTPS（TLS）・SSH・IPsecなど複数のプロトコルがあり、用途と環境によって使い分ける。「とりあえず全部VPN経由にすれば安全」という発想では、VPN自体が単一障害点になるリスクを見落とすことになる。
会話での使われ方
この決済フォーム、HTTPのままになってますよ。カード番号が平文でネットワークを流れるので、至急HTTPSに切り替えてください。PCI DSS違反にもなります。
セキュリティ担当がWebアプリのコードレビュー中に開発者に指摘している場面。決済フォームのHTTPは重大なコンプライアンス違反に直結する。
社外からのアクセスはVPN経由にしてもらえますか。セキュア通信でないと社内のファイルサーバーへの接続を許可できないセキュリティポリシーになっています。
IT部門の担当者がテレワーク開始の社員にリモートアクセスのルールを説明している場面。テレワーク時のVPN使用は多くの企業でセキュリティポリシーとして義務付けられている。
TLS 1.0と1.1はもう使えないんですか？古い決済システムと接続する必要があって、証明書エラーが出るようになってしまいました。
システム担当者がインフラエンジニアに互換性問題を相談している場面。TLS旧バージョンの廃止による接続問題は実務でよく発生するトラブルだ。
【まとめ】3つのポイント
- 「通信の3つの脅威を暗号化で防ぐ」：盗聴・改ざん・なりすましを防ぐためにTLS 1.3という暗号化プロトコルが使われており、HTTPSのSがその証だ
- HTTPSでも安心しすぎないことが大切：フィッシングサイトもHTTPSを使えるため、URLドメインの目視確認という人間側の習慣がセキュリティの最終防衛線になる
- TLS 1.3が現在の標準・旧バージョンは廃止済み：TLS 1.0・1.1・SSLは廃止されており、旧バージョンしか対応していない古いシステムは脆弱性リスクが高いため計画的な更新が必要だ
よくある質問
- QTLSとSSLの違いは何ですか？
- A
TLSはSSLの後継プロトコルです。SSLには脆弱性が発見されたため廃止され、TLSに置き換えられました。現在でも慣習的にSSL証明書と呼ぶことが多いですが、実際に使われているのはTLS（現在はTLS 1.3が推奨）です。
- QLet’s Encryptとは何ですか？
- A
Let’s Encryptは無料でTLS証明書を発行できる非営利の認証局（CA）です。自動更新（certbot等）にも対応しており、個人サイトや中小企業のWebサイトのHTTPS化に広く使われています。証明書の有効期限は90日で、自動更新を設定しておくのが運用の基本です。
- QHTTPSのサイトは完全に安全ですか？
- A
HTTPSは通信の暗号化を保証しますが、サイト自体の安全性は保証しません。フィッシングサイトもHTTPSを取得できます。URLのドメイン名が本物かどうかを確認する習慣が重要です。
- Qセキュア通信とVPNの違いは何ですか？
- A
VPNはセキュア通信を実現する手段の一つです。TLS（HTTPS）・SSH・IPsecなど複数のプロトコルがセキュア通信に使われます。VPNはインターネット上に暗号化トンネルを作り、社外から社内ネットワークに安全にアクセスする用途に特化した技術です。
この用語と一緒に知っておきたい用語
| 用語 | この記事との関連 |
|---|---|
| HTTPS | 次のステップとしてHTTPSを学ぶと知識が広がります。HTTP over TLSの略。WebサーバーとブラウザのHTTP通信をTLSで暗号化したプロトコル。URLが「https://」で始まりブラウザに鍵マークが表示される |
| SSL | SSLとの関係を知ると全体像がつかみやすくなります。インターネット上でやり取りするデータを暗号化する技術のことだよ |
| VPN | VPNは関連分野でよく登場する重要キーワードです。Virtual Private Networkの略。公衆のインターネット上に暗号化されたトンネルを構築し、プライベートネットワークのように安全に通信できる技術だ |
| 暗号化 | 次のステップとして暗号化を学ぶと知識が広がります。データを特定の鍵（アルゴリズム）を使って第三者には読めない形式に変換する技術。鍵を持つ者だけが元のデータ（平文）に戻せる（復号できる） |
| サイト | サイトは関連分野でよく登場する重要キーワードです。関連する複数のWebページを、一つのまとまりとして束ねたもの、それがサイトだ |
【出典】参考URL
https://www.ipa.go.jp/security/vuln/ssl_crypt_config.html ：IPA TLS設定ガイド
https://letsencrypt.org/ja/ ：Let’s Encrypt公式
https://ssl-checker.online/ ：SSL証明書確認ツール
コメント