IIJでは広報誌「IIJ.news」を隔月で発行しています。本blogエントリは、IIJ.newsで連載しているコラム「インターネット・トリビア」と連動しています。
コラムの前半部分はIIJ.news vol.112(PDFで公開中)でご覧下さい。
前半では、SSLの機能の一つとして、「証明書」によりWebサイトの運営者の身元を確認ができる事を紹介しました。後半では、この証明書にまつわる話を紹介します。
その証明書、信用できるの？
SSLで用いられる証明書は、そのWebサイト1の身元を確認するための重要なデジタルデータです。そのデータを守るために電子署名という仕組みが使われています。電子署名では、署名されたデータが改ざんされた際に、それを検出することができます。また、データ自体に署名を行ったのが「誰か」という事も合わせて確認することができます。
認証機関(認証局)が証明書を発行するというのは、証明書本体のデジタルデータに対して、認証機関が電子署名を行う事を指しています。証明書のデータ自体は誰でも作れるのですが、認証機関が電子署名を行う事で、初めて「信用」が与えられるのです。
その「信用」を与えている認証機関は世界中にいくつもあり、その多くは民間企業が運営しています。政府が運営する認証機関もありますが、一般的な用途では使われません。これらの認証機関は、発行手続きやコンピュータセキュリティの観点から考えられた「安全な証明書を発行可能である」という基準を満たすことが求められています。
このような「信頼できる認証機関」の一覧が、OSやブラウザに組み込まれており、Webサイトから送られてきた電子証明書がこれらの認証機関によって電子署名されているかどうかが確認されます。もし、一覧にない機関により電子署名が行われていたり、署名があっても改ざんが検出された場合は「不審な証明書」「不正な証明書」として、Webサイトの閲覧者に警告が行われます。
偽物の証明書？
しかし、残念ながら、過去に正規の認証機関によって署名された証明書が、不正に第三者の手に渡るという事件が何度か発生しています。
かつて発生した事件では、証明書発行の手続き時に認証機関の担当者を騙すという詐欺的な手口が使われたと言われています。これらの事件では不正に取得された証明書はそれぞれ数枚であり、それらの不正に取得された証明書を無効とする処理が個別に行われました。
ところが、2011年には、第三者が認証機関の証明書発行用のシステムに不正侵入を行い、一度に大量の証明書を不正に発行するという事件が起きています。その中で最も影響が大きかったのはオランダの認証機関「DigiNotar社」のケースです。このケースでは、500枚以上の証明書が不正に発行され、その中にはgoogle.comやtwitter.comなど有名なドメインが含まれていました。
不正発行が明らかになった後、OS・ブラウザを開発している各社は、DigiNotar社を「信頼できる認証機関」の一覧から外すという処置を行いました。これにより、DigiNotar社により署名された証明書はすべて「不審な証明書」として扱われることになります。もちろん、不正に発行された証明書が「不審な証明書」と扱われることは妥当なのですが、それ以外の正規に発効された証明書も含めてすべてが「不審な証明書」として扱われることになったため、DigiNotar社から証明書の発行を受けていた正規のWebサイトも大きな影響を受けています。
なお、この事件の影響でDigiNotar社は破産宣告を受けることとなりました。
鍵マークの裏には
冒頭で「当サイトはSSLと呼ばれる暗号化技術により保護されており、お客様の情報を安全に取り扱うことができます」という典型的な文章を紹介しました。確かにSSLでは暗号化の技術も重要なのですが、単に暗号を使えばいいというわけではなく、「安全」を得るためには技術的にも手続き的にも考慮すべき事が数多くあります。
Webサイトにアクセスして「鍵マーク」を見たとき、その裏にはそんな話があるんだと思いだしていただければ幸いです。
関連コンテンツ
- IIJ.news vol.112
- Internet Infrastructure Review （IIR） Vol.13インフラストラクチャセキュリティ「公開鍵証明書の不正発行事件」
- IIJサーバ証明書管理サービス
- 厳密には、証明書はドメイン(FQDN)に対して発行されます [↩]