携帯電話でのSSLについて(参考資料)。

SSLとは。

SSL(セキュア・ソケット・レイヤ)とは、いわゆる暗号化されたプロトコルです。

クライアントとサーヴァの間でやり取りする全てのデータが暗号化されるため、外部から情報を盗まれる恐れは全くと言って良いほどありません。

具体的には、https:// スキーム名で始まるURLを入力(或いはリンクを指定)すると、先ず暗号化のための手続きが行われ、その上で HTTP の通信が行われます。

このため、クライアント側から送るデータはアドレスバーに打ち込んだURLからフォームで送信する全てのデータまでの全てが、またサーヴァから送られてくるコンテンツも漏れなく暗号化される事となります。

実はSSLで使われている暗号アルゴリズムは厳密には絶対に解けない暗号では無いのですが、暗号を解読するのに極めて長い時間が掛かるため(単純計算で何千年など)、解読出来たときには既に何の役にも立たない無駄なデータと化していると言う訳です。

SSLを用いたプロトコルでは外部から情報を盗まれる心配は殆ど無いのですが、肝心の先方はどうでしょうか。

先方そのものが"悪"であった場合、先方に犯罪に使える重要な情報を手渡してしまう事となります。

また、サーヴァとクライアントの間にクラッカが介入してクライアントに成りすまして情報を盗聴すると言う恐れも否定出来ません。

このため、暗号化の際には暗号化に使う鍵(キー)がサーヴァから発行された信頼出来るものである必要があります。

SSLでは、SSL証明書と呼ばれるデータを特定の認証業者(認証局)が発行し、それをユーザエージェントが確認すると言う方法を採っております。

具体的には、以下のようになります。

まず、サイトを運営する企業は予めヴェリサイン社(日本法人・日本ベリサイン社)など認証局に自社が信頼出来る企業である事を認めてもらったうえでSSL証明書を発行してもらいます。
- ジオトラスト(日本法人・グローバルサイン社)のように個人に対しても証明書を発行してくれる認証局もあります。
証明書を受取った企業はサーヴァにそれを登録しておきます。
一方、ブラウザ側も主要な認証局の情報を登録しております。
- 要は証明書を発行する認証局が信頼に値しなかったらその証明書の意味が無いからです。
実際にSSLを用いてアクセスする場合、ユーザエージェントはサーヴァに登録された証明書を確認し、それが正当であると判断したらその証明書のお墨付きがある鍵を受け取り、それを用いて暗号化して通信を継続します。
証明書が確認出来なかったり、証明書が失効しているなどの場合には通信を途絶したり、信頼出来ない相手である旨をダイアログで通告します。