2015.11.23
集中企画一覧 Web Designing 2015年12月号
Webディレクター／マーケターはもう知らないでは済まされない！ SSL導入実践ガイド（1/4） Chapter01：もし、SSLがなかったらどうなる？
「SSL」と聞いてそれが何かを的確に説明できる人は、Webサイトの運営者でもそれほど多くないかもしれない。さらにSSLがどのように役に立つのかをわかりやすく説明したり、具体的に導入を提案するのは簡単ではない。今回の集中企画では、なぜSSLがこれからのWeb運営に欠かせないと言われているのかを知り、SSLについての理解を深めよう。
Infographics：カーツメディアワークス
“もしSSLが存在しなかったら”インターネット上の取引はどのようなことになってしまうのだろうか？ 実際に起こり得る事態をいくつか紹介しよう。
通信の安全性を高めるSSL
「SSL（Secure Socket Layer）」は、主にインターネット上で安全な通信を行うための決まりごとだ。テクノロジー的な視点では、ネットワークに流れる情報を「暗号化」することで、この安全性を確保している。とはいえ、セキュリティ技術は縁の下で支える存在で、ユーザーがその存在を意識することはあまりない。
では、もしSSLによる暗号化がなかったとしたら、どのようなことが起こるだろうか。
まず、通信が暗号化されていないということは第三者に通信の内容が覗かれてしまう可能性がある（01）。つまり、悪意のある攻撃者が、通信経路の途中に細工して流れている情報を「盗聴」し、その中からメールアドレスやパスワードはもちろん、クレジットカード情報など直接金銭的被害につながる個人情報を入手することもできてしまう。特に最近はWi-Fi（無線LAN）環境が普及し、街中の公衆無線LANサービスなどが増えているが、この無線LANの設定が脆弱な場合、飛び交っている電波から情報を傍受できるのだから、犯罪者にとってこれほど楽なことはない。
SSLの基本機能は通信の「暗号化」だ。暗号化されていない通信は悪意のある第三者から盗聴され、個人情報が悪用されるリスクを伴う。特に公衆無線LANサービス（ホットスポット）の普及で、利用者のリスクはますます高まっている
さらに、Webサイトの顧客と運営者の間で通信の暗号化が行われないと、盗み見られるだけでなく情報そのものを「改ざん」されてしまう危険性が生じる（02）。たとえば、ECサイトで購入した商品の送り先や金銭の振込先を、警察の捜査が及びにくい海外に変更することも可能だ。しかもサイト運営者からは途中で情報が書き換えられているかどうかわからない。
SSLがなければ、通信内容を書き換えてしまうことも可能になる。たとえば、ECサイトで商品を購入した際に、第三者が発送先の住所を別の場所にするといったことも可能になってしまう
また、SSLは通信相手を「認証」するという側面があるが、認証抜きの通信では相手が本物かどうかわからないので、「なりすまし」を起こしやすくなる（03）。最近耳にするブランドサイトのフィッシング詐欺などがこれだ。酷いケースでは偽サイトの方がSEOが上手で検索結果の上位に表示される事態も起こっている。
本物のWeb サイトのデザインをそのまま模倣した「フィッシング詐欺サイト」の被害が増えている。SSL には通信する相手の存在を「認証」する機能もあるが、この機能がなければ「なりすまし」の被害を防ぐことはできない。
通信内容が保証されないということは、たとえ悪人が介在していなかったとしても取引の信頼性を著しく損ねることになってしまう。たとえば、Webサイトの顧客が100個のつもりで商品の数を入力したが、実際は入力ミスで桁が違う1,000個としてWebサイト運営者が受注したとする。それを納品しようとした際に顧客から「誰かに改ざんされた」と主張して受け取り拒否されるかもしれない。これが「否認」と呼ばれる事態で（04）、通信内容が保証されないということは、それだけでトラブルが生じるリスクが高いともいえる。
通信相手の認証も情報が正しく伝わるかも保証されなければ、ネット取引の真正性が根本から脅かされることにもつながる。たとえば、顧客から1,000個の注文が来ているのに、「100個のはずだった」と主張されても反証する方法がない
いずれすべてのサイトに影響が
Webサービスやネット取引などが存在しない静的なサイトであればSSLは不要かといえば、そんなことはない。近年、GoogleやYahoo!は、SSLを利用した「HTTPS」プロトコルで接続できるWebサイトの検索結果のランキングが有利になるようなチューニングを行った（P066参照）。今はまだその違いはわずかなものだが、今後はSSLで接続できないWebサイトはSEO的にますます不利になっていく（05）。これは、すべてのWebサイト運営者や制作会社にとって無視はできない。
また、SSLを導入しても、きちんと管理せずに放置しているとSSLのサーバ証明書が失効して、結果的には何もしないよりもさらに悪い結果をもたらしてしまう。たとえば、顧客がそのようなWebサイトにアクセスすると「証明書期限切れ」と警告が表示されるが（06）、普通の利用者であれば、このようなWebサイトで個人情報を入力したいとは思わないはずだ。
サーバ全体がSSLを導入していると、GoogleやYahoo!などの検索サイトはそのページを高く評価する傾向が出てきた。逆に、そのまま何もしないとWebサイトの信頼性評価はどんどん下がってしまう
仮にSSLを導入しても、サーバ証明書には期限があるので、管理をおろそかにすれば「証明書期限切れ」のエラーが出てしまう。商品に問題がなくても、信頼性を損なってしまう危険がある
SSLで保護されているWebサイトのURLは、先頭が「https://」ではじまる。鍵のアイコンをクリックすると「SSL証明書」の情報が表示される。これからのWebサイトは、この証明書の運用が重要となる
