15.レンタルサーバーとSSL(2)-SSL証明書の種類と認証局

SSL と SSL証明書の概要については、前の記事でおおむね理解できたと思います。

ここでは、SSL証明書を発行している「認証局事業者」やSSL証明書の価格差の大きな原因になっている SSL証明書の種類など、SSL証明書についてもう少し踏み込んで説明してみたいと思います。

SSL証明書の認証局事業者とは？

SSL証明書は運営者の実在証明をするものですが、ではその証明は誰が行っているのでしょうか。

その証明を行っているのが、「認証局事業者」と言われる組織です。シマンテック（旧ベリサイン）やサイバートラスト、グローバルサインと言った企業名を見ればピンとくると思います。

ただ、その認証事業者が本当に実在している組織かどうかはわかりません。

そのため、その認証局事業者自体が本物かどうかを証明するのが「中間CA」と言われる組織で、中間CA が発行する証明書を「中間CA証明書」と呼びます。CAは「Certificate Authority」の略で、「認証局」のことです。

この中間CA証明書は複数あることがあります。ある中間CA自体も、他の中間CAにその存在を証明してもらうことで信頼性を上げているわけですね。

さらに、その中間CAを証明しているのが「ルート認証局」です。「ルート認証局」の実在性は自分自身だけが証明しており、これ以上の認証局はありません。

認証局事業者の「SSL証明書」、「中間CA証明書」は取得する必要がありますが、ルート証明書は信頼性が高いため、すでに各ブラウザに格納されています。また、中間CA証明書は、SSL証明書の中に含まれて提供されます。

このように複数の認証局が存在して、それぞれ証明書を発行することで、最終的にSSL証明書の信頼性の高さを証明しています。

SSLサーバー証明書の種類（認証のレベル）

レンタルサーバーで SSL のサービスを見たことがある人の中には、SSL にもいくつもの種類があり、また非常に価格の差が大きいことに驚いたことがある人がいると思います。

実は SSL と言っても一括りにできるものではなく、その SSL証明書が証明するレベルによって大きく以下の3つの種類に分かれます。

・DV証明書（Domain Validation）
・OV証明書（Organization Validation）
・EV証明書（Extended Validation）

以下に、それぞれの違いを簡単に説明します。

なお、これらの証明書の違いは、暗号強度の違いを示しているわけではありません。あくまでも認証の質に違いがあることを示しています。

DV証明書（ドメイン認証型）

該当のドメインの持ち主かどうかのみを証明する証明書で、ドメインの所有者であることが証明できれば取得ができますので、個人でも取得が可能です。

運営者の実在証明はしないため、ある意味誰でも取得できるため、企業サイトに似せて作ったフィッシングサイトであっても取得することができてしまいます。

DV証明書を取得していれば、ブラウザに鍵マーク（南京錠マーク）が表示されます。

例：ラピッドSSL・ドメイン認証SSL（SecureCore）など

OV証明書（法的実在証明）

ドメインの所有者であること、また実際の運営組織が存在することを、帝国データバンクなどの第三者データベースなどで確認して発行する証明書で、法人のみが取得できます。

同じくブラウザに鍵マーク（南京錠マーク）が表示されます。

例：トゥルービジネスID（ジオトラスト）・企業認証SSL（グローバルサイン）など

EV証明書（物理的実在証明）

ドメインの所有者であること、実際の運営組織が存在することを、帝国データバンクなどの第三者データベースなどで確認し、さらにデータベースに記載されている電話番号に電話をして組織の物理的存在も確認します。

最も高い信頼性がある証明書で、法人のみが取得できます。主に金融系の企業などが利用しています。

ブラウザに鍵マーク（南京錠マーク）が表示されることに加え、アドレスバーが緑色に変わりますので、一目で安全なサイトであることがわかります。

例：トゥルービジネスID with EV（ジオトラスト）・EV SSL（グローバルサイン）など

当初 SSL証明書の審査基準はバラバラだったため、安易な確認のみの認証と厳格な認証が混在していましたが、どちらもブラウザでは鍵マークが表示されてしまうため、様々なネット上の犯罪に利用されてしまいました。そのため、より高度なレベルの証明が必要とされるようになり、EV証明書が作られるようになりました。

そのため EV証明書では全世界で一定の共通した認証方式が定められ、高い信頼性を持っています。また、ブラウザ側でも EV証明書を用いている場合は、アドレスバーを緑色に表示するようにするなど、一目でその信頼性をアピールできるようになっています。

以上のように、SSL証明書が証明しているレベルは大きく異なるため、SSL証明書自体の価格にも差が生まれているというわけです。

また、SSL証明書の追加の機能として、Webサイトがマルウェアに感染していないか定期的にスキャンをしてくれたり、「シールインサーチ」と言って検索サイトの検索画面のサイト名の横に「シマンテック」などのブランド名のマークを表示し、安全性をアピールできる機能などもあり、メーカーによる価格の差を生んでいるようです。

SSL証明書はみな同じ、と思っている人も多いと思いますが、このように各サービスの内実はかなり異なりますので、SSL証明書を選ぶ際には十分内容を理解したうえで取得する必要があるでしょう。

なお、ネットショップなどを経営するのであれば、SSL証明書は OV証明書を取得しておきたいところですが、個人情報や決済情報を取得しないサイトであれば、現状は DV証明書で十分と言えるでしょう。