TLS/SSLについてのメモ
投稿日：2016年12月05日
最終更新日：
もくじ
- TLS/SSLの概要
- TLS/SSLのバージョンについて
- TLS/SSLの証明書について
TLS/SSLの概要
TLS/SSL(Transport Layer Security/Secure Sockets Layer)は、安全性を保証しなければならない通信を行う時に使われるプロトコルです。通信内容を暗号化したり、通信相手が本物であることを確認したり、通信内容が改ざんされていないかを検証したりします。皆様もネットバンキングや各種サービスのログインページなどで、「https://」から始まるURLを見たことがあるはずです。HTTPSでは、TLS/SSLを利用して暗号化されたデータをサーバー・クライアント間でやり取りするので、情報が通信経路上で抜き取られたり改ざんされたりしないようになっています。
ここまで「TLS/SSL」と書いてきましたが、このプロトコルは単に「SSL」とだけ言われることも多々あります。後述するように現在はTLSが使用されていますが、そのベースとなったのがSSLであり、その名が広く知れ渡っているため、その名残で現在もSSLと言われています。
TLS/SSLのバージョンについて
TLS/SSLにも幾つかのバージョンがあります。2016年12月地点で、最新バージョンはTLS1.2です。以下古いものから順に、
- SSL2.0
- SSL3.0
- TLS1.0
- TLS1.1
- TLS1.2
TLS/SSLは複数のバージョンがありますが、SSL2.0/3.0は既に脆弱性が発見されており、使用を停止するべきであるとされています。主なブラウザではデフォルトでSSL2.0/3.0は無効になっているはずですが、心配な人は自分で確かめてみましょう。
例えばWindows7のInternet Explorerの場合は、歯車マークから「インターネット オプション」を選択します。
「詳細設定」タブの「セキュリティ」カテゴリに、TLS/SSLのバージョン設定があります。万一SSL2.0/3.0が有効だった場合は、特別な事情がない限り直ちに無効化し、TLSを使用するようにしましょう。できるだけ最新のバージョンを有効化するのが望ましいです。
TLS/SSLの証明書について
ちなみに、TLS/SSLの証明書にも種類があります。証明書取得時の審査が厳格な順に、
- EV(Extended Validation)…証明書取得を申請してきた企業が実在することを厳格に確認。個人がこの証明書を取得することは出来ない。この証明書を使用しているサイトの場合、アドレスバーが緑色で表示される。ネットバンキング等ではまず間違いなくこれを拝むことが出来る。
- OV(Organization Validation)…証明書取得を申請してきた企業が実在することを確認。個人がこの証明書を取得することは出来ない。
- DV(Domain Validation)…申請してきた人(個人or企業)がドメイン名を所有していることだけを確認。手軽に取得できるが、企業の実在証明は行われない。
参考リンク
