SSLにおける自己署名証明書のリスクとは？暗号化できればいいという考えは危険
サイトを常時SSL化する際には、通常、第三者認証機関（認証局）が発行したSSLサーバー証明書を使用しますよね。
ところが、中にはサイト管理者などが自分で発行する「オレオレ証明書」と呼ばれる自己署名証明書が使用されることもあります。
今回は、SSL化においてオレオレ証明書と言われる自己署名証明書のリスクについて、ご紹介していきます。
自己署名証明書とは？
まず始めに、自己署名証明書とは、自分の秘密鍵に対応している公開鍵に電子署名したサーバー証明書です。
一般的なSSLサーバー証明書は認証局が発行しますが、実際に知識さえあれば、自分で作成したサーバー証明書＝自己署名証明書を使って暗号化通信を行うことができてしまいます。
しかし、自己署名証明書は第三者機関である認証局に証明書の正当性を証明されていません。
そのため、証明書の信頼性はかなり低いと言えます。
自己署名証明書であってもSSL通信自体は行われることから、社内用のWEBサービス・イントラネットなどで自己署名証明書を使用するという会社も一部あります。
しかし、自己署名証明書には多くの危険性があるため、次の項目にて詳しく解説していきます。
自己署名証明書の危険性
暗号化通信はできるものの、自己署名証明書を使用したWEBサイトにアクセスすると、ブラウザ上に警告文が表示されてしまいます。
SSL通信を行う際に使用するブラウザには、認証局のルート証明書があらかじめ入っており、接続先のサイトが信頼できるかどうかを判断しています。
認証局が発行した証明書には、ルート証明書がインストールされているため、サイトに接続した際に警告文が表示されることなく閲覧できます。
しかし、自己署名証明書の場合、Google ChromeやInternet Explorerなど大手どころのブラウザには初期状態では入っていません。
そのため、自己署名証明書を使用したサイトに接続すると、信頼できないサイトという旨の警告文が表示されてしまうのです。
好んで自己署名証明書を使用する場合「サイト接続時に警告文が表示されることはわかっているため大丈夫」と警告を無視してIDやパスワードなどを入力して使い続けていると、悪意のある第三者が作成した、外見上では判断することができない証明書をダミーとして表示させてきた時に、いつも通り警告を受け入れてしまう可能性があります。
そのような場合には、重要なログイン情報が悪意のある第三者に傍受され、悪用されてしまう危険性が高まります。
このようなことから、通信経路上で使用する機器が、全て社内の管理下にあるイントラネット限定で運用されるサーバであっても、自己署名証明書を使用することが避けたほうがいいでしょう。
サイトのSSL化でお困りの場合は、弊社にお任せください
今回は、SSL化における自己署名証明書のリスクについてご紹介しました。
サイトのSSL化に関してお困りのサイト運営者の方などは、弊社のSSL化代行サービスがおすすめです。
今なら、無料相談キャンペーンを実施しております。
弊社にお問い合わせいただく70％は、専門知識を持たれていない読者様からです。
わかりやすい言葉でご説明させていただくように心がけておりますので、お気軽にご相談くださいね。
関連記事
