GIGAZINEにおけるEV SSLの説明の間違い
ちょっと大人気ないタイトルかもしれないが、誰も指摘していないようなので、間違った認識が広まることを懸念して、このようにつけさせてもらった。
ITmediaに 機能強化版SSLは「厳格な審査で一段高い信頼を実現」という記事が載っていたので、EV SSLが現在どの程度認知されているかと思い、検索していたら、今年の2月にGIGAZINEに IE7のアドレスバーが緑色に変化する「EV SSLサーバ証明書」を体験 という記事が投稿されていたのを発見。
GIGAZINEの誤解
IE7のアドレスバーの画面をふんだんに使うことでわかりやすく説明しているのは、さすが人気サイトという感じだが、残念なことにSSLの認識理解に誤りがある。
アドレスの最初が「https」で始まるSSL（Secure Socket Layer）による暗号化通信ですが、現時点では暗号化とそのサーバの証明書（サイトの実在証明）とが混同され、すべて同じ鍵マークで表示されます。結果、単純に暗号化されているサイトと実在が証明された安全なサイトとが区別できない状態でした。そのため、フィッシング詐欺のサイトなどでは来た人をだますためだけにSSLを実装するという始末。
SSLはPKIを用いたトランスポート層のセキュリティ機能だ。PKIを使うことで、証明書による認証−つまりそのサイトが実際に名乗っているサイトと同一であることの証明−と通信の暗号化が可能となる。「暗号化とそのサーバの証明書（サイトの実在証明）とが混同され」ることはプロトコル上はありえない。フィッシング対策の観点での従来のSSLの問題点は、
- フィッシングサイトであってもSSL用の証明書を入手できてしまい、SSL上は正しいサイトであっても、それが実社会において社会的に信頼たる会社のサイトであることを証明することができない
- ブラウザでSSLで接続しているサイトに発行したCAやそのCAにより発行された証明書の内容を簡単に把握することが難しい
に集約される。
つまり、（粘着のようで申し訳ないが、）「単純に暗号化されているサイトと実在が証明された安全なサイトとが区別できない状態でした」ということはない。単純に暗号化されているサイトとは何を言っているか不明だし、「実在が証明された安全なサイト」かどうかは、ブラウザのアドレスバーもしくは右下に出てくる鍵アイコンをクリックし、読みにくい証明書を理解できれば判別はできた。
EV SSLとは
EV SSLはSSL用の証明書発行のCAを限定し、証明書のOIDに特別な値を挿入することで、通常のSSLではなく、審査を限定に行ったものである。これにより、先ほどの問題点の１つ目が解決される。また、IE7および今後のメジャーブラウザでは、EV SSLの場合にはアドレスバーで簡単にそれが判別できるようになる。たとえば、普段ログイン時に緑色にアドレスバーが表示されていたのに、メールで送信されたURL（フィッシングサイトのURL）をクリックしたら、緑にはならなかったという場合には、ユーザーはそれを怪しいと感じることができるだろう。これで先ほどの問題点の２つ目が解決される。
EV SSLの説明はWikipediaのそれがわかりやすくまとまっている。参照されたし。
EV SSLへの期待と不安
ここで話を少し変える。GIGAZINEの記事の誤解を解くことは以上で終わりなので、興味のない人は以下は読まなくて良い。
そもそもSSLもその登場時はSSLによってサイトのみならず会社まで含めての実存確認が期待できた。少なくとも期待できるような雰囲気はあった。なぜ、それが今のような事態になってしまったのかというと、ブラウザやOSにあらかじめ登録されているルートCAがゆるい基準*1で節操もなく増えてしまったことと、一部のCAがいい加減に証明書を発行しまくったためである。いい加減に発行された証明書を使ってフィッシングサイトにもSSLが利用できる。それが現状だ。
EV SSLはサーバーの実存証明だけでなく、その証明書を発行された会社の社会的な信頼までも保証しようというものだ。その意味では本来利用者が期待していた環境に近づけるものだ。
ただし、一方で若干の懸念もある。
現在、EV SSL用の証明書を発行できる認証局は限られている。ざっと見たところ、米国の認証局に限られているようだが、たとえば日本のGPKIの認証局はここに含まれるようになるのだろうか？ 日本のGPKIの認証局といえば、昨年やっとWindows Updateを通じて、マイクロソフトから正式にルート証明書を配布されるようになった。EV SSLの用途はEコマースが当面は中心になると思われるが、行政でのPKIの利用が一般化すれば、GPKIのおいてもEV SSLを利用したいという要求が出てくるだろう。EV SSL用の認証局の審査は厳密に行うべきであるが、一方で各国の要求に柔軟に対応できるだけの枠組みも求められよう。ただし、柔軟性を必要以上に高めると、今度はまた当初のSSLの二の舞になる。節操のないEV SSLの拡大は避けなければならない。難しい運用をCA/Browser Forum*2は求められるようになるのかもしれない。
