クラウド、スマホ時代の新しいSSL証明書サービスとは

　2012年2月に米国で開催されたセキュリティ関連イベントのなかでGoogleやTwitter、Facebookなどが参加したパネルディスカッションによる「常時SSL」が話題になりました。

特集特集

2012年7月19日（木） 08時00分

「常時SSLとは全てのページをSSLで暗号化するものです」日本ジオトラスト株式会社の上杉謙二氏

　仮想化によるドメイン数の増加や、Wi-Fi接続のスマートフォンやタブレットPCの普及、そして個人情報を扱うソーシャルサービスの急拡大によって、SSL証明書を取り巻く環境と利用者のニーズが変化を迎えている。

　こうした状況を受け、イードが5月に実施した「イード・アワード2012 SSL証明書顧客満足度調査」で、日本ジオトラストが総合満足度1位となった。そこで、同社の上杉謙二氏に日本ジオトラストの概要やサービスの差別化ポイント、今後の展開などについて話を聞いた。

――最初に、日本ジオトラストの事業概要を教えてください。

　ジオトラストブランドのSSLサーバ証明書は、全世界で150ヵ国、10万以上の組織や団体で利用されています。世界第2位のSSLサーバ証明書発行認証局であり、低価格SSLサーバ証明書市場では世界最大です。一方、日本国内では、2006年に日本ジオトラストが国内最大手である日本ベリサインの100％子会社になりました。ベリサイングループになったことで、証明書の発行体制や運用体制がさらに安定しております。

――SSL証明書のニーズはどのように変化していますか。

　SSL証明書には、SSL技術によって情報を暗号化する機能と、ウェブサイトを運営している組織や団体が本物であるかどうかを示す企業の実在性の証明の機能があります。インターネット上でやり取りされる情報の多くは平文と呼ばれるテキスト情報で送受信されるため、その通信経路で情報を盗み取られるリスクがあります。そこでSSLによって情報を暗号化することで、万が一情報が盗聴されても解読できないようにするのです。

　最近では、パソコンからだけでなく、スマートフォンやタブレット端末からサイトにアクセスし、ログインすることが当たり前になっています。しかし、そこで入力するIDやパスワードをはじめとする個人情報は、ユーザ側で暗号化することができません。つまり、サイトを運営する側がWebサーバに予めSSL証明書をインストールしておく必要があります。こうした個人情報を含むデータを安全にやり取りするために、SSLに対応したサイトを利用したいというニーズも高まっており、日本ベリサインが調査した結果（註1）では、83％以上のインターネットユーザが「個人情報を入力する際には必ず暗号化が必要」と回答しています。

　例えば、ECサイトがSSLに対応していなかったことで買い物をあきらめるというユーザも少なくありません。これは逆に言えば、SSLや企業の実在性をアピールすることによってサイトの信頼性やブランド力を高め、売上を向上できる可能性も高くなるということになります。もはやSSLは当たり前になりつつあり、「対応するかどうか」よりも「どのようにインターネットユーザに安全性をアピールするか」という段階になっています。

――ジオトラストのサービスの差別化ポイントはどこでしょう。

　ジオトラストのSSL証明書は、おかげさまで2年連続で国内純増数1位（註2）を獲得しました。大きな特長は「低価格」「最短2分のスピード発行」「複数サーバでも追加ライセンス無償」「携帯端末・スマートフォンへの高い対応率」の4つが挙げられます。加えて、ベリサイングループであることの堅牢な証明書の発行・運用体制があげられます。特に追加ライセンス無償機能は負荷分散環境など複数のサーバを同時に運用している場合に大幅なコスト削減になります。さらに携帯端末は、95.7％、スマートフォンは100％と国内最大手のベリサインに次ぐ対応率です。また、証明書の無償再発行や30日間の完全返金保証など、導入後もスムーズに運用できるサービスをご用意しています。

　ジオトラストのSSL証明書の製品ラインナップは、大きく2つあります。ひとつは、認証とよばれる発行審査をオンラインで実施するため、最短2分と短期間で証明書を発行する「クイックSSLプレミアム」。もうひとつは、登記事項証明書やドメインの所有権などをきちんと確認することでウェブサイトの運営企業が実在していることを証明する企業認証型証明書「トゥルービジネスID」です。いずれの製品も低コストながら、SSLの対応率などの機能を充実させること、またSSL証明書の発行・運用体制はきちんと堅牢に保つこと、そしてお客様の声を常に取り入れてサービスに反映しております。

――SSL証明書の利用用途が変わりつつあります。「常時SSL（Always on SSL）」とはどういうコンセプトですか。

　今年2月に米国で開催されたセキュリティ関連イベントのなかでGoogleやTwitter、Facebookなどが参加したパネルディスカッションによる「常時SSL」が話題になりました。常時SSLとは、ログインページや決済ページなどの従来から暗号化が必要とされているページだけでなく、サイトのすべてのページをSSLで暗号化するというものです。その理由には、まずWi-Fiの拡大があります。スマートフォンやタブレット端末がWi-Fiに標準対応しているほか、携帯ゲーム機やデジカメ、モバイル無線ルータ、さらにはテザリング機能などWi-Fi対応機器が急増したこと、またホテルや空港、カフェなどの公衆無線LANサービスも充実してきました。

　一方で、Firefoxのアドオン「Firesheep」などCookieに含まれる利用ユーザのセッション情報を簡単に盗み取ることができるツールが登場し、特にフリーの公衆無線LAN（ホットスポット）では、アカウント情報の窃取のリスクが高いことが指摘されています。この対策として、全てのウェブページをSSL化してCookieのユーザ情報を安全にやりとりする常時SSLは、最も簡単に設定可能なセキュリティ対策の1つとして挙げられます。実際にTwitterでは、2012年1月にすべてのユーザに常時SSLを提供開始し、https はすべてのユーザのデフォルトオプションとなりました。3月にはログイン後の google.co.jpも常時SSLに対応し、その動きはさらに加速しつつあります。

――日本ジオトラストの今後の事業方向性は。

　このような拡大するWi-Fi環境に伴い、インターネットユーザがよりセキュアな環境で安心してアクセスできるよう、ウェブサイト運営者への常時SSLの認知向上と対策の理解活動を実施して参ります。また、ジオトラストのSSLサーバ証明書はサーバの追加ライセンスが無償のため、全ページSSL化によるコストが抑えられること、ベリサイングループならではの堅牢な証明書発行・運用体制をアピールしていきたいと考えております。また、企業認証型SSL証明書の発行スピードをさらに短縮するなどのサービス向上も実施していきます。

　また、2011年にいくつかのSSL証明書を発行する認証局が攻撃・ハッキングされ、偽のSSLサーバ証明書が発行されるという事件が発生しました。この事件をきっかけに各認証局にはより厳格なサーバ証明書発行業務遂行が求められています。こうした背景から2012年7月に、認証、セキュリティ、監査、証明書の仕組みなど、認証局が守るべき基本要件をまとめた「Baseline Requirement」が発効されました。日本ジオトラストは、上記基本要件に準拠する体制はもちろんのこと、引き続き厳格な認証を行って参ります。

――最後に、イード・アワード受賞の感想を一言お願いします。

　大変嬉しく思っています。総合満足度で1位をいただけたのは、全体的なバランスやコストパフォーマンスが評価していただけたポイントではないかと思っております。また、常にお客様の声を聞いて改善するPDCAをしっかりと回してきたことが大きな要因とも考えております。これからも、お客様のニーズにいち早く応えられるよう、サービスの向上に努めたいと思っております。

――ありがとうございました。

※1　日本ベリサイン株式会社「インターネットセキュリティに関する意識調査」（2010年12 月）
※2　Netcraft調べ（2012年1月）

スマホ時代のSSL証明書の新しいあり方

《編集部@RBB TODAY》

PickUp

Scan PREMIUM 会員限定記事

Scan PREMIUM 会員限定記事特集をもっと見る

クラウド、スマホ時代の新しいSSL証明書サービスとは

関連記事

Scan PREMIUM 会員限定記事

サイバーインテリジェンス、サービスの実力と利用料金

ここが変だよ日本のセキュリティ第35回「セキュリティは夏を制したものが勝つ？」後編過去に学ぶ

「世界で人気はハッカーにも人気」ブリティッシュ・エアウェイズ個人情報 38 万件被害（The Register）

ここが変だよ日本のセキュリティ第34回「セキュリティ・〇ンコ知新ドリル」前編過去に学ぶ

カテゴリ別新着記事

関連記事

Scan PREMIUM 会員限定記事

サイバーインテリジェンス、サービスの実力と利用料金

ここが変だよ日本のセキュリティ 第35回 「セキュリティは夏を制したものが勝つ？」後編 過去に学ぶ

「世界で人気はハッカーにも人気」ブリティッシュ・エアウェイズ個人情報 38 万件被害（The Register）

ここが変だよ日本のセキュリティ 第34回 「セキュリティ・〇ンコ知新ドリル」前編 過去に学ぶ

カテゴリ別新着記事

脆弱性と脅威 記事一覧へ

「Adobe Reader」「Acrobat」に「攻撃リスクの高い」脆弱性（JPCERT/CC、IPA）

BIND 9.xに、マニュアルの記述と実際の動作の不一致による脆弱性（JPRS、JVN）

仮想通貨を要求する日本語の脅迫メール確認（JPCERT/CC）

MyJCBを騙るフィッシングメール、期限を設定も記載はなし（フィッシング対策協議会）

Appleが「Safari」「iOS」など5製品のセキュリティアップデートを公開（JVN）

正規のデジタル証明書で署名されたマルウェアを確認（カスペルスキー）

インシデント・事故 記事一覧へ

仮想通貨取引所Zaifへの不正アクセスで約67億円相当が外部に流出（テックビューロ）

約50名分の顧客情報記載書類紛失（北海道銀行）

受信契約者の個人情報が含まれる帳票を紛失（NHK）

リスト攻撃と推測される不正ログインでワオンポイントが別のカードに移行される被害（イオンマーケティング）

ローソンアプリを使ったdポイントの不正利用が判明、「デジタルdポイントカードサービス」を一時停止に（ローソン）

特定条件での脆弱性が発覚、「消費税転嫁・下請取引申告受付システム」を一時停止（経済産業省）

調査・レポート・白書 記事一覧へ

パスワードや認証情報を狙う脅威が多発--四半期レポート（ウォッチガード）

IoTセキュリティ研究に焦点を当てた「CYBER GRID JOURNAL」（ラック）

世界の子供の夏休みオンライン活動、統計データ（カスペルスキー）

拡張子「.iqy」のファイルが添付されたマルウェアメールが増加（IIJ）

フィッシング詐欺が過去最大、法人を狙うケースも（トレンドマイクロ）

不正払い戻しの被害が個人・法人ともに増加、口座不正利用被害も微増（全銀協）

研修・セミナー・カンファレンス 記事一覧へ

夢は Black Hat USA で講演 ～ キヤノンITS マルウェアラボ潜入記、設立目的と体制

サンドボックスと張り合うメールセキュリティ製品、大企業や金融に導入進む

“衛る” を最大化するセキュリティ競技 Hardening Project ～ 組織力を問う新ルールで初の宮古島開催

つながる世界の安全をテーマに「Trend Micro DIRECTION」東京・大阪で開催（トレンドマイクロ）

「会いに行ける編集長 」ScanNetSecurity 上野宣も登壇、事例に学ぶ組織的セキュリティ対策セミナー（マイナビ）

すでに満席も、Security Days Fall 2018 を大阪・東京で開催（ナノオプト・メディア）

製品・サービス・業界動向 記事一覧へ

サイバーインテリジェンス、サービスの実力と利用料金

「Falconプラットフォーム」刷新、Linux対応や認定トレーニングプログラム開始（CrowdStrike）

新宿区がシングルベンダによる多層防御を構築（トレンドマイクロ）

2つのアンチウイルスとIT資産管理を1つのクラウドサービスで提供（IIJ）

他社での被害や対処事例も、セキュリティ・カウンセリングサービス（NRIセキュア）

日本に22番目の拠点を設立、シェア3位を狙う（ESET、キヤノンITS）

おしらせ 記事一覧へ

編集部海外取材お土産 < 応募締切 9/30 >

[鋭意準備中] 今年もあの方に Black Hat USA 2018 の見どころを聞きました

[4月1日配信記事] サイバーセキュリティ専門誌 ScanNetSecurity が創刊 20 周年記念し物理セキュリティジャンルに進出、自宅警備に特化した姉妹誌を4月1日新創刊

[配信予告] 情報漏えい事故後の謝罪記者会見ワークショップを取材しました

[配信予告] あの方に今年の Black Hat USA 2017 の見どころを聞きました

[配信予告] 新連載「Heart of Darknet - インターネット闇の奥」開始のおしらせ

ここが変だよ日本のセキュリティ第35回「セキュリティは夏を制したものが勝つ？」後編過去に学ぶ

ここが変だよ日本のセキュリティ第34回「セキュリティ・〇ンコ知新ドリル」前編過去に学ぶ

脆弱性と脅威記事一覧へ

インシデント・事故記事一覧へ

調査・レポート・白書記事一覧へ

研修・セミナー・カンファレンス記事一覧へ

夢は Black Hat USA で講演～キヤノンITS マルウェアラボ潜入記、設立目的と体制

“衛る” を最大化するセキュリティ競技 Hardening Project ～組織力を問う新ルールで初の宮古島開催

「会いに行ける編集長」ScanNetSecurity 上野宣も登壇、事例に学ぶ組織的セキュリティ対策セミナー（マイナビ）

製品・サービス・業界動向記事一覧へ

おしらせ記事一覧へ