ウェブサイトの安全と安心を知ろう！

2つの認証方法～ドメイン認証～

前回は、『暗号化通信』と、データの送信先である『サーバの実在認証』によってインターネット上の通信の安全が保たれているというお話を書きました。サーバの実在を証明するサーバ証明書は、サーバの身分証明書的役割をします。

現実社会で使われる身分証明書には、たとえば企業が発行する社員証や、公的機関が発行する運転免許証、保険証、国際的にも通用するパスポートなど、様々なものが存在します。公的機関が発行する身分証明書には偽造防止などがされていて複製が困難になっていますが、なかには社員証などのように比較的容易に複製できるものもあります。インターネットの世界でも、サーバ証明書が信頼できるものでなければ安全だとは言い切れません。

サーバ証明書は、そのサーバが実在する企業によりきちんと運営されていることを証明するもので、その発行の根拠となる認証の方法には2つの方法が存在します。その一つが『ドメイン認証』という方法です。

ドメイン認証は、インターネットで使われるドメイン／IPアドレスやそのIPアドレスを取得している管理者などの登録情報である『whois』情報を元にサーバの実在を証明する方法です。whois情報は、誰でも簡単に参照できるインターネット上の電話帳のようなものといえばわかりやすいかもしれません。ドメイン認証には、短期間＆低コストにサーバ証明書を得ることができるメリットがあり、いますぐサーバ証明書を手に入れたいといった時や、サーバ証明書がたくさん必要なウェブサイトで重宝する認証方法です。

whois.jp

しかし、2006年頭にショッキングなニュースが世間を騒がせました。本物のサーバ証明書を持ったフィッシングサイトが見つかったのです。現実の世界になぞらえると、公的機関が発行した本物の身分証明書を持って別人になりすました人が存在したことに等しい事件です。そのサーバ証明書を発行していた方法が、ドメイン認証でした。

すでにそのからくりが推測できている人もいると思いますが、ドメイン認証は誰もが閲覧できるwhois情報を記載して申請し、その情報がwhois情報として存在すれば認証が取得できます。つまり、whois情報を見て虚偽の申請を行っても、そのままサーバ証明書が発行されてしまうのです。ドメイン認証は、申請者と認定機関の信頼関係の上に成り立つ認証方法。でも、悪意ある人が虚偽の申請を行ってしまったら、サーバ証明書の発行を食い止める手だては残念ながらありません。

このようなケースはまだ報告事例が数少なく、ドメイン認証によって発行されたほとんどのサーバ証明書は信頼できるものですが、意外な落とし穴があったことで世間に衝撃が走った出来事でした。

それでは、私たちはどうしたら、より安全なウェブサイトを実現できるのでしょう。そのお話はまた次回に。

テクニカルライター・田中裕子

監修・ベリサイン