今更ながらSSL（3.セキュリティについて考えてみた）

今回SSLの検証用に導入したIHSのhttpd.confを編集して、以前に導入した別の純正Apacheを起動して動作確認をする、という信じられないようなミスをしながらも、何とかSSLで稼働させることが出来ました。
（別のプロダクト起動しておいて設定が反映されるわけない・・・しかも↑のチョンボで１時間ほどロスしました。気が付くの遅い）

で、考えたこと。

a.　SSLの仕組みはよく考えられている
b.　でも、はっきりいって万全なセキュリティではない

SSLはネット通販サイトでは必須の機能です。SSLをサポートしていないサイトで、絶対にクレジットカード番号などを入力してはいけません。まあ、常識ですね。
しかし、逆に「鍵マークが出ていればまず安全」と思い込んでいる人が多いと思います。でもそれは完全に間違っています。まさに「逆は必ずしも真ならず」です。
証明書自体は誰にだって取得できます。だから、証明書があるからそのサイトは正しいとか、そのサイトに悪意がない、と判断するのは無謀なことです。

普通の人は、Yahoo！や楽天などの超メジャーサイトで、鍵マークを確認して、安心してクレジットカード番号などを入力していることでしょう。それは結果的にはおおむね健全な判断と言えます。

しかしその判断を成り立たせている、以下の要素を一つ一つ見てみましょう。

a. 定評のあるサイトだという思い込み
b. 正規のURLを参照しているという思い込み
c. 鍵が出ていることから来る安心感

a. 極端な話、信じられるサイトだと思って、正規のURLにアクセスして、鍵マークを確認していても、最後にその裏にいる人に騙されることがあるわけです。まあこのパターンではSSLがどうしたとか、そのレベルの議論にはなりませんが。

b. はしばらく前から流行っているフィッシング詐欺などに騙される可能性のことです。
騙りメールにウソのURLが載っていて「パスワード変更のお願い」というお知らせが来るわけです。アクセスしてみるとデザインはどう見ても正規のページ。URLもまあまあ不信なところはない。SSLにも対応している（何かポップアップウィンドウが出たけどよく分からないので無視した）。で、パスワード変更したらアカウントを乗っ取られてしまった、というパターンですね。
これに対応するには、メールを信用しない、サイトにはいつも使っているブックマークから飛ぶ、などの実践が必要です。もちろん、SSLの証明書をよく見れば分かる人は分かるのでしょうが、そんな面倒臭いことはできないですよね。多少SSLに詳しかったとしても。

c. 鍵が出ているからといって、そのサイトが信用できるとは限りません。確かにそのサーバまでの通信は暗号化されています。でもその先の人やサーバがどうなっているかは分かりません。
有名なサイトに行って、ブラウザで何の警告も出ずにSSL通信できたのなら、まず信じてよいとは思います。でも何らかの警告が出たら、まずさっさとそのサイトからは逃げたほうがよいと思います。例えどう見ても正規のページに見えたとしても。

まあ、結局はリスクをどう評価し、どう責任を取るかですね。それこそ、近所のスーパーに買い物に行っても、車にぶつかる可能性があるわけですから。

セキュリティも考えて見るといろいろ面白いものです。