（最終更新月：2023年3月）
✔このような方へ向けて書かれた記事となります
「SSL/TLSの基本的な仕組みや機能について知りたい」
「SSL/TLSのセキュリティに関する問題や脆弱性は何だろうか？」
「SSL/TLSの実装や設定に関するベストプラクティスや注意点を教えてほしい」
✔当記事を通じてお伝えすること
- SSL/TLSについてやその違い
- SSL/TLSのセキュリティリスクやその対策
- SSL/TLSの設定方法
当記事では、ウェブサイトやアプリケーションなどの通信に使用される暗号化プロトコルであるTLS/SSLについて基本や違いなどを丁寧に解説していきます。安全な通信環境を構築するためにぜひご覧ください。
筆者プロフィール
【現職】プロダクトマネージャー
【副業】ブログ（月間20万PV）/YouTube/Web・アプリ制作
「プログラミング × ライティング × 営業」の経験を活かし、30後半からのIT系職へシフト。現在はプロダクトマネージャーとして、さまざまな関係者の間に入り奮闘してます。当サイトでは、実際に手を動かせるWebアプリの開発を通じて、プログラミングはもちろん、IT職に必要な情報を提供していきます。
【当ブログで紹介しているサイト】
✔人に見せても恥ずかしくないコードを書こう
「リーダブルコード」は、わかりやすく良いコードの定義を教えてくれる本です。
- 見るからにきれいなコードの書き方
- コードの分割方法
- 変数や関数の命名規則
エンジニアのスタンダートとすべき基準を一から解説しています。
何回も読むのに値する本なので、ぜひ手にとって読んでみてください。
TLS/SSLの基礎知識4選
まずはTLSとSSLの基本的なことを見ていきましょう。
なぜならTLSとSSLは、セキュアな通信を実現するためのプロトコルであり、通信の安全を確保するのに一役かっているからです。
- TLSとは？
- SSLとは？
- 身近なTLSとSSLの実例
- TLSとSSLの違い
TLSとは？
TLS（Transport Layer Security）は、セキュアな通信を実現するためのプロトコルです。
データをやり取りする際に、暗号化によってデータを保護できます。
HTTP通信によく使用され、HTTPSプロトコルによってセキュアな通信を提供します。
SSLとは？
SSL（Secure Sockets Layer）は、セキュアな通信を実現するための技術で、TLSの前身にあたるものです。
データを暗号化し、通信のプライバシーと完全性を保護するために使用されます。
SSLは、HTTPSを使用するWebサイトや、メールサーバーなどで使用されることが一般的でしたが、現在ではTLSによって置き換えられつつあります。
身近なTLSとSSLの実例
TLSとSSLにおいて身近な例をご覧いただきます。
具体的に見ていただくことで、イメージがしやすくなることでしょう。
- TLSの例：HTTPS通信（HTTPプロトコルをTLSで暗号化したもの）
- SSLの例：オンラインショッピング・オンラインバンキング（ただし、今ではTLSに置き換えられ、ほとんど使われていない）
現在では、ほとんどのケースでTLSが使われていると考えて良いでしょう。
TLSとSSLの違い
TLSとSSLの違いを具体的に見ていきましょう。
なんとなく同じように使っていますが、実はかなり違う特徴もあるのです。
- TLSはSSLの後継
- TLSはSSLに比べてセキュリティの面で強固
- SSLは、古いバージョンで最新のTLSに比べるとセキュリティの面で弱点がある
SSLは、セキュリティ上の脆弱性が発見されたため、現在は推奨されていないのです。
具体的には、POODLE攻撃と呼ばれる攻撃手法があり、SSLv3プロトコルを使用している場合に悪用される可能性があります。
対してTLSは、SSLの後継プロトコルであり、より強力な暗号化技術を使用しており、最新バージョンであるTLS 1.3は、より高速でセキュアな通信を実現します。
TLS/SSLの仕組みを詳しく解説
概要に加えてTLS/SSLの仕組みを詳しく見ていきましょう。
仕組みがわかればより具体的にイメージがつきます。
- TLSの仕組み
- SSLの仕組み
TLSの仕組み
TLSは、公開鍵暗号方式と呼ばれる暗号化方式を使用して、通信のセキュリティを確保します。
TLS通信では、サーバーが公開鍵と秘密鍵のペアを持っており、公開鍵はクライアントに公開されます。
クライアントは公開鍵を使用してデータを暗号化し、サーバーが持つ秘密鍵でのみ復号できるようにします。
通信のプライバシーと完全性を保護できるということで、TLS通信は、HTTPSプロトコルで採用されているのです。
SSLの仕組み
SSL（Secure Sockets Layer）は、TLSの前身となる技術で、現在ではTLSによって置き換えられています。
SSLもTLSと同じく、公開鍵暗号方式を使用して通信のセキュリティを確保しますが、脆弱性があるのです。
SSLの暗号は解読される可能性があることを理解しておきましょう。
TLS/SSLそれぞれのメリット・デメリット
TLS/SSLそれぞれのメリット・デメリットを紹介します。
TLS/SSLを理解するために、良い点・悪い点を理解しておきましょう。
- TLSのメリット
- SSLのメリット
- TLS・SSLのデメリット
TLSのメリット
TLSのメリットは、以下のとおり。
- データの暗号化ができる
- 通信相手が信頼できるか確認できる
- プライバシーが保護できる
- SEOでの向上が期待できる
TLSは暗号化をおこなって通信をおこなうので、さまざまなメリットがあるのです。
HTTPS通信などは、以上のメリットを享受しているといえるでしょう。
SSLのメリット
SSLのメリットは、TLSのものと似ていますが、PCI DSSコンプライアンスにおけるメリットもあります。
オンライン決済をおこなうサイトに必要な要件を満たせる可能性があるのです。
TLS・SSLはともに活用するメリットがあるといえるでしょう。
TLS・SSLのデメリット
それぞれのデメリットも見ておきましょう。
完璧な仕組みというわけではないのです。
- SSL：脆弱性が発見されていて、解読されるリスクがある
- TLS：バージョンによっては脆弱性が存在する可能性がある
- TLS・SSL：Webサイトが重くなってしまう可能性がある
どちらかといえばTLSがおすすめで、さらにそのバージョンも確認しておきましょう。
TLSにおけるセキュリティリスクとその対策
TLSのセキュリティリスクを見ておきましょう。
リスクを知っておけばその対策もできるようになります。
- 中間者攻撃
- BEAST攻撃
- CRIME攻撃
- Heartbleed
- POODLE攻撃
中間者攻撃
TLSの通信を傍受し、通信内容を盗聴・改ざんする攻撃。
対策としては、証明書の検証やセッション固定化などがあります。
BEAST攻撃
TLS 1.0の暗号化方式であるCBCモードにおいて、暗号化された通信内容を解読する攻撃です。
対策としては、TLS 1.1以降のプロトコルの使用や、RC4暗号化方式の使用があります。
CRIME攻撃
圧縮された通信内容を利用して、暗号化された通信内容を解読する攻撃になります。
対策としては、圧縮の無効化や、TLS 1.2以降のプロトコルの使用がおすすめです。
Heartbleed
OpenSSLの脆弱性を利用して、サーバーから秘密鍵やセッション情報を盗み出す攻撃です。
対策としては、OpenSSLのアップデートや、秘密鍵の再生成が挙げられます。
POODLE攻撃
TLS 1.0の暗号化方式であるSSL 3.0において、暗号化された通信内容を解読する攻撃。
対策としては、SSL 3.0の無効化や、TLS 1.1以降のプロトコルの使用があります。
SSLにおけるセキュリティリスクとその対策
SSLのセキュリティリスクも見ておきましょう。
TLSより一つ古いので、脆弱性が発見されています。
- 中間者攻撃
- SSLストリッピング
- SSL証明書の偽装
- SSL証明書の期限切れ
- SSLプロトコルの脆弱性
中間者攻撃
攻撃者が通信を傍受し、通信内容を盗聴、改竄、偽装できます。
対策としては、SSL証明書の検証や、HTTPS通信の強制化が必要です。
SSLストリッピング
攻撃者がSSL通信を解除し、通信内容を盗聴できます。
対策としては、HSTS（HTTP Strict Transport Security）を使用することが有効。
SSL証明書の偽装
攻撃者が偽のSSL証明書を使用して、ユーザーを偽のサイトに誘導できます。
対策としては、信頼できる認証局から発行されたSSL証明書を使用することが重要です。
SSL証明書の期限切れ
SSL証明書が期限切れになると、通信が暗号化されなくなります。
対策としては、SSL証明書の有効期限を管理し、期限切れ前に更新することが必要です。
SSLプロトコルの脆弱性
SSLプロトコルには脆弱性が存在し、攻撃者によって攻撃される可能性があります。
対策としては、最新のSSLプロトコルを使用することや、脆弱性を修正したパッチを適用することが必要です。
TLSの設定方法
TLSでインターネット上での通信を暗号化する手順を見ていきましょう。
以下が、TLSの設定方法の一般的な手順です。
- サーバーにTLS証明書をインストールする
- サーバーのTLS設定を構成する
- クライアントのTLS設定を構成する
- TLSのテスト
ただし、実際の設定方法は、使用するサーバーソフトウェアやクライアントソフトウェアによって異なる場合があるので注意してください。
サーバーにTLS証明書をインストールする
TLS証明書は、サーバーとクライアント間の通信を暗号化するために必要です。
証明書は、信頼できる認証局から購入できます。
Let’s Encryptを活用すると無料での利用もできます。
サーバーのTLS設定を構成する
サーバーのTLS設定を構成する必要があります。
これには、使用するTLSバージョン、暗号化アルゴリズム、および証明書の場所などが含まれます。
クライアントのTLS設定を構成する
クライアントのTLS設定を構成する必要があります。
これには、使用するTLSバージョン、暗号化アルゴリズム、および信頼できる認証局のリストなどが含まれます。
TLSのテスト
TLSの設定が正しく構成されていることを確認するために、TLSのテストを実行することができます。
これには、SSL LabsのSSL Server Testなどのツールを使用することができます。
SSLの設定方法
SSLで、ウェブサイトのセキュリティを強化する方法をご紹介します。
以下は、SSLの設定方法です。
- SSL証明書を購入する
- ウェブサイトのサーバーにSSL証明書をインストールする
- ウェブサイトのURLをHTTPSに変更する
SSL証明書を購入する
まず、信頼できる認証局からSSL証明書を購入する必要があります。
証明書には、ウェブサイトのドメイン名、会社名、住所などが含まれます。
ウェブサイトのサーバーにSSL証明書をインストールする
SSL証明書を購入したら、ウェブサイトのサーバーに証明書をインストールする必要があります。
証明書のインストール方法は、サーバーの種類によって異なります。
通常は、サーバーの管理者が証明書をインストールすることになります。
ウェブサイトのURLをHTTPSに変更する
SSL証明書をインストールしたら、ウェブサイトのURLをHTTPSに変更する必要があります。
HTTPSは、HTTPプロトコルにSSL/TLS暗号化を追加したものです。
HTTPSを使用することで、ウェブサイトの通信が暗号化され、セキュリティが強化されます。
まとめ：TLSとSSLならTLSがおすすめ
当記事の内容をまとめます。
- TLSは、通信を暗号化する
- SSLは、TLSの古いものと覚えれば良い
- TLSはHTTPS通信に使われる
TLSとSSLは同じように使われますが、微妙に異なります。
もしどちらかを選ばなければならないのなら、TLSを選ぶようにしてください。
通信を暗号化し、よりセキュアな環境を作りましょう。