Webサイトの常時HTTPS化が進んでいる。本サイトもLet's Encryptを使用して、HTTPS化を行っている。HTTPS化することで、サイトアクセスのセキュリティが、どのように向上するのか改めて整理してみたい。
記事の目次
HTTPS化の目的
HTTPS化は電子証明書を使用することで、ブラウザからWebサイト間の通信が暗号化される。これにより、以下が可能となる。
・インターネット上の通信を暗号化することにより、通信路におけるIDやパスワードなど重要な情報の漏えいを防ぐことが出来る。
・Webサイトの電子証明書を確認することにより、正しいサイトにアクセスしているか確認することが可能になる。
・HTTPSによる暗号化通信の方式を確認することにより、脆弱性のある通信を使用していないか確認することが可能になる。
HTTPS化の利点
HTTPS化の利点は、Webサイトの利用者および運営者の双方にメリットがある。それぞれの視点で、HTTPS化のメリットを整理する。
Webサイト利用者側からの視点
Webサイトが適切な電子証明書、暗号化方式を使用しているか確認することができる。脆弱性のある仕様の電子証明書や暗号化方式を使用している場合は、利用を控えることができる。
Webサイト運営者側からの視点
適切な電子証明書を使用し、脆弱性が指摘されていない暗号化方式のみを使用可とすることで、利用者側が不用意に脆弱性のある暗号化方式を使用して、情報漏えいが発生することを防ぐことができる。
HTTPS化で情報漏えいを防ぐことができない例
WebサイトのHTTPS化により、通信路のセキュリティはかなり高まると考えられる。しかし、サイトアクセス全体のセキュリティという観点からみると、HTTPSによるセキュリティはサイトアクセスのセキュリティの一部であることに気付く。HTTPS化だけでは守られない部分をいくつか挙げてみる。
Webサイト利用者側
サイトアクセス前の情報は保護されない。IDやパスワードを記録したファイル、キータイプした情報、画面上に表示した情報は、HTTPS化によって保護されないため、キーロガー等のマルウェアに感染している場合、情報が漏えいしてしまう。
Webサイト運営者側
運営者側のWebサイトに到達後は、HTTPSの暗号化が解除されている。Webサイトのハッキング、内部犯行、ソーシャルエンジニアリングによって、暗号化が解除された情報にアクセスされ、情報が漏えいする可能性がある。
ログイン認証
特にログイン認証は、攻撃対象となる。ID、パスワードなどの情報は、ハッキング、内部犯行、ソーシャルエンジニアリングなど、様々な手法で漏えいが発生し、被害が発生している。
データアクセス
Webサイトにデータファイルをアップロードした場合、アップロード後はHTTPSによる暗号化が解除されている。データファイルを盗まれたり、他の人がアクセス可能な場合は、情報が漏洩してしまう。
総括
WebサイトのHTTPS化は、インターネット上の通信の情報漏えいやフィッシングサイトへのアクセス防止に役立つため、積極的に進めていくべきと考える。ただし、HTTPS化によりサイトアクセスの全てのリスクが解消するわけではないので、改めてインターネット利用のリスクと対策について認識し直した方がよいと考える。以下、改めて対策を整理する。
Webサイト利用者側の対策
HTTPS化する前の情報が漏えいしないようにするため、利用者側の利用環境のセキュリティを確保する。マルウェアの感染を防ぐことが大切で、重要なサイトにアクセスする場合は、ウィルス対策だけでなく、メール送受信や様々なサイトヘアクセスするマシンとは別の専用のマシンを用意するか、重要なサイトへのアクセスするための専用のOSを起動するためのUSBやCDを用意するような対応も検討する。運営者側のWebサイト以降については、HTTPSによる暗号化が解除されているので、情報の安全性はWebサイトの運営者側にゆだねられる。サイトアクセスのリスクを総合的に考える場合は、Webサイトの技術的なセキュリティとともに、運営者側の組織の信頼度や、損害が発生した場合に取れる手段についても確認しておく必要がある。
Webサイト運営者側の対策
HTTPS化によりWebサイトのセキュリティを高めることによって、利用者が不用意に脆弱性のある暗号化方式を使用して情報漏えいがはっせいすることを防ぐことができる。運営者側では、HTTPS化以降のセキュリティ対策として、保存データの暗号化、内部犯行対策、ソーシャルエンジニアリング対策なども合わせて行う。運営者側で、漏洩してはいけない情報がネットワーク上を流れていないかをチェックする場合は、HTTPS通信を一時的に解除する必要があることに注意する。
ログイン認証の強化
ログインIDとパスワードによるセキュリティは、ネットワーク通信上の情報漏えい以外でも破られる可能性があるため、可能な限り2段階認証などの追加のセキュリティ対策を行う。
データアクセスのセキュリティ強化
HTTPSは通信路の暗号化であり、Webサイトに到達した後は暗号化が解除されてしまう。データファイルの受け渡しなどで、特定の相手のみにデータを利用可能としたい場合は、データファイル自体を暗号化する。
その他
情報漏えい防止にHTTPS化を行うことはよいが、逆に通信を監視することによって、データが不正に流通していることを検知することは困難になる。情報漏えい防止対策としては、システムやデータへのアクセスログを確実に取得できるようにするなど、HTTPS通信前の対策がより重要になる。
