連載
» 2019年08月20日 07時00分 公開

半径300メートルのIT:URLバーの組織名表示を信用できる? 変化するEV SSLサーバ証明書の取り扱い方 (1/3)

フィッシング詐欺サイトを見抜く方法として何度も紹介してきた「EV SSL証明書」に、大きな変化が起きようとしています。「鍵マークさえあれば安心」「組織名が表示されていれば安全」という先入観に付け入る悪意への対抗策を、皆さんは認識されているでしょうか?

[宮田健,ITmedia]

 2019年9月にリリース予定の「Google Chrome 77」で、ちょっとした……いや、かなり大きな変更が実施されます。それは、このコラムでも何度かフィッシング対策として紹介してきた「EV SSLサーバ証明書(以下、EV SSL)」の扱い。なんと、本物のサイトと偽サイトを区別する「URLバーの組織名表示」を無効にするというのです。

Upcoming Change to Chrome's Identity Indicators - Google グループ

 「いったいなぜ安全の証明を無効化するのか?」と思われるかもしれません。その背景には、致し方のない事情がありました。

ITmediaも対応になったばかりなのに ITmediaもEV SSL対応になったばかりなのに……

EV SSLで「何ができていた」のか

 EV SSLは、WebブラウザとWebサーバの通信を暗号化し、改ざんを防止するためのSSLサーバ証明書の一種として登場し、金融機関のWebサイトで導入が進みました。

 SSLサーバ証明書には、ドメイン名が存在することを証明するDomain Validation (DV)、組織が存在することを証明するOrganization Validation (OV)、そしてさらに厳密な実在性証明を課すExtended Validation (EV)の3種類があります。それらの中でEV の認証レベルは最も高く、また、WebブラウザのURLバー上に組織名が表示されます。EV SSLを持たないサイトには組織名が表示されないため、本物のサイトであるか否かが簡単に判別できるという仕組みです。

機能強化版SSLは「厳格な審査で一段高い信頼を実現」 - ITmedia エンタープライズ

5分で絶対に分かるEV SSL証明書 (1/6):5分で絶対に分かる - @IT

 もし、サイバー犯罪者がITmediaをかたる「ITmediα」というドメインを取得し、SSLサーバ証明書を取得して錠のマークを表示できたとしても、EV SSLを取得するには「組織の登記簿の提出」などが必要になり、かなり困難です。取得までのハードルの高さが詐欺サイトのふるい分けとして機能していたため、私を含め多くのセキュリティ関係者が「URLバーに組織名が表示されていることを確認しましょう」と発信する根拠になっていました。

ところが……。

       1|2|3 次のページへ

Copyright © ITmedia, Inc. All Rights Reserved.

注目のテーマ

マーケット解説

- PR -