URLバーの組織名表示を信用できる？ 変化するEV SSLサーバ証明書の取り扱い方：半径300メートルのIT（1/3 ページ）

フィッシング詐欺サイトを見抜く方法として何度も紹介してきた「EV SSL証明書」に、大きな変化が起きようとしています。「鍵マークさえあれば安心」「組織名が表示されていれば安全」という先入観に付け入る悪意への対抗策を、皆さんは認識されているでしょうか？

[宮田健，ITmedia]

　2019年9月にリリース予定の「Google Chrome 77」で、ちょっとした……いや、かなり大きな変更が実施されます。それは、このコラムでも何度かフィッシング対策として紹介してきた「EV SSLサーバ証明書（以下、EV SSL）」の扱い。なんと、本物のサイトと偽サイトを区別する「URLバーの組織名表示」を無効にするというのです。

Upcoming Change to Chrome's Identity Indicators - Google グループ

　「いったいなぜ安全の証明を無効化するのか？」と思われるかもしれません。その背景には、致し方のない事情がありました。

ITmediaもEV SSL対応になったばかりなのに……

EV SSLで「何ができていた」のか

　EV SSLは、WebブラウザとWebサーバの通信を暗号化し、改ざんを防止するためのSSLサーバ証明書の一種として登場し、金融機関のWebサイトで導入が進みました。

　SSLサーバ証明書には、ドメイン名が存在することを証明するDomain Validation （DV）、組織が存在することを証明するOrganization Validation （OV）、そしてさらに厳密な実在性証明を課すExtended Validation （EV）の3種類があります。それらの中でEV の認証レベルは最も高く、また、WebブラウザのURLバー上に組織名が表示されます。EV SSLを持たないサイトには組織名が表示されないため、本物のサイトであるか否かが簡単に判別できるという仕組みです。

機能強化版SSLは「厳格な審査で一段高い信頼を実現」 - ITmedia エンタープライズ

5分で絶対に分かるEV SSL証明書 (1/6)：5分で絶対に分かる - ＠IT

　もし、サイバー犯罪者がITmediaをかたる「ITmediα」というドメインを取得し、SSLサーバ証明書を取得して錠のマークを表示できたとしても、EV SSLを取得するには「組織の登記簿の提出」などが必要になり、かなり困難です。取得までのハードルの高さが詐欺サイトのふるい分けとして機能していたため、私を含め多くのセキュリティ関係者が「URLバーに組織名が表示されていることを確認しましょう」と発信する根拠になっていました。

ところが……。