SSL/TLSとは？SSLとTLSの違いと、HTTPS・証明書との関係

ユイ

フィッシングの話で、鍵マークだけでは本物とは言い切れないって出てきました

イト

じゃあ、鍵マークの奥では何を守っているの？

ピコ

今度は、通信路を守るSSL/TLSの役割を見よう

SSL/TLSとは、ブラウザとサーバーの間に鍵付きの通信路を作り、やり取りの内容を途中で読まれたり書き換えられたりしないようにする仕組みです。 https:// で始まるページを開くたびに、画面のむこう側でこの通信路が作られています。

サーバー会社の画面には「SSL証明書」、ブラウザの説明には「TLS」。呼び名が二つあるのは、SSLが古い世代の名前で、いまの通信が実際に使っているのはTLSだからです。名前の違いから順に、鍵マークの奥で何が起きているかを見ていきます。

SSLとTLSの違い：SSLは古い名前、いまの通信はTLS

SSLは古い世代の仕組みの名前で、いまブラウザが実際に使っているのは、その後継のTLSです。それでも「SSL証明書」「SSL化」のように名前だけが残っているので、まとめてSSL/TLSと呼ばれます。どちらを選ぶ、という場面はありません。ブラウザとサーバーが自動でTLSを使います。

役割は三つです。

• 通信の内容を、途中で読まれない形に変える（暗号化）
• 通信の途中で内容が変えられたら、気づける
• 証明書で、接続先のドメイン名を確かめる

ログインの情報や問い合わせの内容は、そのまま読める形で道を流れるより、読めない形に変えて送るほうが安全です。その「変えて送る」を、鍵の交換と証明書の確認と組み合わせて自動でやるのがSSL/TLSです。ブラウザで見える入口はHTTPSとは、読めない形に変える考え方は暗号化とはにつながります。

この通信路と、アドレス欄の https:// は、どういう関係なのでしょうか。

SSL/TLSとHTTPSの関係：HTTPに鍵付きの道を足したもの

HTTPSは、ページをやり取りする約束であるHTTPを、SSL/TLSの通信路の中で使う形です。

URLが https:// で始まり鍵マークが出ていれば、通信路はTLSで守られています。守られているのは通り道です。偽サイトもHTTPSを使えるので、鍵マークは「この相手が本物」という印ではありません。

通り道の守りの中で、相手を確かめる役を担っているのが証明書です。

SSL/TLSの証明書が確かめること：ドメイン名の札

証明書は、「このドメイン名のための証明書です」と書かれた札です。ブラウザは、その札が信頼できる認証局から発行されているか、期限が切れていないか、いま開いているドメイン名と一致しているかを確かめます。

証明書が確かめるのは、ここまでです。札が正しくても、そのサイトの中身や運営者が信頼できるかまでは分かりません。似た名前の偽サイトも、自分の名前の証明書は持てます。

マコト

証明書は、通信路の相手確認を助ける札なんだね

ユイ

鍵マークとURL、入力先の心当たりを分けて見ると落ち着きますね

札の確認は、ページが表示される前の一瞬に終わっています。

SSL/TLSで通信が始まるまでの5段階（ハンドシェイク）

細かい手順は複雑ですが、入口だけなら5段階です。

1. ブラウザがサーバーに「接続したい」と伝える
2. サーバーが証明書を見せる
3. ブラウザが証明書の中身を確かめる
4. 通信に使う鍵を、二者だけで安全に決める
5. その鍵を使って、読めない形で通信する

この準備をTLSハンドシェイクと呼びます。握手のように、通信を始める前に使う方法と鍵をそろえる場面です。ここまでが終わって初めて、鍵マークが表示されます。

SSL/TLSが守る範囲：通り道は守り、相手が本物かは別に見る

鍵マークで分かるのは、次の三つです。

• 通信路が暗号化されている
• 証明書をブラウザが確かめて、問題がなかった
• HTTPではなくHTTPSで接続している

鍵マークでは分からないのは、次の四つです。

• サイトの運営者が信頼できるか
• そのサイトが偽物ではないか
• 入力した情報が、相手の側で正しく扱われるか
• 自分の端末の問題や、アカウントの乗っ取り

鍵マークは「通り道は守られている」までです。だから入力の前には、鍵マークに加えて、URLのドメイン名、サービス名、いま入力しようとしている内容への心当たりを見ます。

守られているはずの通り道で、警告が出ることがあります。

SSL/TLSの警告が出たときの見方

ブラウザが証明書の警告や「保護されていない通信」「安全ではありません」と出すのは、通り道の確認に失敗したときです。原因は、サーバー側と自分側の両方にあります。

• 証明書の期限切れ
• ドメイン名と証明書の不一致
• 証明書の設定ミス
• 自分の端末の日時のずれ
• 社内ネットワークやセキュリティソフトの影響
• 古いブラウザや古いOS

警告が出た画面では、個人情報やパスワードを入力しません。公式アプリやブックマークから入り直し、同じ警告が出るかを見ます。自分の端末の日時がずれていないかも確かめます。仕事の管理画面なら、自分で警告を解除せず、組織の担当者に伝えます。

SSL/TLSの証明書を、自分の画面で見る練習

よく使うサイトを一つ開いて、三つを確かめてみてください。

1. URLが https:// で始まっているか
2. 鍵マーク（または接続情報）を押すと、証明書のドメイン名が見られるか
3. そのドメイン名に心当たりがあるか

SSL/TLSでよくある質問

Q1. SSLとTLS、どちらを使えばいいですか？

選ぶ場面はありません。いまの通信はブラウザとサーバーが自動でTLSを使います。「SSL証明書」「SSL化」は、古い名前が残っている呼び方です。

Q2. HTTPSとSSL/TLSは、どう関係しますか？

HTTPSは、HTTPをTLSの鍵付き通信路の中で使う形です。鍵マークは、その通信路ができた印です。

Q3. 鍵マークがあれば、フィッシングではありませんか？

いいえ。偽サイトもHTTPSを使えます。鍵マークは通り道の確認なので、相手の確認はドメイン名と公式の入口で行います。見分け方はフィッシングとはにあります。

SSL/TLSは通り道を守る仕組み：相手の確認は別に

最初のイトの問い「鍵マークの奥では何を守っているの？」に戻ります。答えは「通り道」です。内容を読めない形にし、途中で変えられたら気づき、証明書でドメイン名を確かめる。相手が本物かどうかは、別に自分で見る。守っているのは道で、道の先にいる相手までは保証しません。

今すぐできる一歩は、いま開いているこのページの鍵マークを押して、証明書に書かれたドメイン名を見てみることです。物語で復習するなら第53話：SSL/TLSは通信路をどう守る？へ。

ラボのホワイトボードに一行だけ残すなら、こうです。

SSL/TLS = HTTPSの鍵付き通信路を作り、暗号化と証明書で通信を守る仕組み