暗号化通信(SSL)をするとなぜ警告が表示されるか?

SSL/TLSと呼ばれる仕組みは，相互認証と暗号化を行うもので，主にウェブページ（http）で利用されます．相互認証とは，現在接続している相手が誰であるかを確認することで，暗号化は，データを暗号化することにより通信内容を秘匿することを指します．つまり，SSL/TLSを利用することにより，次のようなメリットがあります．

• サーバ認証(クライアントの接続相手であるサーバが本物であるかを確認)
• セッションの暗号化(通信路を暗号化し，盗聴を防止)

この他にも，クライアント認証(サーバの接続相手であるクライアントが本物であるかの確認)というメリットもありますが，証明書を用意するのがサーバ側ではなく，ユーザ側ですので，今回は取り上げません．

さて，SSL/TLSを利用するには，認証局(CA)と呼ばれる組織から発行してもらうデジタル証明書（「いつわりのサーバではないから大丈夫」という署名の入った証明書）というものが必要です．ところが，認証局でなくても証明書は発行できます（この場合，大丈夫という署名は入っていないことになります）．そのようなページにアクセスした場合，『証明書に署名した発行人を認識できません』という（大丈夫という署名の入っていない，未知のSSL/TLS認証局でチェックを受けているから危ないよ！）警告が表示されます．これは，ブラウザソフトが正式なCAより認証(署名)をしてもらっているか確認作業を行っているからです．

つまり，サーバ認証を行うにはブラウザソフトが認めるCAにより署名された証明書が必要ということになります．

一方，暗号化を行うのに，CAによる署名は必要ありません．ただし，その証明書ではサーバ認証が行えないことから，本物でない偽りのサーバとわざわざ暗号化して通信しているかもしれません．そういう意味で，CAによる署名のない証明書を持つサーバと通信をすることには，第三者による盗聴や改変などの潜在的な危険性があります．

しかしながら，SSL/TLSを利用しない，これまでの平文（暗号化されていないデータ）による通信には，以下のような危険性が内在します．

• サーバのなりすまし（本物とユーザの間に割って入り，通信データを盗聴など）
• 通信内容の盗聴（サーバとユーザの間のネットワークにおいて，通信データを盗聴）

CAによる署名のない証明書を利用した場合，サーバのなりすましは防げませんが，通信内容の盗聴の危険性を防ぐことはできます．そのため，情報基盤センターの提供するサーバでは，セッションの暗号化を目的としてSSL/TLSによる通信を提供しております（学内CAについては，検討中です）．

まとめると，そのような警告が出る場合，SSL/TLSによるメリットを完全には受けられないことを意味します．これらのことをご理解いただいたうえで，情報基盤センターが提供する暗号化通信のページについては，セッションの暗号化のみを目的としてSSL/TLSによる暗号化通信を提供していますので，パスワードを変更する，メールを読むなどの認証を行う場合は「はい」を，認証を行わない場合は「いいえ」を選択してください．

注意：個人情報を送信する必要のある一般のウェブサイト（ショッピング等）でこの種の警告が出た場合は，第三者が不正に情報を盗聴している可能性が高いので，ただちに通信を停止するようにしてください．