TLS について

SSL サーバー証明書

通信の暗号化この記事をご覧になっている多くの方は、「SSL サーバー証明書」（または単に SSL 証明書）という言葉をお聞きになったことがあるのではないでしょうか。
SSL サーバー証明書は、サーバーとクライアント（ブラウザやスマートフォンなど）間の「通信の暗号化」と、誰がウェブサイトを運営しているのかを「証明（サーバーの認証）」するために使用される、サイバートラストのような「認証局」が発行する電子証明書です。

対して、「TLS サーバー証明書」（または単に TLS 証明書）という言葉は聞いたことがありますでしょうか？

実はこの二つは、同じものを指しており呼び方が異なっているだけなのです。ではなぜ、同じものに対して二つの呼び方があるのでしょうか。

「SSL」

「SSL」はセキュアソケットレイヤーの略です。インターネット上で通信を暗号化する技術として、1994 年に誕生しました。SSL 暗号化通信とサーバーの認証を目的とした電子証明書であるため、SSL サーバー証明書と呼ばれるようになりました。

SSL は、新しく発見された攻撃手法に対する耐性の強化や、よりセキュアな新しい技術への対応を目的として、バージョンアップを遂げてきました。現在、SSL の最新バージョンは 1995 年に発表された「SSL 3.0」です。
SSL 3.0 は長きに渡って使用されていましたが、2014 年に重大な脆弱性が発見されたため、よりセキュリティ機能を強化した TLS という技術を使って暗号化を実現していこう、という流れになりました。

つまり、現在となっては、通称「SSL サーバー証明書」と呼ばれているのにも関わらず、実際には「SSL」という技術は使われていないという事になります。

「TLS」

「TLS」はトランスポートレイヤーセキュリティの略です。1999 年ごろから SSL 3.0 を元にした TLS 1.0 が開発されました。2016 年現在、ほぼすべてのブラウザ・モバイル端末・ウェブサーバーは TLS の暗号化に対応しています。

前述のとおり、SSL 3.0 はすでに安全ではないため、主要ブラウザではすでに SSL は無効化されており、ブラウザベンダーや認証局、業界団体が中心となり、SSL 関連業界をあげて、より安全性の高い TLS による暗号化への移行をすすめています。

SSL バージョン 2.0 を禁止： RFC:6176 Prohibiting Secure Sockets Layer (SSL) Version 2.0
SSL バージョン 3.0 を廃止： RFC:7568 Deprecating Secure Sockets Layer Version 3.0

TLS の最新バージョンは、2008 年に制定された TLS 1.2 です。
現時点で最もセキュアで新しい技術に対応しているプロトコルであるため、TLS の中でも TLS 1.2 の使用が推奨されています。

しかしながら、いままで「SSL サーバー証明書」と呼んでいたものを、いきなり「TLS サーバー証明書」と呼び変えるには、まだまだ認知度が低く、浸透するまでにも時間がかかります。「貴社の TLS サーバー証明書というものは、私の欲しい SSL サーバー証明書と違うものなのか？」と混乱を招く可能性もあります。

そんな中、マイクロソフトでは 2015 年 10 月より、SSL という言葉に TLS という文字の併記をはじめました。
Note: As of October, 2015 Microsoft has replaced all references to "SSL" with " TLS"

この流れを受け、サイバートラストでも SSL/TLS 証明書と併記するような形を進めてまいります。これから少しずつ TLS 証明書という言葉も普及していくのではないでしょうか。

SSL/TLS 証明書の未来

TLS も現在、より安全性を高めるべくバージョン 1.3 についての議論がされております。（2016 年 8 月現在）
Google の SEO のランキングシグナルとして SSL/TLS が利用されていることや、新世代の通信規格「HTTP/2」では SSL/TLS が必須であることなど、SSL/TLS 証明書の価値も役割も増えています。

これからもサイバートラストは通信の安全とみなさまの安心を目指して、SSL/TLS サーバー証明書でお手伝いをしてまいります。