SSL/TLS の導入 (4)

前へ << SSL/TLS の導入 (3)

SSL/TLS でアクセスしてみよう (1) >> 次へ

サービスの比較

せっかく SSL/TLS を導入しても自己署名ではおもしろくないので、 お金を払って証明書を購入してみましょう。

以下は 2005/3/20 に調査した、日本語で申込ができる証明書発行サービスの一覧です (Google で「SSL」を検索して、出てきた広告の中から適当に選びました)。 各社ともいろいろなランクのサービスを提供していますが、 それぞれの中で最も安いものを選びました。

社名・ブランド名	価格 (税込)	ルート証明書 発行元	秘密鍵盗難などに 対する補償	ブラウザ 認識率
日本ベリサイン	85,050円/年	ベリサイン	1,000万円まで	◯
セコムトラストネット	65,000円/年	セコムトラストネット	なし	◯
日本認証サービス	60,900円/年	日本認証サービス	なし	△
ジオトラスト	36,540円/年	ジオトラスト	なし	◯
ハイパーボックス	18,900円/年	ジオトラスト	なし	◯
Secure Stage	18,900円/年	ジオトラスト	なし	◯
デジトラスト	15,540円/年	Comodo?	なし	◯
RapidSSL (OnLineSSL.jp)	$29/年	RapidSSL (ジオトラストの子会社)	$10,000	◯ or △

これは当ページ管理人の私見ですが、信頼性と価格は比例する傾向があるように見えます。 値段の高い方は、自前で認証局を運営しており、自前で証明書を発行できます。 例えば VeriSign は CPS (認証局運用規定) を定めて公開していたり、秘密鍵盗難などに対する補償制度を準備しています。 また、それなりのネームバリューもあります。

一方、年額 1万円台の証明書を発行しているのはおそらく代理店でしょう。 安い価格でたくさんの客を集め、認証局から安い値段で証明書を発行してもらうわけです。 宣伝と取次業務に特化しているからこその安い値段なのでしょう。

ただ、RapidSSL はジオトラストの子会社という信頼感があるわりに「ちょっと安すぎ」って感じですね。

より詳しく見てみよう

各社のウリを検証してみましょう。

●強度の高い 128bit 証明書

これは何が 128bit かと言うと、SSL/TLS で使用する共通鍵暗号が 128bit であることを示します。 SSL/TLS は公開鍵方式と秘密鍵方式を組み合わせて実現されています。 例えば RSA 公開鍵 1024bit と、AES 128bit を組み合わせて使ったりします。

なぜ各社とも「128bit」ということをこれほどプッシュするかというと、 昔は米国の暗号輸出規制が厳しかったからです。 例えば DES などの共通鍵暗号は 40bit まで (金融機関向けは 56bit まで)、 RSA 公開鍵は 512bitまでしか輸出することができませんでした (鍵の持ち運びができないという意味ではなく、 40bit を越える鍵を扱えるソフトウェア・ハードウェアを輸出してはいけないということ)。 しかし 1999年に暗号輸出規制が緩和され、少数の国を除いてこの制限がなくなりました。 めでたく日本でも 56bit・128bit・256bit などの共通鍵と、 1024bit を越える RSA 公開鍵が使用できるようになりました。

いまどき共通鍵の鍵長が 128bit 以上であるのはあたりまえです。 逆にいえば 40bit な証明書をもらうことはもう不可能でしょう。 「A 社は 128bit に対応と書いてあるが、B 社は 128bit 以上に対応と書いてある。B 社の方がいいのか?」 なんてことを気にする必要はありません。

●SGC 対応

日本ベリサイン の web には

と記述されています。 SGC 未対応の「セキュア・サーバ ID」が年額 85,050円なのに対し、 SGC 対応の「グローバル・サーバ ID」は年額 144,900円もします。 価格が 1.7倍になるくらい SGC は素晴らしいものなのでしょうか?

2000年3月に Microsoft は高度暗号化パック (パッチ) を無料で提供しました。 提供されているサービスパックをインストールすれば、IE4・IE5 が 128bit 以上の暗号に対応できます。

さて、いまだに 40bit や 56bit が上限のブラウザはどれくらいあるでしょうか? SGC に年 6万円を払う価値があるでしょうか?

なお、技術的な解説は、

• PKIを利用したセキュリティー・プロトコル
• VerisignのSGC(server Gated Cryptgraphy)の証明書を発行しよう

が参考になるでしょう。

●9x%のブラウザ認識率

これは、その会社が発行する証明書のルート証明書が、世の中のブラウザにデフォルトで組み込まれているか、という問題です。

ほとんどのルート証明書は IE にはデフォルトで組み込まれています (でないと商売にはならないでしょう)。 有名どころであれば Netscape4・Mozilla・Firefox・Opera・Safari にもデフォルトで組み込まれています。 しかし、上にあげた表の日本認証サービスが利用するルート証明書は、 Netscape4・Mozilla・Firefox には組み込まれていませんので、「△」をつけました。

一方、RapidSSL の StarterSSL (サービス名) は、Safari にはデフォルトで組み込まれておらず、 Opera は 7.53 以降のバージョンであればデフォルトで組み込まれているようです。 よって、「いまいちではあるが、日本認証サービスよりは上」 という意味をこめて「◯ or △」としました。 なお、ルート証明書がブラウザに組み込まれていない場合は、 前節 のような警告画面が表示されます。

前へ << SSL/TLS の導入 (3)

SSL/TLS でアクセスしてみよう (1) >> 次へ