2015.11.24
常時SSLがWEBサービス標準となる日
技術話◆SSLって何？
そもそもSSLってなんだ？という方へ。
インターネットをする上で、あなたの通信は「守られています」「安全です」という鍵マークを見た事があると思います。
通常、SSLが適用されていないWEBサイトで通信を行うと何の暗号化もされず、通信内容を悪意ある第三者によって覗き見られる・盗まれる可能性があり、中身は筒抜けの状態にあります。
個人情報も含まない単なるテキストを流すだけであれば、「盗みたきゃ盗めばいい」と特に抵抗は感じないと思いますが、例えば通販サイトでご自身のクレジットカード番号を入力する場合はどうでしょう？
そんな無防備な通信を安全なものにすべく、暗号化を施し対象のサーバでしか通信内容を復元できないようにするものが「SSL＝Secure Socket Layer」と言います。
昨今の通販サイトや会員制のWEBサイトでは、重要ページがSSLにしっかりと対応しているものがほとんどでしょう。
◆常時SSL化が進む
数年前までは、個人情報を入力するような重要ページのみを対象にSSLを適用し情報を守ってきました。
WEBサイトをただ閲覧する行為のレベルであれば、特にユーザの守るべき情報の通信が発生せず、SSLを非適用としても問題はなかったからです。
しかし、GoogleがSEOへの優位性として「SSLで暗号化されたセキュアなWEBサイトへの優遇」を提唱して以降、流れが変わってきました。
今や、一部の重要ページのみならず、WEBサイト全体をSSL化する方向に向かっています。
◆常時SSL化によるメリット
閲覧者にとって、より「セキュアなWEBサイト」であるとして認識させることができるでしょう。
これからのインターネットは閲覧者にとってそうあるべき、という考えからGoogleも優遇とする方向に決めたのだと思います。
SSLが全体に適用される事で、非SSLの状態とSSLの状態でURLが二重に管理されてしまうケースがあるSEO上の懸念も解消され、スッキリしますね。
◆常時SSL化によるデメリット
「デメリット」と呼べるものはそうないと考えます。が、懸念すべき事項はあると思います。
・そもそも、WEBサイト全体をSSL化できる仕組みや対応力があるか？
・これまで取得し活かしてきた閲覧者のWEBサイトへの流入経路／動向などの情報が、SSL化される事で守られ取得できなくならないか？
・サイト全体が非SSLでも本来問題ないようなWEBサイトでも、SSL導入によるセキュア対策を取るなら証明書を購入する初期コストがかかる（維持費もね）
・通信が暗号されるという事は、受け取るサーバには復号処理が必要になり多少なりとも負荷に繋がる可能性がある
◆HTTP/2 以降の新規格では標準化される？
これからのインターネットでは、新しい規格HTTP/2の推進もあり常時SSL化を見越したものが閲覧者にも技術者にも提供されます。
上述のデメリットにある通り、SSL通信はサーバ負荷がある程度かかるものと一般的には考えられますが、これもGoogleが提唱した"SPDY"（スピーディー）を元にした"HTTP/2 over TLS"ではそれが最適化されており十分なパフォーマンスが出る事が確認できます。
大手である事より以前に「何が閲覧者にとって良いのか」という考えで真向に突き進む Google は世の中を動かしますね。。
常時SSL化について、ガーディアンも動きを見せていかないと☆
代表取締役専務
プロダクトテクノロジー本部
松本 玄
セキュリティ領域を中核とし、システム開発からインフラ、ビジネス設計、全社管理まで横断的に担当します。
主務として300項目を網羅する「SCAN DOG」自動診断エンジンや「SCSC Dog」の開発、脆弱性DBの定期更新を実践責任者として牽引します。
同時に、SCSC Legalなど新プロダクトのシステム開発と高速ローンチ（MVP→Gate）運営、Terraformを用いたIaCインフラ構成管理にも実践者として従事します。
さらに、ECプランの商品設計・価格管理を担うほか、主計局では外部・内部の監査対応責任者も務め、多角的かつ高度に業務を遂行します。
組織への貢献ポイント：
セキュリティ品質の絶対的担保と新規プロダクトの高速推進を両立し、組織全体の技術的信頼性とガバナンスを確立すること。
成果の定義：
最新脅威に対応する診断エンジンの高精度維持、新事業のアジャイルな市場投入、監査対応による経営リスクの最小化です。