Copyright 2014 Symantec Corporation. All rights reserved. Symantec と Symantec ロゴは Symantec Corporation または関連会社の米国およびその他の国における登録商標ですその他の会社名製品名は各社の登録商

Size: px

Start display at page:

つづるこうじょう
7 years ago
Views:

1 WHITE PAPER: White Paper より安全な Web サイトの作り方 powered by Symantec

2 Copyright 2014 Symantec Corporation. All rights reserved. Symantec と Symantec ロゴは Symantec Corporation または関連会社の米国およびその他の国における登録商標ですその他の会社名製品名は各社の登録商標または商標です合同会社シマンテックウェブサイトセキュリティは本書の情報の正確さと完全性を保つべく努力を行っていますただし合同会社シマンテックウェブサイトセキュリティは本書に含まれる情報に関して ( 明示黙示または法律によるものを問わず ) いかなる種類の保証も行いません合同会社シマンテックウェブサイトセキュリティは本書に含まれる誤り省略または記述によって引き起こされたいかなる ( 直接または間接の ) 損失または損害についても責任を負わないものとしますさらに合同会社シマンテックウェブサイトセキュリティは本書に記述されている製品またはサービスの適用または使用から生じたいかなる責任も負わず特に本書に記述されている製品またはサービスが既存または将来の知的所有権を侵害しないという保証を否認します本書は本書の読者に対し本書の内容に従って作成された機器または製品の作成使用または販売を行うライセンスを与えるものではありません最後に本書に記述されているすべての知的所有権に関連するすべての権利と特権は特許商標またはサービスマークの所有者に属するものでありそれ以外の者は特許商標またはサービスマークの所有者による明示的な許可承認またはライセンスなしにはそのような権利を行使することができません合同会社シマンテックウェブサイトセキュリティは本書に含まれるすべての情報を事前の通知なく変更する権利を持ちます 2

3 CONTENTS 概要 4 シマンテックの取り組み 4 インターネット通信 4 不完全なSSL 通信 5 SSLによる通信の仕組み 5 WEBサイト全体を SSLで保護する仕組み 5 事前調査 6 システム構成の確認 6 ドキュメントルートの確認 6 リンク先の確認 6 携帯向けコンテンツの確認 7 URL リダイレクト方法 7 HTTP 301リダイレクト 7 APACHEのHTTP301リダイレクト設定 7 IISのHTTP301リダイレクト設定 8 対応後の注意点 8 まとめ 8 3

4 より安全な Web サイトの作り方概要このホワイトペーパーでは Web サイト全体を SSL で保護する方法について技術的な側面を中心に説明しますこのドキュメントはセキュアな状態で配信するメリットや技術的に注意すべき実用的な内容を提供することを目的としていますまた従来の SSL サーバ証明書と比較して EV SSL 証明書の分かり易さについても調査したところ各利用サイトにおいて非常に分かり易くなったという結果が得られましたこれはブラウザのアドレスバーが緑色で表示されるなど EV SSL 証明書の特徴によるものであると考えられますアドレスバーが緑色に変化ウェブサイトを運営する組織を表示シマンテックの取り組み 2008 年 12 月に弊社が実施した調査によると EV SSL 証明書の導入企業に対する印象としてセキュリティ意識が高い (56.3%) 信頼できる (50.6%) が 5 割を超える結果となりました次いで好感がもてる (45.5%) 安全を提供している (44.4%) お客様を大切にしている (40.6%) が続いていますセキュリティ意識が高いという認識は当然としても信頼感好感度が向上するという回答が 2 位 3 位に来ており既存の SSL サーバ証明書と同様に導入企業に対する信頼性向上の効果があることが確認できます図表 1 EV SSL 証明書導入企業に対する印象についての調査結果 SSL 暗号化通信を表す鍵のアイコン上記の表示は Internet Explorer 10 の場合です図表 2 EV SSL 証明書の分かり易さに関する調査自社調べ自社調べインターネット通信不特定多数が接続しているインターネットの世界には様々なデータが流れておりそのデータが途中で盗聴や改ざんされるリスクが高まっていますその理由のひとつに HTTP 自体に暗号化などのセキュリティ機能が備わっておらずログイン ID やパスワードカード情報などの個人情報がそのままネットワークに流れていることが挙げられます通信内容が盗聴されそのデータを利用した不正侵入被害が発生していますこうした盗聴を防止するためには幾つかの手段がありますがその中でも以下の 2 つの重要なポイントによって通信経路のセキュリティを高めることが最初の一歩となります実在する企業により運営されたサイトであることが認証されていること通信経路のセキュリティを高めることサイト運営者の認証方法は導入されている SSL サーバ証明書の種類によって判断されます EV SSL 証明書は米国の CA/ ブラウザフォーラムによって策定されたガイドラインに基づき申請する組織の実在性を厳密に確認されるため安心です 4

5 通信経路のセキュリティについては HTTP 通信の暗号化として一般的なものとして SSL(Secure Sockets Layer) 技術がありますこの技術はパソコンのみならず携帯やゲーム機など様々な機器で採用が進んでいます SSL による通信の仕組みクライアントから SSL 通信のリクエストを受信するとサーバからクライアントに対して SSL サーバ証明書を送りますクライアントがこの証明書が正しいことを確認するとサーバとクライアント双方で共通鍵を生成しデータの暗号化および復号化を行います不完全な SSL 通信個人情報を入力するページには SSL を導入している企業がほとんどですが組織ごとに各コンテンツが管理されている場合では本来 SSL 通信が必要となるページで暗号化の妥当性について正しく確認されないケースも見受けられます入力フォームだけが SSL 対応しており HTML ソース内で定義した画像などのコンテンツの読み込みなどが SSL に対応していない場合がありますまた個人情報を取り扱う入力フォーム自体が SSL で保護されていない場合もありますその結果ブラウザには警告が表示され鍵マークやグリーンバー (EV SSL 証明書の場合 ) が表示されなくなりエンドユーザに不信感を与え機会損失や企業イメージが損なわれる結果となります Web サイト全体を SSL で保護する仕組み通常 Web サイトでは SSL で保護されているコンテンツと保護されていないコンテンツが混在しています常にエンドユーザに安心感を与えることを目的として全てのコンテンツを SSL で保護するならその方法として Web サーバ側で処理する URL リダイレクトという機能を利用できますクライアントから HTTP 通信のリクエストがあるとサーバ内で SSL 通信への URL リダイレクト処理が行われ https に変換された URL をクライアントに返しその後の処理は前述の SSL による通信の仕組みと同じになります 5

6 事前調査 Web サーバ側で URL リダイレクトによる SSL 通信を使ったコンテンツ配信をする前に現在稼働中のシステム構成やコンテンツ管理方法を事前に確認する必要がありますシステム構成の確認認証局から SSL サーバ証明書を購入したあと証明書がどこにインストールされているかを確認してください通常は Web サーバにインストールされていますが上位のロードバランサーや SSL アクセラレータにインストールされている場合があります URL リダイレクトによる SSL 通信をしたときにどのようなデータフローに変化するかを確認しておくことは運用上有効になりますリンク先の確認 HTML ソース内で A タグや IMG タグとして定義された URL リンク情報を全て抽出しその中で明示的に非 SSL の記述が絶対パス ( ~) として含まれていないかを確認してください含まれている場合には SSL 通信となるように変更する必要があります Web サーバ内 ( ローカル環境 ) の場合には相対パスに変更するだけで問題ありませんがアクセス解析用の ASP ビーコンなどの外部リンクを指している内容については外部リンク側で SSL 通信に対応しているかを確認する必要があります注意すべき HTML ソース Webサーバ内においてhttpによる絶対パスで記述している <html> ので httpsに変更が必要 <body> <a href=" ホーム </a> <img src=" alt=" アクセスログ解析用 "> </body> 外部 Webサービスを読み込んでいる </html> ドキュメントルートの確認 Web サーバで構成管理されているドキュメントルートを非 SSL と SSL に分けて管理している場合データの整合性を確認する必要があります URL リダイレクトによる SSL 通信を使ったコンテンツ配信をするということは全てのコンテンツが SSL 用のドキュメントルートを参照することになります情報系コンテンツなど非 SSL として管理されているデータが SSL 用ドキュメントルートに存在しないとブラウザ側では 404 エラーが発生してしまいますので必ずデータの整合性を確認してください URL リダイレクト対応後のコンテンツ運用管理についても常に SSL 用のドキュメントルートにデータを一元的に管理するようにしてください HTML <html> <body> <a href= > 6

7 携帯向けコンテンツの確認最近では携帯電話でも高性能 CPU を搭載するようになり暗号化や復号化もストレス無く処理されるようになりましたしかし少し前の携帯電話ではその処理に予想以上の時間が掛かりますそのため携帯向けコンテンツが存在する場合には URL リダイレクトによる SSL 配信方法は慎重に検討する必要がありますパソコン向けコンテンツと携帯向けコンテンツを分けて管理している場合にはディレクトリ単位で SSL 通信をすることを推奨しますその他にもドコモの i モードブラウザ 1.0 で SSL 通信をする場合 IMG タグの取り扱いに注意する必要があります IMG タグで表示したい画像を同一スキーマ同一アドレス同一ポートから送信する必要があります作ろう i モードコンテンツその他注意点サービス機能 NTTドコモ notice/#p03 URL リダイレクト方法 HTTP 301 リダイレクト http で来たリクエストに対して https にリダイレクトするには幾つかの方法がありますがここではその 1 つである HTTP301 リダイレクトを紹介します Yahoo や Google が推奨していることからも HTTP 301 リダイレクトが SEO 対策に有効であることが分かります Yahoo! サイト管理者向けヘルプ Google ウェブマスター向けヘルプ answer.py?hl=jp&answer=83105 ページ種別外部コンテンツの取得先 https スキーム同一ホストかつ同一ポート異なるホストまたは異なるポート http スキーム SSL ページ表示 SSL 通信中アイコン非 SSL ページ非表示以降では具体的な 301 リダイレクト方法を説明しますが例としての全ページを symantec.com に URL リダイレクトする方法を記述しますブラウザで表示しているページが com の場合以下のような画像はブラウザに表示することが出来ません Apache の HTTP301 リダイレクト設定 Apache で HTTP301 リダイレクトを設定するには 2 種類の設定ファイルで対応することが出来ますどちらか一方を有効にすればリダイレクトされますので編集が許可されている方法を利用ください異なるホストの記述例 <img src= に RewriteRule を書く場合異なるポートの記述例 <img src= IMG タグを利用してアクセスログを取得するビーコンなどのシステムを使っている場合には回避策としてシステム内で mod_ proxy 等を使って Web サーバ側で一旦コンテンツを取得してブラウザに送信するという方法が考えられますまた i モードでは契約者固有 ID の取得方法が 3 種類存在しますがいずれも SSL 環境下では取得できないため注意が必要です Web サイトにおいてこの情報を元にアクセス制限などを行っている場合にはご注意ください非 SSL 用ドキュメントルート直下に.htaccess を保存し以下のように記述します RewriteEngine on RewriteCond %{HTTP_HOST} ^( [NC] RewriteRule ^(.*) [R=301,L] httpd.conf に Redirect を書く場合非 SSL 用に定義したディレクティブ内で以下のように記述します Redirect permanent / 7

8 IIS の HTTP301 リダイレクト設定 IIS で URL リダイレクトを設定するには管理者アカウントでログインしコントロールパネルから [ 管理ツール ]-[ インターネットインフォメーションサービス (IIS) マネージャ ] を起動しますリダイレクト元となる Web サイト ( のプロパティを開きホームディレクトリタブを選択します次に [URL へのリダイレクト ] ラジオボタンをオンにするとそのすぐ下にリダイレクト先 URL( に関する 4 つの設定項目が表示されます対応後の注意点全ページを SSL 対応させることで思わぬところでシステムに負荷が発生する可能性があります暗号化復号化にはデータ量にも依存しますが CPU 資源をある程度消費します特にシステム構成として Web サーバで暗号化複合化を処理すると同時に動的コンテンツや Servlet などの CPU 資源を消費するものを同一サーバ上で動かしている場合などはレスポンスが極端に悪くなる可能性がありますので定期的にサーバのリソース監視を確認する必要があります設定項目リダイレクト先上で入力した URL 入力されたURLの下のディレクトリこのリソースへ永続的にリダイレクトする設定内容オフオフオンまとめ URL リダイレクトと EV SSL 証明書ならびにノートン TM セキュアドシールを併用することでエンドユーザに視覚的に安心感と信頼感を与えることができ自社サイトに取り込む最後の一押しとなりえる投資対効果の高い施策と言えますリダイレクト先で指定する URL の末尾に / ( スラッシュ ) は付けないようにしてください付けた場合には / が二重になります Web サイト全体を SSL で保護するためには技術的な課題以上に社内の部署間の調整なども重要になってきます特にこのようなセキュリティ対策に関する費用対効果は見えにくいものですがフィッシングサイトの氾濫や個人情報の漏洩などの対策に有効であることを社内関係者に周知していく必要があります一方でエンドユーザは常に危険にさらされており今後益々このような事件が多発する中どのサイトが安全であり信頼できるかを見極める必要がありその手助けとなるべく Web サイト運営者は自社のコンテンツが如何に安全であるかを視覚的に訴えていく必要があります powered by Symantec ノートン TM セキュアドシールはインターネット上で最も信頼されているマークですノートンセキュアドシールは 165 カ国 100,000ドメインで使用されており 1 日 6.5 億回以上表示されています : 米国シマンテックコーポレーション調べ (2011 年 9 月 ) 8 Copyright 2014 Symantec Corporation. All rights reserved. シマンテック (Symantec) ノートン (Norton) およびチェックマークロゴ (the Checkmark Logo) は米国シマンテックコーポレーション (Symantec Corporation) またはその関連会社の米国またはその他の国における登録商標または商標ですその他の名称もそれぞれの所有者による商標である可能性があります製品の仕様と価格は都合により予告なしに変更することがあります本カタログの記載内容は 2014 年 4 月現在のものです WPSSLREDIRECT2009_1308 合同会社シマンテックウェブサイトセキュリティ東京都港区赤坂赤坂インターシティ Tel : websales_jp@symantec.com

Copyright Symantec Corporation. All rights reserved. Symantec と Symantec ロゴは Symantec Corporation または関連会社の米国およびその他の国における登録商標ですその他の会社名製品名は各社の登録商標または商

WHITE PAPER: White Paper セキュリティ警告うっかり自社サイトで出ていませんか? ブラウザで表示されるエラーの原因と対処法 powered by Symantec Copyright Symantec Corporation. All rights reserved. Symantec と Symantec ロゴは Symantec Corporation または関連会社の米国およびその他の国における登録商標です

Copyright 2014 Symantec Corporation. All rights reserved. Symantec と Symantec ロゴは Symantec Corporation または関連会社の米国およびその他の国における登録商標です その他の会社名 製品名は各社の登録商

Copyright 2014 Symantec Corporation. All rights reserved. Symantec と Symantec ロゴは Symantec Corporation または関連会社の米国およびその他の国における登録商標ですその他の会社名製品名は各社の登録商