常時SSL（Always On SSL）によるWebサイトの保護

常 時 SSL(Always On SSL)による Web サイトの 保 護 Online Trust Alliance オンラインサービス 官 公 庁 企 業 ユーザに 対 するプライバシー 個 人 情 報 セキュリティの 新 たな 脅 威 を 緩 和 するためのベストプラクティスを 策 定 推 進 することにより インターネットの 信 頼 性 と 安 全 性 を 高 めます 2012 年 3 月 7 日 更 新 2012 Online Trust Alliance (OTA) All Rights Reserved ページ 1

目 次 概 要... 3 オンラインでの 持 続 的 な 保 護 の 必 要 性... 5 HTTP 上 での 保 護 されていない Cookie により ユーザは 攻 撃 を 受 けやすい 状 態 に... 5 セッションの 乗 っ 取 りは 驚 くほど 容 易 に... 5 カフェだけの 問 題 ではない... 6 ユーザを 教 育 するだけでは 不 十 分... 7 ユーザエクスペリエンスのすべてを 保 護 する 常 時 SSL... 7 他 社 が 実 施 しており あなたが 実 施 すべきこと... 7 Facebook... 8 Google... 9 PayPal... 10 Twitter... 11 得 られた 教 訓... 11 Web サイトに 常 時 SSL を 実 装 するには... 13 HTTPS の 持 続 的 接 続 をすべての Web ページで 実 行 する... 14 SSL 証 明 書 を 正 しく 実 装 する... 14 すべてのセッション Cookie に secure フラグを 設 定 する... 14 EV 証 明 書 による 信 頼 性 の 向 上... 15 HSTS の 実 装 により 活 発 な 攻 撃 を 防 止... 15 まとめ... 16 2012 Online Trust Alliance (OTA) All Rights Reserved ページ 2

概 要 インターネットは 信 頼 とユーザの 安 全 を 基 盤 として 構 築 されてきました 商 取 引 サービスや 金 融 サー ビスを 提 供 する 世 界 中 の 大 手 企 業 は 長 年 にわたり Secure Socket Layer(SSL)および Transport Layer Security(TLS) 技 術 を 使 用 して 顧 客 の 通 信 と 取 引 を 保 護 してきました このセキュリティモデル は Web ブラウザ モバイルデバイス 電 子 メールクライアント その 他 のインターネットアプリケーショ ンの 信 頼 性 を 確 保 するために 10 年 以 上 にわたって 使 用 されてきました これは 現 在 も 基 本 的 に 有 効 です Web サイトやその 利 用 者 では 通 常 パスワードやクレジットカード 番 号 などの 機 密 情 報 を 保 護 するために SSL/TLS を 採 用 しています 2005 年 以 降 SSL/TLS を 使 用 する Web サイトの 数 は 2 倍 以 上 に 増 加 し 今 日 では 450 万 以 上 のサイトで 認 証 局 が 発 行 した SSL 証 明 書 が 使 用 されていると 推 定 されます 1 しかし Web 2.0 とソーシャルネットワーキングの 出 現 により ユーザのオンライン 接 続 時 間 とログイン 時 間 は 増 加 し クレジットカード 番 号 以 外 の 通 信 も 行 われています 多 くのユーザは 主 な 通 信 手 段 と して Facebook Gmail Twitter を 使 用 しています また ボットネット マルウェア 情 報 漏 えい 電 子 メールの 偽 造 オンライン 詐 欺 その 他 のセキュリティやプライバシー 上 の 課 題 が 急 増 するのに 伴 い セキュリティ 脅 威 の 情 勢 も 変 化 しています しかし Web のセキュリティの 実 装 は これらの 変 化 に 常 に 対 応 してきたわけではありません 多 くの 企 業 は ユーザが Web サイトにログインする 際 の 認 証 プ ロセスを SSL/TLS プロトコルによって 暗 号 化 していますが その 後 のユーザセッションでは ページを 暗 号 化 していません この 実 装 では Web サイトの 利 用 者 が 悪 質 なオンライン 攻 撃 を 受 けやすくなる 危 険 があり 信 頼 度 の 高 い Web サイトを 利 用 する 場 合 でも 膨 大 な 数 のユーザが 知 らぬ 間 に 脅 威 に さらされることになります オンライントラストアライアンス(OTA)は セキュリティ ビジネス およびインタラクティブ 広 告 のコミュ ニティに 呼 びかけ 協 力 してユーザを 危 険 から 保 護 しています すべての 関 係 者 は ベンダーに 依 存 せず 簡 単 に 実 装 でき グローバルに 利 用 できるセキュリティのベストプラクティスを 採 用 して 信 頼 と ユーザの 安 全 を 確 保 するために 適 切 な 手 段 を 講 じる 義 務 があります このようなベストプラクティスの 1 つが 常 時 SSL( Always On SSL あるいは AOSSL )です これは Web サイト 全 体 で SSL/TLS を 使 用 してユーザを 保 護 し ログインからログアウトまで 持 続 的 にセキュリティを 確 保 するというアプ ローチです 常 時 SSL は 実 績 のある 実 用 的 なセキュリティ 対 策 であり ユーザが 機 密 情 報 を 共 有 し たり 表 示 でき るすべての Web サイトで 実 装 する 必 要 があります このホワイトペーパーでは 常 時 SSL の 緊 急 の 必 要 性 と ユーザにエンドツーエンドの 保 護 を 提 供 する ための 対 策 について 説 明 しています また インターネットの 安 全 性 を 高 めるために 協 調 して 取 り 組 み 常 時 SSL を 他 社 に 先 駆 けて 使 用 している Facebook Google PayPal Twitter の 4 社 について 詳 細 に 説 明 しています 1 Netcraft 社 の SSL に 関 する 調 査 (2012 年 2 月 ) 2012 Online Trust Alliance (OTA) All Rights Reserved ページ 3

OTA は OTA 運 営 委 員 会 のメンバーである AllClear DigiCert Epsilon IID Intersections LashBack MarkMonitor Message Systems Microsoft PayPal Pitney Bowes Publishers Clearing House Return Path Secunia Star Marketing Group Symantec TrustSphere および VeriSign の 各 社 のご 協 力 に 感 謝 します また このホワイトペーパーの 作 成 にご 協 力 いただいた Facebook 社 の Alex Rice 氏 Google 社 の Adam Langley 氏 PayPal 社 の Andy Steingruebl 氏 Microsoft 社 の John Scarrow 氏 Symantec 社 の Quentin Lui 氏 および Rick Andrews 氏 Twitter 社 の Bob Lord 氏 および OTA の Craig Spiezle 氏 に 深 く 感 謝 します このレポートの 最 新 情 報 は https://otalliance.org/aossl.htm に 掲 載 されます コメントがある 場 合 は staff@otalliance.org 宛 てに 電 子 メールでお 送 りください 2012 Online Trust Alliance (OTA) All Rights Reserved ページ 4

オンラインでの 持 続 的 な 保 護 の 必 要 性 今 日 のユーザは 成 長 を 続 けるさまざまな 大 規 模 の Web 2.0 のサービスにアクセスし オンライン で 検 索 共 有 ショッピングを 行 い 充 実 したインタラクティブかつパーソナライズされた 体 験 をして います 多 くのサービスは ブラウザの Cookie に 依 存 し ステートフルかつ 持 続 的 なユーザセッ ションを 作 成 して このような 体 験 を 実 現 しています 一 般 的 に ユーザがサイトにログインするとき は ID 認 証 のためにユーザ 名 とパスワードを 送 信 する 必 要 があります Web サーバがユーザごと に 生 成 した 一 意 のセッショントークン ID を Web ブラウザに 送 ると その ID は Cookie にキャッ シュされます Web ブラウザは ログインしたユーザがサイトとインタラクティブなやりとりを 行 うた びに キャッシュされた Cookie の 内 容 を Web サーバに 送 り 返 します この Cookie は 期 限 が 切 れるか 削 除 されるまで 有 効 となります HTTP 上 での 保 護 されていない Cookie により ユーザは 攻 撃 を 受 けやすい 状 態 に 多 くの Web サイトは HTTPS プロトコルを 使 用 し 暗 号 化 された SSL チャネルを 通 じてログイン 情 報 を 送 信 していますが セッション Cookie を 設 定 した 後 は ユーザを HTTP に 格 下 げします この 場 合 ユーザのパスワードは 保 護 されますが その 後 Web ブラウザがドメインにリクエスト 送 信 をするときに セッション ID を 含 む Cookie が 平 文 で 送 信 されるため ユーザはセッションを 乗 っ 取 られやすい 状 態 になります また 暗 号 化 されているのはログイン 時 のみであるにもかかわらず すべてのセッションが 安 全 であるとユーザに 誤 解 させ 間 違 った 安 心 感 を 生 み 出 しかねません 企 業 によっては サイト 全 体 で HTTPS を 使 用 していても セッション Cookie に secure フラグを 立 てていないことがあります ユーザは URL を 部 分 的 に 入 力 する(たとえば https:// を URL の 前 に 付 けずに 入 力 する)ことが 多 く ブラウザが 最 初 にリクエスト 送 信 する 際 HTTPS ページにリ ダイレクトされる 前 に Cookie が 公 開 されてしまうため これも 危 険 です オープンネットワークを 監 視 している 攻 撃 者 は 暗 号 化 されていない HTTP リクエスト 送 信 を 1 つ 入 手 するだけで ユーザ の Cookie を 盗 み アカウントを 乗 っ 取 ることができます これらの 問 題 は 新 しいものではなく セッション Cookie を 使 用 しているすべての Web サイトに 影 響 します ユーザが 入 力 したキーワードを 送 り 返 す 検 索 エンジンも このような 攻 撃 を 受 けやすいと 言 えます 今 後 これらの 問 題 に 対 して 企 業 は 無 関 心 でいられません また ユーザを 教 育 するだ けでは 十 分 ではありません 業 界 におけるオンラインセキュリティの 全 体 的 な 状 況 は 転 換 点 を 迎 え ています エンドツーエンドで 信 頼 とユーザの 安 全 を 守 るため Web サイトは 変 わる 必 要 がありま す セッションの 乗 っ 取 りは 驚 くほど 容 易 に セッションの 乗 っ 取 りは 新 しい 問 題 ではありませんが 最 近 リリースされた Firesheep と 呼 ばれる Firefox ブラウザのプラグインは 保 護 されていない HTTP 接 続 (およびオープン WiFi ネットワー ク) 特 有 の 脆 弱 性 に 関 して ユーザと 攻 撃 者 双 方 の 関 心 を 集 めています Firesheep は Eric Butler 氏 と Ian Gallagher 氏 によって 開 発 されたもので このプラグインを 使 用 すると プログラミ ングスキルを 持 たない 攻 撃 者 でも 人 気 のある 多 数 の Web サイトでユーザカウントを 驚 くほど 容 易 に サイドジャック できるようになります Firesheep は カフェ 図 書 館 インターネットカフェな どで 暗 号 化 されていない WiFi 接 続 のようなオープンネットワークを 検 出 して 接 続 し パケット 盗 聴 プログラムを 使 用 して 保 護 されていない Cookie を 入 手 します Firesheep が 認 識 している 保 護 されていない Web サイトをネットワーク 上 のユーザが 利 用 すると そのユーザ 名 と 接 続 している サービスが 即 座 に 取 得 され 表 示 されます 攻 撃 者 は ユーザ 名 をダブルクリックして そのアカウ ントにすぐにアクセスすることができます 2012 Online Trust Alliance (OTA) All Rights Reserved ページ 5

Firesheep は 機 能 の 統 合 と 使 いやすさの 点 で 革 新 的 です しかし Butler 氏 と Gallagher 氏 によ れば セキュリティの 専 門 家 が 数 年 にわたって 警 告 を 発 してきた 問 題 のおよぶ 範 囲 とその 重 大 性 が Firesheep によって 明 らかになったとのことです また 攻 撃 者 は Firesheep の 何 年 も 前 に 作 成 された Hamster Ferret CookieMonster などのソフトウェアツールを 使 用 して 比 較 的 容 易 に オープンネットワークを 盗 聴 し Cookie を 盗 み HTTP セッションを 乗 っ 取 ることができます 図 1 : Firesheep 操 作 時 のスクリーンショット これらのツールを 手 にした 攻 撃 者 は この 脆 弱 性 を 悪 用 して 完 全 または 部 分 的 にユーザカウント にアクセスできるようになります 完 全 なサイドジャックを 避 けるために ユーザがパスワードを 変 更 するときに 古 いパスワードを 確 認 するなどの 予 防 策 を 講 じている Web サイトもありますが 多 く の 場 合 攻 撃 者 はユーザカウントを 完 全 に 乗 っ 取 ってパスワードを 変 更 することができ そのアカ ウントが 接 続 している 他 のサービスを 乗 っ 取 る 可 能 性 もあります カフェだけの 問 題 ではない セッションの 乗 っ 取 りは カフェなどに 限 定 された 問 題 にすぎず 暗 号 化 されていない WiFi ネット ワークの 利 用 を 避 けることが 解 決 策 になると 考 えるユーザがいます しかし このような 想 定 は 現 実 的 ではありません 実 際 には Firesheep などのツールを 使 用 することで 有 線 か 無 線 かを 問 わ ず 暗 号 化 されていない HTTP セッションで 送 信 される Cookie を 含 むあらゆるネットワークトラ フィックを 傍 受 することができます 見 過 ごされているもう 1 つの 点 として ソーシャルネットワーク サイト Web メール Web 2.0 アプリケーションを 利 用 している 大 規 模 企 業 と 政 府 機 関 が 挙 げられ ます 従 業 員 が 保 護 されていないサイトにアクセスしてセッションが 乗 っ 取 られると 攻 撃 者 はその アカウントを 媒 介 としてマルウェアを 蔓 延 させることができるほか 権 限 の 必 要 な 資 産 へアクセスし データセキュリティ 侵 害 を 引 き 起 こす 可 能 性 があります このような 侵 害 によって 生 じる 損 害 を 歓 迎 する Web サイト 運 営 者 はいないでしょう 2012 Online Trust Alliance (OTA) All Rights Reserved ページ 6

ユーザを 教 育 するだけでは 不 十 分 ユーザの 意 識 を 向 上 させ サイドジャックの 危 険 に 対 抗 するために 米 国 電 子 フロンティア 財 団 (EFF)は 独 自 の Firefox 拡 張 機 能 である HTTPS-Everywhere を 開 発 しました これにより Firefox では 一 部 の Web サイトに 接 続 するときに HTTPS 接 続 のみが 使 用 されます さらに EFF とインターネット 関 連 の 非 営 利 の 権 利 擁 護 団 体 である Access は Web 閲 覧 の 最 低 限 のセ キュリティ として 常 時 SSL の 認 知 度 を 高 めて 導 入 を 促 進 させるため HTTPS Now と 呼 ばれる 国 際 的 な 啓 蒙 キャンペーンを 開 始 しました このキャンペーンの Web サイトでは 各 サイトでの HTTPS の 使 用 状 況 に 関 する 情 報 をユーザが 検 索 したり 提 供 したりすることができます 2 HTTPS-Everywhere は 特 定 の Web サイトでは 正 しく 機 能 するツールと 考 えられますが 対 応 し ていないサイトではユーザを 保 護 することができません また HTTPS-Everywhere は Chrome Safari Internet Explorer には 対 応 していないため 主 要 なブラウザがこの 機 能 に 対 応 するか デ フォルトでこの 機 能 を 組 み 込 むまでは その 利 用 価 値 は 限 定 的 です EFF の 取 り 組 みは 称 賛 されるべきですが ユーザの 教 育 とクライアントサイドのツールだけでは Web サイトにおけるセッション 管 理 の 脆 弱 性 を 解 消 することはできません また インターネットに アクセスするためにユーザがカフェ 図 書 館 空 港 その 他 の 公 共 の 場 所 でオープンネットワークを 利 用 しなくなるという 状 況 は 非 現 実 的 です Web サイト 運 営 者 は ユーザが 使 用 するブラウザや ネットワークの 種 類 にかかわらず データのプライバシーを 保 護 する 必 要 があります サイドジャッ ク 攻 撃 を 受 ける 前 に 予 防 策 を 講 じることで 企 業 は 顧 客 の 流 失 および 訴 訟 や 評 判 の 失 墜 に 伴 う 深 刻 な 経 費 の 負 担 も 避 けることができます ユーザエクスペリエンスのすべてを 保 護 する 常 時 SSL 常 時 SSL は Web サイト 利 用 者 をエンドツーエンドで 保 護 する 基 本 的 かつ 費 用 対 効 果 の 高 いセキュリティ 対 策 です これは 製 品 やサービスではなく 既 存 の SSL 証 明 書 の 代 わりとなるもの でもありません むしろこれは ログイン 画 面 だけでなく ユーザ セッション 全 体 を 保 護 する 必 要 性 を 認 識 した セキュリティに 対 す るアプローチの 1 つです 常 時 SSL は サイト 全 体 で HTTPS を 使 用 することに 始 まり すべてのセッション Cookie に secure フ ラグを 設 定 し 暗 号 化 されていない HTTP 接 続 によってその Cookie の 内 容 が 送 信 されるのを 防 ぐことにもなります また EV (Extended Validation) SSL 証 明 書 や HSTS などの 手 段 を 追 加 すると 中 間 者 攻 撃 (Man-in-the-Middle Attack)に 対 してイン フラをさらに 強 化 することができます 他 社 が 実 施 しており あなたが 実 施 すべきこと オンライン 攻 撃 がますます 頻 繁 になり 実 行 が 容 易 になるにし たがい 世 界 中 の 企 業 は 機 密 データを 伴 うすべてのオンライ ン 取 引 の 安 全 を 確 保 するため これまで 以 上 に 厳 しく 監 視 され ます 政 府 機 関 やプライバシー 団 体 は 企 業 に 常 時 SSL の 利 用 を 求 めています 常 時 SSL は 最 も 一 般 的 な ネットワーク 脅 威 の 多 くを 防 ぐ 比 較 的 簡 単 で 非 常 に 費 用 対 効 果 の 高 い 方 法 であるとシマン テックでは 考 えています この ホワイトペーパーに 記 述 されて いる インターネット 業 界 をリー ドする 企 業 の 経 験 によって そ の 導 入 の 実 現 性 とそれがもた らすメリットも 証 明 されました すべての Web サイト 運 営 者 が 常 時 SSL を 早 期 に 採 用 するこ とが 望 まれます Symantec 社 の Quentin Liu 氏 2 https://www.eff.org/press/archives/2011/04/19-0 2012 Online Trust Alliance (OTA) All Rights Reserved ページ 7

2011 年 1 月 Charles Schumer 上 院 議 員 ( 民 主 党 ニューヨーク 州 )は SSL ハックの 報 告 を 受 けて Yahoo! 社 Twitter 社 および Amazon 社 に 文 書 を 送 付 し 3 ハッカー 志 望 者 を 歓 迎 してい る ような HTTP の 状 況 を 非 難 し 常 時 SSL の 実 装 の 促 進 を 求 めました 現 在 Facebook Google PayPal Twitter など 世 界 有 数 の 大 規 模 で 信 頼 度 の 高 い Web サイ トで 常 時 SSL が 実 装 されており 販 促 データや 非 機 密 データも 含 め Web サイト 上 でやりとりさ れるすべての 通 信 の 暗 号 化 に HTTPS が 使 用 されています これらの 企 業 は 持 続 的 な 保 護 の 重 要 性 が 高 まっていることを 認 識 し Web 全 体 を 通 じてオンラインユーザに 安 全 な 環 境 を 提 供 できる よう 努 めています Facebook Web 上 で 最 も 利 用 者 数 の 多 いサイトである 4 Facebook の 月 間 アクティブユーザ 数 は 2011 年 12 月 末 時 点 で 8 億 4,500 万 人 同 月 の 1 日 あたりの 平 均 アクティブユーザ 数 は 4 億 8,300 万 人 でした 5 Facebook 社 は ユーザの 情 報 の 保 護 に 熱 心 に 取 り 組 んでおり 同 社 のセキュリティ 担 当 チームは スパム フィッシング マルウェア その 他 のセキュリティ 脅 威 から Web サイトを 保 護 するため 高 度 なシステムを 開 発 しました 6 2011 年 1 月 より 安 全 なプラットフォームをユーザに 提 供 するための 主 要 な 取 り 組 みの 一 環 として Facebook 社 は 常 時 SSL の 実 装 を 開 始 し ユー ザは HTTPS によって Web サイトを 閲 覧 できるようになりました この 変 化 に 対 するユーザの 反 応 は 驚 くべきもので Facebook のアクティブユーザの 19 パーセント 以 上 が 安 全 な Web 閲 覧 の 有 効 化 を 選 択 しました 膨 大 なアプリケーション 移 行 の 調 整 Facebook 社 は 100 万 人 を 超 える 開 発 者 によるシステムを HTTPS と OAuth 2.0(Yahoo 社 Twitter 社 Google 社 などが 共 同 で 策 定 したオープンスタンダード) 7 に 移 行 する 際 さらに 困 難 な 課 題 に 直 面 しました HTTPS に 対 応 していないサードパーティのアプリケーションでは ユーザが 安 全 な Web 閲 覧 を 行 っているときに コンテンツの 混 在 に 関 するセキュリティ 警 告 がブラウザで 表 示 され 多 くのアプリケーションがブロックされます そのため この 点 に 関 して 多 大 な 努 力 を 要 しました Facebook 社 は 開 発 者 の 移 行 を 支 援 するため サイトとアプリケーションを HTTPS に 移 行 するための 開 発 者 向 けロードマップを 作 成 し 6 カ 月 間 にわたる 計 画 の 概 要 を 明 らかにしまし た 8 安 全 な 接 続 に 対 応 したアプリケーションを 作 成 していた 開 発 者 の 場 合 移 行 は 速 やかに 行 われましたが 複 数 のアプリケー ションを 持 つ 一 部 の 大 規 模 な 開 発 者 の 場 合 は 必 要 なコードを 探 して 書 き 換 えたり 必 要 なインフラの 改 良 をするためにより 多 く の 時 間 とリソースが 費 やされました ネットワーク 上 でお 客 様 のプ ライバシーが 危 険 にさらされ ないため 安 全 で 信 頼 できる サービスを 提 供 する 自 信 が 高 まりました Facebook 社 の Alex Rice 氏 3 http://www.infosecurity-magazine.com/view/16328/senator-schumer-current-internet-security-welcome-mat-forwouldbe-hackers/ 4 http://www.google.com/adplanner/static/top1000/ 5 http://newsroom.fb.com/content/default.aspx?newsareaid=22 6 https://www.facebook.com/blog/blog.php?post=486790652130 7 http://oauth.net/2/ 8 https://developers.facebook.com/blog/post/497/ 2012 Online Trust Alliance (OTA) All Rights Reserved ページ 8

常 時 SSL を 導 入 するアプローチへの 移 行 は Facebook 社 に とってその 努 力 に 値 するものでした 現 在 同 社 は 単 一 の 認 証 規 格 を 使 用 し HTTPS を 通 じてアプリケーションを 提 供 すること で よりシンプルで 安 全 性 が 高 く 信 頼 できるプラットフォームを 提 供 しています このように 第 一 歩 を 踏 み 出 した Facebook 社 は 現 在 国 際 的 なインフラを 拡 大 して 遅 延 を 許 容 レベルまで 抑 える 取 り 組 みを 進 めています Facebook のアクティブユーザの 約 80 パーセントは 北 米 以 外 に 在 住 しているため これは Facebook 社 にとって 重 要 な 要 素 です Google Google 社 は 主 に 公 共 情 報 を 扱 う 検 索 エンジンとして 登 場 しましたが 同 社 の 成 長 とともに より カスタマイズされたユーザエクスペリエンスを 提 供 するようになりました そのため 同 社 は 個 人 情 報 のプライバシーを 保 護 する 重 要 性 を 以 前 から 理 解 しています Google 社 は Gmail と Google Apps を 作 成 した 際 自 社 で 利 用 できるほど 信 頼 性 のある 世 界 規 模 の 製 品 を 構 築 しようとしていた ため 最 初 からこれらのアプリケーションを HTTPS に 対 応 するよう 設 計 していました 当 初 HTTPS はユーザのログイン 情 報 を 保 護 するために 使 用 されていましたが その 後 Google 社 が 2008 年 7 月 に 公 開 した 機 能 により Gmail と Google Apps のすべてのユーザが 常 に https を 使 用 する オプションが 追 加 されました 図 2 : Gmail および Google Apps の HTTPS オプションのスクリーンショット 2010 年 1 月 Google 社 は HTTPS を Gmail および Google Apps のデフォルト 設 定 にすること を 決 めました 9 これにより ユーザはブラウザと Google 間 で 電 子 メールを 常 に 保 護 することが 容 易 になりました この 移 行 はコンピュータの 追 加 や 特 殊 なハードウェアを 必 要 とせず パフォーマン スへの 影 響 はごくわずかでした Google 社 の 研 究 者 によると SSL/TLS の 影 響 は 同 社 のフロン トエンドコンピュータにおける CPU 負 荷 の 1 パーセント 未 満 でした(1 回 の 接 続 あたりのメモリ 使 用 は 10 KB 未 満 で ネットワークオーバーヘッドの 2 パーセント 未 満 ) 安 全 な 検 索 安 全 な 検 索 環 境 を 提 供 することは より 複 雑 な 課 題 でした 2010 年 5 月 Google 社 は 検 索 の 暗 号 化 オプションを 導 入 し ユーザは 他 のユーザによる 傍 受 に 対 して より 保 護 された 状 態 で 検 索 が できるようになりました また Google 社 は 最 近 サインインしているユーザのデフォルトの 検 索 環 境 として HTTPS を 使 用 し 始 めました この 変 更 により ユーザの 検 索 クエリーと Google の 検 索 結 果 ページが 暗 号 化 されるようになりました 10 このアプローチのセキュリティ 上 のメリットは 明 らか です ユーザは コンピュータと Google 間 でエンドツーエンドの 暗 号 化 を 使 用 することにより より 安 全 でプライベートな 検 索 ができるようになりました しかし 検 索 に 関 連 するシステム 特 に Web 解 析 と SEO( 検 索 エンジンの 最 適 化 )は より 複 雑 でした 9 http://gmailblog.blogspot.com/2010/01/default-https-access-for-gmail.html 10 http://googleblog.blogspot.com/2011/10/making-search-more-secure.html 2012 Online Trust Alliance (OTA) All Rights Reserved ページ 9

ユーザが Google の 検 索 結 果 をクリックして Web サイトにアクセスするときは そのリクエストが Google からのリンクによるものかどうかを 示 す リファラ フラグがブラウザによって 設 定 されます SEO および Web 解 析 の 専 門 家 の 多 くは この 情 報 をもとに Web サイトの 利 用 状 況 の 統 計 デー タを 収 集 したり オンラインマーケティングの 取 り 組 みの 効 果 を 測 定 しています しかし ユーザが 安 全 に 検 索 をしている 場 合 検 索 キーワードは 保 護 されています つまり Google の 検 索 結 果 に おいてクリック 先 となるサイトは ユーザが Google から 来 ていることはわかっても 個 別 のクエ リーについては 情 報 を 受 け 取 ることができません しかし Google 社 が 指 摘 しているとおり Google ウェブマスター ツールを 使 用 すれば サイトは 過 去 30 日 間 に 自 社 サイトへのトラフィックを 生 み 出 した 上 位 1,000 個 の 検 索 クエリーをまとめたリ ストを 受 け 取 ることができます この 情 報 により Web マスターは HTTPS を 有 効 にしている 各 ユーザの 機 密 を 保 護 しながら ユーザトラフィックに 関 するより 正 確 な 統 計 データを 保 持 することが できます さらに ユーザが Google の 検 索 結 果 ページに 表 示 されている 広 告 をクリックした 場 合 は ブラウザは 継 続 してネットワーク 経 由 で 関 連 するクエリーを 送 信 するので 広 告 主 はキャン ペーンの 有 効 性 を 測 定 して 広 告 やサービスを 改 善 することができます Google 社 は 将 来 的 に 自 社 製 品 の 常 時 SSL 対 応 を 強 化 することを 計 画 しており 同 社 の 研 究 者 は SSL/TLS に 関 する 情 報 を 引 き 続 き 公 開 しています また Google 社 は SSL をより 広 範 囲 かつ 効 果 的 に 実 装 するための 業 界 でのさらなる 取 り 組 みを 強 く 支 持 しており Web 全 体 にわたっ てすべての 正 当 なコンテンツを 保 護 し すべてのユーザにシームレスで 安 全 なユーザエクスペリエ ンスを 提 供 するというビジョンを 持 っています 11 PayPal 1998 年 以 来 オンライン 決 済 ソリューション 分 野 での 世 界 的 リーダーである Pay Pal 社 は SSL/TLS を 早 期 に 採 用 しました 同 社 は 2000 年 にはすでにユーザのログイン 画 面 以 降 の 全 ページを HTTPS 経 由 で 提 供 しており 2006 年 には ログイン 画 面 も HTTPS によって 保 護 し 始 め ていました また PayPal 社 は EV SSL 証 明 書 を 導 入 した 最 初 の 企 業 の 1 つであり 早 くも 2007 年 にはすべてのログインページにこの 証 明 書 を 実 装 し 始 めていました 12 PayPal のサービスは 多 くのトランザクションを 処 理 するものであるため PayPal 社 はパフォーマン スに 関 して 独 自 の 課 題 に 直 面 しました ユーザが 1 回 のセッションで 比 較 的 長 い 時 間 を 費 やすサ イトとは 異 なり PayPal のサービスでは その 多 くが 短 時 間 のセッションです また SSL/TLS ハ ンドシェイクはこのプロセスの 中 で 最 も 時 間 を 消 費 するため Pay Pal 社 は ユーザエクスペリエン スに 影 響 を 与 えかねないパフォーマンスを 注 意 深 く 監 視 し 管 理 しなければならないことを 認 識 して いました しかし PayPal 社 はブラウザへの 接 続 によってすべてのコンテンツを 同 じサーバから 提 供 できたため 実 際 には HTTPS への 転 換 によってサイトが 高 速 化 されたケースもありました PayPal 社 のセキュリティ 担 当 チームは 同 社 のサイトがフィッシャー ハッカー その 他 のサイバー 犯 罪 者 にとって 特 に 魅 力 的 な 標 的 となっていることを 十 分 認 識 しており 顧 客 と 評 判 を 守 るために 特 別 手 段 を 講 じました その 目 的 は フィッシング 詐 欺 や SSLStrip(ネットワークパケットの 傍 受 は するが 再 ルーティングや 改 ざんは 行 わない 受 動 的 な Firesheep とは 対 照 的 なツール)などの 活 発 な 攻 撃 ツールを 阻 止 することでした 13 11 http://googleblog.blogspot.com/2011/10/making-search-more-secure.html 12 https://otalliance.org/resources/ev/index.html 13 http://www.thoughtcrime.org/software/sslstrip/ 2012 Online Trust Alliance (OTA) All Rights Reserved ページ 10

これらの 取 り 組 みは PayPal 社 のセキュリティエンジニアである Jeff Hodges 氏 が 共 同 開 発 した HTTP Strict Transport Security(HSTS) 仕 様 のリリースとして 結 実 しました 14 HSTS では Web サイトが SSL 接 続 の 場 合 のみアクセスできることを 明 示 したり ユーザが SSL 接 続 の 場 合 のみ 特 定 のサイト 上 でやりとりできるようにする 方 法 が 規 定 されています 現 在 HSTS には Google Chrome と Mozilla Firefox が 対 応 しています HSTS を 使 用 する PayPal.com などのサイトは そのサイトでは 暗 号 化 された 情 報 のみが 送 受 信 されることをブラウザに 明 示 し ユーザが 誤 って HTTP のページにアクセスしたり フィッシング 攻 撃 や SSLStrip 攻 撃 によって HTTP ページに 誘 導 されないよう 保 護 します Twitter リアルタイムの 情 報 ネットワークである Twitter は 表 現 の 自 由 が 制 限 されている 地 域 ではとりわ け 多 くの 話 題 の 中 心 となっています Twitter は 話 題 性 のあるいくつかのセキュリティインシデント において 標 的 となりましたが Twitter 社 は サイトをより 安 全 にする 取 り 組 みを 急 速 に 進 めてきま した Twitter の PC サイト スマートフォンクライアント モバイル サイトは [ツイート]ボタンなどの 機 能 も 含 め すでに HTTPS に 対 応 していましたが Twitter 社 はすぐに 常 時 SSL の 実 装 というより 野 心 的 な 目 標 を 掲 げました 15 2011 年 5 月 Twitter 社 は ユーザが 決 めた 設 定 に 基 づき 常 に HTTPS を 使 用 できるオプションを 提 供 すると 発 表 しました ユーザの 非 常 に 肯 定 的 な 反 応 に 後 押 しされ Twitter 社 はこのオプションの 実 装 を 早 めて 2012 年 1 月 にすべてのユーザに 提 供 し HTTPS はすべてのユーザのデフォルトオプションとなりました Twitter 社 は 常 時 SSL の 採 用 にあたり いくつかの 独 自 の 課 題 を 克 服 しました 同 社 がトラフィッ クの 一 部 をコンテンツデリバリネットワーク(CDN)にアウトソーシングした 際 その CDN が 増 加 す る SSL の 負 荷 を 確 実 に 処 理 することが 優 先 事 項 となりました Twitter 社 とそのパートナー 企 業 に とっては サイトの 参 照 元 や 解 析 結 果 を 追 跡 する 能 力 を 維 持 することも 重 要 事 項 であり Twitter 社 のエンジニアはコードを 書 き 換 え コンテンツの 混 在 に 関 連 する 固 有 の 問 題 に 対 処 しました 得 られた 教 訓 Facebook Google PayPal Twitter 各 社 のセキュリティ 専 門 家 が 貴 重 な 見 識 を 提 供 し 公 共 サービスとしての OTA と 共 有 することによって Web サイト 運 営 者 およびサイトのユーザがサイド ジャックやその 他 の 攻 撃 から 保 護 されました Web サイトに 常 時 SSL を 実 装 する 前 に これらの 見 識 を 重 要 なポイントとして 考 慮 する 必 要 があります SSL は 高 価 ではない 一 部 の 企 業 は 常 時 SSL によって Web サイト 運 営 のオーバーヘッドとコストが 増 加 すると 考 えて いるため 実 装 には 消 極 的 です 認 証 局 が 発 行 する SSL/TLS 証 明 書 は 無 料 ではありませんが その 費 用 は 固 定 されており 既 存 の SSL 証 明 書 と 差 し 替 える 必 要 はありません 複 数 のドメイン 名 を 保 護 する 必 要 がある 場 合 は 証 明 書 を 購 入 するときにドメイン 名 を SAN(サブジェクトの 別 名 ) に 追 加 することで 保 護 できます SSL 証 明 書 の 費 用 とは 別 に CPU 負 荷 の 増 加 に 対 処 するため コンピュータの 要 件 の 問 題 と ハードウェアを 追 加 で 購 入 する 必 要 性 を 考 慮 しなければなりません 14 http://tools.ietf.org/html/draft-hodges-strict-transport-sec-02 15 https://dev.twitter.com/docs/tweet-button/faq 2012 Online Trust Alliance (OTA) All Rights Reserved ページ 11

人 気 のある 大 規 模 な Web サイトでは ネットワークパケットの 暗 号 化 と 復 号 のために 必 要 となる 付 加 的 なコンピュータ 処 理 に よって ハードウェア 要 件 が 大 幅 に 増 加 することを 予 想 すべき かもしれません しかし 多 くの 企 業 は 必 ずしもこれに 該 当 する わけではありません たとえば Google 社 の 研 究 者 が 常 時 SSL に 関 連 するコン ピュータの 負 荷 について 行 った 広 範 な 研 究 では 同 社 の IT 環 境 にハードウェアを 追 加 で 実 装 する 必 要 はないことがわかりま した 大 半 のデータによると SSL/TLS のコンピュータへの 影 響 は 技 術 の 進 歩 によって 最 小 限 に 留 まりますが 自 社 の Web サーバのパフォーマンスをプロファイリングして 自 社 環 境 でのパフォーマンス 上 の 不 利 益 を 確 認 しておくことを 推 奨 し ます 16 ここで 読 むのをやめられる 方 も 1 つだけ 覚 えておいてくださ い SSL/TLS の 費 用 はもはや 高 くありません 10 年 前 はそうだっ たかもしれませんが 今 は 違 い ます どの 企 業 でも ユーザのた めに HTTPS を 導 入 することが できるでしょう Google 社 の Adam Langley 氏 ネットワークの 遅 延 によるパフォーマンスの 課 題 エンドツーエンドで HTTPS を 使 用 することにより 多 少 のネットワークの 遅 延 が 発 生 します この 主 な 原 因 は SSL/TLS ハンドシェイクを 確 立 するために クライアントとサーバ 間 でラウンドトリップ が 必 然 的 に 増 加 することです 17 これは 海 外 にまたがるような 長 距 離 通 信 を とりわけネットワー ク 帯 域 幅 が 限 られている 地 域 と 行 う 場 合 や ユーザが 比 較 的 短 い SSL/TLS セッションを 何 度 も 開 始 するサイトの 場 合 特 に 厄 介 な 問 題 となります 遅 延 は 簡 単 に 解 決 できる 問 題 ではありません しかし 適 切 な 計 画 によってパフォーマンス 上 の 不 利 益 に 対 処 することはできます 金 融 サービス 企 業 では デフォルトで 強 力 な 暗 号 化 が 実 装 されていながら 遅 延 の 少 ない 充 実 した 閲 覧 環 境 が 提 供 されています 18 また Google 社 の 研 究 者 が 実 験 している False Start などの 新 技 術 によっ て SSL/TLS ハンドシェイクに 関 連 する 遅 延 が 30 パーセント 軽 減 されることが 確 認 されています 19 安 全 な Web 開 発 は 移 行 を 容 易 にする 安 全 な 開 発 プラクティスが 初 期 の 段 階 から 守 られていると 結 果 として ほぼ 同 じ 開 発 コストでも 長 期 的 に 費 用 対 効 果 の 高 い 安 全 な Web サイトや Web アプリケーションを 開 発 することができます 20 特 に 多 くの 製 品 を 持 つ 大 規 模 企 業 の 場 合 コードを 発 見 し 書 き 換 えるにはコストも 時 間 もかか ります 現 在 構 築 されているすべてのサイトは デフォルトで HTTPS を 使 用 し 特 にオンライン フォームでは 常 に HTTP 接 続 を HTTPS に 速 やかにリダイレクトする 必 要 があります 考 慮 すべ き 点 は 他 にも 多 くあります たとえば MozillaWiki などのリソースや Open Web Application Security Project(OWASP)などのグループによって 安 全 な Web アプリケーションおよび Web サービスを 構 築 するための 包 括 的 なガイドラインが 提 供 されています 21 16 http://www.imperialviolet.org/2010/06/25/overclocking-ssl.html 17 http://www.semicomplete.com/blog/geekery/ssl-latency.html 18 http://www.wired.com/images_blogs/threatlevel/2009/06/google-letter-final2.pdf 19 http://googleonlinesecurity.blogspot.com/2010/05/extending-ssl-to-google-search.html 20 https://www.owasp.org/index.php/owasp_guide_project 21 https://wiki.mozilla.org/webappsec/secure_coding_guidelines 2012 Online Trust Alliance (OTA) All Rights Reserved ページ 12

コンテンツの 混 在 による 複 雑 さ コンテンツの 混 在 は ハイパーリンクを 使 用 するインターネットの 特 性 によって 生 じる 複 雑 な 問 題 で す 多 くの Web サイトでは 複 数 のソースからコンテンツが 表 示 され それがサードパーティのも のであることもよくあります このコンテンツがハイパーリンクでリンクされていると 通 常 は 安 全 な サイトでも 積 極 的 な 攻 撃 者 がカスケーディングスタイルシート(CSS)や JavaScript コードの 読 み 込 みを 悪 用 できるため セキュリティが 侵 害 される 可 能 性 があります 22 同 様 に HTTPS ページが HTTP 経 由 で 画 像 インラインフレーム またはフォントを 読 み 込 む 際 中 間 者 攻 撃 によって HTTP のリソースが 傍 受 されることがあります また Facebook などのサイトでは コンテンツの 混 在 を 防 ぐために SSL/TLS の 使 用 を 要 求 し 始 めており 今 後 HTTPS を 使 用 しないアプリケーションや コンテンツはブロックされるようになります 23 これらの 問 題 を 回 避 するには Web サイトのコードに よって HTTP 経 由 でファイルを 呼 び 出 さないようにする 必 要 があります これには 以 下 を 含 め さ まざまな 要 素 が 含 まれます <img> タグ 内 の 画 像 ファイルやそれらのファイルへのリンク 外 部 の CSS(.css)ファイル JavaScript(.js)ファイル 埋 め 込 みのメディアおよびインラインフレームのコンテンツ(Flash など) DOCTYPE 宣 言 で 指 定 された URL または <html> タグ 内 の URL 外 部 の API および SDK の 呼 び 出 し(Facebok SDK など) HTTP か HTTPS かの 指 定 がないために 安 全 なコンテンツと 安 全 でないコンテンツが 混 在 する 問 題 を 避 ける 方 法 として 相 対 リンクがあります ただし 相 対 リンクは 検 索 エンジンスパムや 302 ハイジャック 攻 撃 によって 悪 用 されることがあるため 使 用 する 必 要 性 があるかどうかを 慎 重 に 検 討 した 上 で 使 用 する 場 所 や 方 法 を 決 定 する 必 要 があります 24 Web サイトに 常 時 SSL を 実 装 するには 自 社 の 顧 客 や 評 判 を 長 期 的 に 保 護 することを 真 剣 に 考 える 企 業 は 常 時 SSL を 実 装 しています OTA は 常 時 SSL を 実 装 してユーザを 保 護 する 手 順 の 概 要 を 明 らかにしています 表 1 に 要 約 されているとおり 提 供 できる 保 護 と 保 証 のレベルは どのようなセキュリティ 機 能 の 実 装 を 選 択 す るかによって 異 なります 表 1 : 常 時 SSL によるセキュリティ 対 策 の 概 要 セキュリティ 機 能 可 良 優 HTTPS の 持 続 的 接 続 secure フラグの 付 いた Cookie EV SSL 証 明 書 による HTTPS の 持 続 的 接 続 HTTP Strict Transport Security(HSTS) 22 https://www.eff.org/https-everywhere/deploying-https 23 http://googleonlinesecurity.blogspot.com/2011/06/trying-to-end-mixed-scripting.html 24 http://www.dummies.com/how-to/content/prevent-someone-from-hijacking-your-web-sites-sear.html 2012 Online Trust Alliance (OTA) All Rights Reserved ページ 13

HTTPS の 持 続 的 接 続 をすべての Web ページで 実 行 する 常 時 SSL は Web サイトにアクセスしたユーザが どのページにいてもできる 限 り 簡 単 に 常 に HTTPS を 使 用 できるようにすることを 目 的 としています HTTPS プロトコルは HTTP と 同 じくテ キストベースのプロトコルですが 暗 号 化 された SSL/TSL セッション 中 に 動 作 するという 点 で 異 な ります HTTPS を 実 施 するために 必 要 な 手 順 は 以 下 のとおりです サードパーティの 認 証 局 から 取 得 した SSL/TLS 証 明 書 をインストールする Web サーバへの 接 続 をすべてポート 80 からポート 443 に 切 り 替 える 暗 号 強 度 を 指 定 する(128 ビットなど) 初 めは ユーザが 任 意 で HTTPS を 有 効 にできるようにしてもかまいません しかし 長 期 的 には HTTPS をデフォルト 設 定 にし 必 要 に 応 じてユーザが HTTPS を 無 効 にできるオプションを 提 供 す ることが 推 奨 されます サイト 全 体 で HTTPS を 使 用 することで ユーザにセキュリティやプライバ シー 上 の 重 要 な 保 証 をするのに 必 要 となる 最 低 限 のセキュリティを 提 供 することができます SSL 証 明 書 を 正 しく 実 装 する HTTPS を 有 効 にするには サードパーティの 認 証 局 から 取 得 した 有 効 な SSL/TLS 証 明 書 を 使 用 する 必 要 があります 自 己 署 名 証 明 書 でもユーザと Web サイト 間 の 通 信 を 暗 号 化 することはでき ますが 信 頼 される 機 関 によってドメインの 身 元 が 検 証 されていることをユーザに 知 らせることがで きるのは 認 証 局 が 発 行 した 証 明 書 のみです 接 続 に 自 己 署 名 証 明 書 が 使 用 されていると Web ブラウザはこれを 潜 在 的 なリスクと 見 なし サイトが 安 全 でない 可 能 性 があるという 警 告 メッセージ を 表 示 することがあります そのため 適 切 な 認 証 局 を 選 択 することが 非 常 に 重 要 です また 認 証 局 は SSL 証 明 書 を 用 いた 厳 格 なセキュリティプラクティスを 維 持 し Web サイトが SSL で 保 護 されている 場 合 その Web サイトとユーザが 通 信 した 時 に 起 こりうる 何 らかの 詐 欺 行 為 へ の 適 切 な 補 償 となりうるものであることを 認 識 してください また あなたのインストールした SSL 証 明 書 に 必 要 となるすべての 中 間 証 明 書 が 含 まれている ことを 確 認 してください 証 明 書 に 問 題 があると 多 くの Web ブラウザは サイトにアクセスしようと するユーザをブロックしたり セキュリティの 警 告 メッセージを 表 示 します 厳 格 な 検 証 を 実 施 してい る Facebook などのサイトでは 証 明 書 チェーンに 問 題 がある 場 合 そのコンテンツを 自 社 のユー ザからブロックすることがあります SSL/TLS の 実 装 をチェックし エラーや 警 告 を 修 正 するのに 利 用 できるサードパーティ 製 の SSL 分 析 ツールもいくつか 提 供 されています すべてのセッション Cookie に secure フラグを 設 定 する セッション Cookie には オプションで secure フラグを 設 定 できます このフラグにより ブラウザ は 送 信 元 サーバが HTTPS を 使 用 して Cookie を 返 送 する 場 合 のみ そのサーバにアクセスす るようになります secure 属 性 は サーバからユーザエージェントに 送 られるセッション Cookie の コンテンツが 保 護 されていることを 示 す セキュリティ 上 のアドバイスと 考 えることができます これ により ユーザが 誤 って(またはだまされて)HTTP 経 由 で Web サーバにブラウザリクエストを 送 信 した 場 合 でも Cookie が HTTP 経 由 で 送 信 されるのを 防 ぐことができます 2012 Online Trust Alliance (OTA) All Rights Reserved ページ 14

EV 証 明 書 による 信 頼 性 の 向 上 SSLStrip などの 悪 用 に 対 する 保 護 を 強 化 するため OTA は Extended Validation SSL 証 明 書 (EV SSL 証 明 書 )の Web サイトへの 実 装 を 検 討 することを 推 奨 しています EV SSL 証 明 書 で 保 護 されたサイトは CA ブラウザフォーラムによって 確 立 された 厳 密 な 検 証 を 受 けます このフォー ラムには 30 以 上 もの 大 手 の 認 証 局 やブラウザソフトウェアのベンダーが 共 同 で 参 加 しています この 検 証 プロセスでは 信 頼 できるサードパーティのソースを 使 用 して Web サイト 運 営 者 の 身 元 と 存 在 を 確 認 します EV SSL 証 明 書 で 保 護 された Web サイトにアクセスすると アドレスバーが 緑 色 になり 組 織 名 が 表 示 されるので Web サイト 運 営 者 の 身 元 を 視 覚 的 に 確 認 することができま す 図 3 : EV SSL 証 明 書 が 使 用 されているときの Web ブラウザの 表 示 OTA では 企 業 が 責 任 を 持 ち 安 全 な 接 続 が 要 求 されるすべてのサイトに EV SSL 証 明 書 を 導 入 することを 推 奨 しています IT 部 門 は EV SSL 証 明 書 によってユーザのセキュリティが 保 護 さ れ 攻 撃 に 対 する 企 業 の 脆 弱 性 が 軽 減 されることを 経 営 幹 部 とエンドユーザが 理 解 できるよう 支 援 する 必 要 があります すべてのユーザは EV SSL 証 明 書 に 対 応 しているブラウザにアップグ レードすべきです また オンライン 取 引 を 行 っているすべての Web サイトは セキュリティおよび ブランド 保 護 戦 略 の 一 環 として EV SSL 証 明 書 を 評 価 する 必 要 があります HSTS の 実 装 により 活 発 な 攻 撃 を 防 止 多 くの 場 合 HTTP ページからユーザがリダイレクトされるときや HTTPS サイトに 誘 導 するリンク (ログインボタンなど)をユーザがクリックしたときに HTTPS 接 続 は 開 始 されます しかし 保 護 さ れていないページから 保 護 されたページへ 移 行 する 間 に 受 動 的 に またはユーザをだまして(た とえば フィッシングメールを 使 用 して) 正 当 な Web サイトへの HTTP リンクをクリックさせることに よって 中 間 者 攻 撃 が 行 われる 可 能 性 があります 2012 Online Trust Alliance (OTA) All Rights Reserved ページ 15

これらのタイプの 攻 撃 に 対 する 最 も 強 力 な 対 策 は Web サイトに HTTP Strict Transport Security(HSTS)を 実 装 することです HSTS では Web サイトが SSL 接 続 の 場 合 のみアクセス できることを 宣 言 し ユーザが SSL 接 続 の 場 合 のみ 特 定 のサイト 上 でやりとりできるようにする 方 法 が 規 定 されています HSTS には Google Chrome と Mozilla Firefox が 対 応 しています HSTS を 使 用 する PayPal.com などのサイトは そのサイトでは 暗 号 化 された 情 報 のみが 送 受 信 されることをブラウザに 示 します 25 HSTS を 使 用 すると ユーザが HTTP から HTTPS にリダイレ クトされるときにセッション Cookie が 盗 まれるのを 防 ぐことができます HSTS は 現 在 フィッシン グや 中 間 者 攻 撃 に 対 する 最 も 強 力 な 対 策 です まとめ これまでに 多 くの 専 門 家 が Web サイト 開 発 者 や 運 営 者 に SSL/TLS を 使 用 してユーザ 認 証 金 融 取 引 その 他 の 重 要 な 活 動 を 保 護 するよう 勧 告 してきました しかし 多 くの 企 業 はコスト パ フォーマンス その 他 の 問 題 に 対 する 懸 念 から サイト 全 体 の 暗 号 化 をためらっていました 現 在 インターネットは 転 換 点 を 迎 えており 今 日 のモバイル 環 境 や オンラインに 常 時 接 続 しているユー ザを 保 護 するには 部 分 的 な HTTPS の 使 用 では 明 らかに 不 十 分 です SSL/TLS 自 体 は 今 でも 基 本 的 に 有 効 ですが Firesheep の 登 場 は Web サイト 運 営 者 がログインページやショッピング カートだけでなく ユーザエクスペリエンスのすべてを 保 護 するきっかけとなりました 端 的 に 言 え ば SSL は 自 動 車 のシートベルトのようなものです 移 動 中 は 常 に 締 めておく 必 要 があります 常 時 SSL は 乗 っ 取 りを 企 てる 攻 撃 者 を 阻 止 する 確 実 な 方 法 ではなく Web サイト 上 でやりとりを 行 うユーザを 保 護 するために 全 体 的 なセキュリティ 戦 略 の 一 環 として 実 装 する 必 要 があります とはいえ 常 時 SSL は サイドジャックやその 他 の 中 間 者 攻 撃 を 阻 止 できる 実 績 のあるアプロー チであり 大 半 の 企 業 にとっては 導 入 費 用 もかつてほど 高 くはありません Facebook 社 Google 社 PayPal 社 Twitter 社 およびその 他 の 企 業 が 示 すとおり 非 常 に 大 規 模 で 複 雑 な Web サイトでさえ HTTPS を 使 用 して 充 実 したユーザエクスペリエンスを 提 供 することができます 遅 延 やコンテンツの 混 在 などの 問 題 によって 課 題 が 生 じることもありますが このホワイトペーパー で 概 説 したガイドラインおよびベストプラクティスを 利 用 することで これらの 問 題 に 対 処 し パ フォーマンスを 最 適 化 することができます さらに 重 要 な 点 として 常 時 SSL を 使 用 すると Web サイトに 対 するユーザの 信 頼 を 守 ることがで きます 信 頼 とユーザの 安 全 を 守 ることは 非 常 に 難 しい 問 題 であり 技 術 的 な 方 法 だけでは 解 決 できません たしかに システムを 単 純 に 信 頼 しなければならない 側 面 がユーザにはありますが UNIX の 主 要 な 開 発 者 の 1 人 である Ken Thompson 氏 の 言 葉 を 借 りれば ソフトウェアを 作 っ た 人 を 信 頼 することのほうが おそらくもっと 重 要 である 26 と 言 えるかもしれません セキュリティに 対 して 常 時 SSL を 導 入 するアプローチをとることによって 企 業 がユーザのセキュリティやプライ バシーについて 真 剣 に 考 え ユーザを 保 護 するために 適 切 な 手 段 を 講 じていることがユーザに 伝 わり これがユーザを 守 る 第 一 歩 となるのです オンライントラストアライアンス(OTA)について 25 http://hacks.mozilla.org/2010/08/firefox-4-http-strict-transport-security-force-https/ 26 http://www.ece.cmu.edu/~ganger/712.fall02/papers/p761-thompson.pdf 2012 Online Trust Alliance (OTA) All Rights Reserved ページ 16

独 立 した 非 営 利 団 体 である OTA は オンラインサービス 企 業 ユーザに 対 するプライバシー 個 人 情 報 セキュリティの 新 たな 脅 威 を 緩 和 するベストプラクティスおよびパブリックポリシーを 策 定 推 進 することによってインターネットの 信 頼 性 と 安 全 性 を 高 めることを 使 命 としています OTA は 業 界 企 業 政 府 機 関 と 協 力 するためにオープンな 対 話 を 促 進 することで インターネットの 信 頼 性 を 弱 め 規 制 への 要 求 を 増 大 させる 各 種 のインターネットの 乱 用 脅 威 プラクティスへの 対 処 を 進 めています https://www.otalliance.org/ 2012 Online Trust Alliance. All Rights Reserved. 2012 Online Trust Alliance (OTA) All Rights Reserved ページ 17

本 書 に 含 まれる 資 料 は 教 育 および 情 報 提 供 のみを 目 的 としています 発 行 者 オンライントラストアライアン ス(OTA) OTA のメンバー および 執 筆 者 は 本 書 の 誤 りまたは 不 備 について 一 切 の 責 任 を 負 いません ま た 本 書 またはその 内 容 の 用 途 や 解 釈 および 本 書 の 使 用 によって 直 接 的 または 間 接 的 に 引 き 起 こされたす べての 結 果 に 対 して 一 切 の 責 任 を 負 いません OTA は 本 書 に 記 載 された 推 奨 事 項 の 採 用 を 選 択 する 企 業 のセキュリティプラクティスまたはビジネスプラクティスに 関 して 一 切 の 判 定 や 支 持 を 行 いません 法 的 助 言 またはその 他 の 助 言 については 各 社 の 弁 護 士 またはその 他 の 適 切 な 専 門 家 とご 相 談 ください 本 書 で 表 明 されている 見 解 は 必 ずしも OTA のメンバー 企 業 または 関 連 企 業 の 見 解 を 反 映 するものではありません OTA は 本 書 に 記 載 された 情 報 に 関 して 明 示 的 暗 示 的 および 法 的 な 保 証 を 一 切 行 いません 本 書 のい かなる 部 分 についても OTA から 事 前 に 書 面 による 同 意 を 得 ない 限 り いかなる 形 式 手 段 であっても 複 製 配 布 できず データベース Web サイト 検 索 サービスに 保 存 できません 2012 Online Trust Alliance (OTA) All Rights Reserved ページ 18