トピックス 2020.02.20 「http」と「https」の違いを理解してより安全なネットライフを
普段の生活の中で何気なく見かけるURL。その先頭が「http」で始まっている場合と「https」で始まっている場合があることをみなさんはご存じでしょうか。
たった1文字の違いではありますが、この2つの間には情報セキュリティにおける大きな違いが存在するのです。
今回はみなさんの身近に存在する「http」と「https」の違いを確認し、より安全にインターネットを利用するためのポイントをご紹介します。
httpとhttpsって何だろう？
私たちがインターネット上でWebページを閲覧するとき、自分のスマホやパソコンからホームページやブログなどのデータを公開・発信しているサーバに毎回アクセスを行なっています。
この時、スマホやパソコンとサーバがやり取りをする時の通信の種類がいくつか存在しているのですが「http」や「https」とはこの通信種別のことを指した名称です。
HTTPは 「Hyper Text Transfer Protocol（ハイパーテキストトランスファープロトコル）」の略で、HTTP通信によってスマホやパソコンからWebページを閲覧するときには「データが暗号化されていない」状態になっています。
そのため、もし第三者にこの通信データが傍受された場合には、通信内容が簡単に漏洩してしまいます。
そこでHTTP通信でやり取りするデータを盗み見られても分からないように暗号化した通信の方法がHTTPSです。
「Hyper Text Transfer Protocol Secure（ハイパーテキストトランスファープロトコルセキュア）」頭文字をとってHTTPSとなっていますが、名前の通りHTTP通信のセキュリティを強化したバージョンとなっています。
HTTPS通信がデータを守っている仕組み
HTTPS通信において暗号化を行い、安全性を高めているのはSSLと呼ばれるプロトコル（手順）です。
SSLは、Webページのデータを配信するサーバに通信を暗号化するために使用する鍵の情報と誰がサイトの管理をしているのかというサイトの運営者情報を記したSSLサーバ証明書をインストールすることで実現しています。
SSLでは、あらかじめ決められた鍵を使って通信に暗号をかけ、その鍵がないと暗号が解除できないような仕組みを作ることで通信の安全性を高めています。
また、SSLサーバ証明書にはサイトの運営者が誰なのかを登録する必要があるため、ユーザはこの証明書を見ることで運営者が信頼のできる相手かどうかを確認することができるのです。
例えば、証明書が使われていない通信では、通信の内容が不正に取得されたり改ざんされたりしてしまうリスクがあり、ショッピングサイトの場合だったら名前や住所、クレジットカード番号などの情報が漏れてしまうかもしれません。
多くのフィッシングサイトやなりすましサイトではこの証明書を発行することができずにHTTPS通信を使っていないことが多いため、通信の中身を傍受してデータの改ざんや情報の詐取などを行っているかもしれない信頼のできない相手との通信を避けるためには証明書を確認することが1つの有効な方法になっています。
SSLサーバ証明書を確認してより安全なWebの利用を
HTTPS通信を利用しているサイトにはSSLサーバ証明書が登録されていることをご紹介しましたが、ではそのSSLサーバ証明書はどのように確認したらよいのでしょうか。
これは、ご利用されているインターネットブラウザのURLの表示エリアを見ることが確認することができます。
URLの横に鍵のマークが出ている場合、参照しているサイトはSSLを使用していることが分かります。
また、この鍵マークをクリックすることでSSLサーバ証明書の情報を参照することができます。（ご利用中の環境により表示は変わります）
反対に、SSLが使用されていないサイトの場合だと鍵のマークは表示されません。
そしてURLの前についているマークをクリックすると「保護されていない通信」であることが表示されます。（ご利用中の環境により表示は変わります）
このようにSSLサーバ証明書の有無や発行先、有効期限を確認することで、利用中のサイトの運営者が信用できる相手かどうかを判断する材料にできます。
また、ご利用中のブラウザによっては危険性のある証明書が使われている場合などに警告メッセージが表示されることもあるのでこちらも覚えておくと参考にすることができるでしょう。
終わりに
HTTPS通信が利用されているかどうかを確認するだけでも、フィッシングサイトやなりすましサイトにアクセスしてしまうリスクを減らすことができます。
そしてSSLサーバ証明書の中身まで確認することで、信用できないサイトを利用してしまうリスクをさらに低減させることも可能です。
もはや日常の一部となっているインターネットの利用だからこそ、その仕組みにも少し目を向けて、安心安全に利用できるとよいのではないでしょうか。
・「https」記事への訂正と補足のお知らせ（2022年2月25日）
https://securitynews.so-net.ne.jp/topics/sec_20056.html
上記記事においてセキュリティ通信のツイッターアカウントに多くのご指摘を頂き、読者の方に重大な誤解を与える恐れのある表現が含まれていたことが判明したため、お詫びを申し上げるとともに訂正・補足致します。
【関連リンク】
・httpとは（一般社団法人日本インフォメーションネットワークセンター）
https://www.nic.ad.jp/ja/basics/terms/http.html
・国民のための情報セキュリティサイト SSLの仕組み（総務省）https://www.soumu.go.jp/main_sosiki/joho_tsusin/security/basic/structure/03.html
・httpとhttpsの違いとは? 知っておきたいウェブセキュリティの常識と今後（ノートン）
https://japan.norton.com/what-is-https-8564
TEXT：セキュリティ通信 編集部
PHOTO：iStock
