ＳＳＬとＳＥＴ

（従来の）ＳＳＬ（Secure Socket Layer）

ＳＳＬは、ネットスケープ社が開発した暗号通信プロトコルで、多くのＷｅｂブラウザに標準装備され広く用いられています。セッション層（レイヤー５）に相当します。

たとえば、店舗側のＷｅｂサーバとクライアント（購買者のパソコン）との間で、ＳＳＬによる暗号通信をするときには、店舗側はあらかじめ認証局に申請して電子証明書を取得しておきます。そして、該当するＷｅｂページを閲覧すると、サーバがクライアントに電子証明書と呼ばれるデータを送るので、クライアントはこの証明書を使って，通信相手のサーバーが信頼できるかどうかを検証します。
　このとき、ｈｔｔｐｓで通信するので、ＳＳＬを用いているＷｅｂページは、「http://～」ではなく、「https://～」となっており、ブラウザには下のような表示がされています。この鍵マークをクリックすると証明書が表示されます。 ☆

店舗のＷｅｂサーバを見て購買者が注文するときの手順は次のようになります。

• ① あらかじめ、認証局の秘密鍵で暗号化した電子証明書と店舗の公開鍵を得ておく。
• ②　購買者がＳＳＬページの閲覧をする。
• ③　店舗のＷｅｂサーバは、①を転送する。ブラウザはそれを開く。
• ④　購買者は、①の電子証明書から認証局にアクセスして認証局の公開鍵を入手する。これにより、店舗の信用が確認される。
• ⑤　認証局の公開鍵を使用して、電子証明書を復号化し、店舗の公開鍵を入手する。
• ⑥　購買者は一時的共通鍵を生成する。
• ⑦　⑥の共通鍵を、⑤で得た店舗の公開鍵で暗号化して送信する。
• ⑧　店舗のＷｅｂサーバは、⑥の共通鍵を店舗の秘密鍵で復号する。
• ⑨　これで購買者も店舗も共通鍵を入手できたので、共通鍵暗号方式で通信を行う。

ＥＶ ＳＳＬ（Extended Validation SSL）

Extended Validationとは「拡張認証」の意味です。
　認証局がＳＳＬサーバー証明書を発行するときは、利用者を審査しますが、その審査内容は認証局に異なり、審査が甘い場合には虚偽の証明書を取得できます。虚偽の証明書によるＳＳＬ表示を用いて利用者を安心させ、フィッシングや中間者攻撃（説明）を行うケースが増大してきました。
　それに対処するために、審査基準を統一して、ＳＳＬより厳格な審査をするのがＥＶ ＳＳＬです。 従来のＳＳＬでは、ドメイン名使用権の確認だけでよく、厳しいものでも組織の法的実在の確認程度でしたが、ＥＶ ＳＳＬでは、申請責任者の権限の認証、政府または第三者機関における組織の実在性の検証などが必要になりました。
　ＥＶ ＳＳＬ対応のブラウザで、ＥＶ ＳＳＬ取得サイトのアクセスすると、アドレスバーが緑色になり、ＳＳＬでの鍵マーク横にサイト運営組織名と、認証局名が表示されます。信頼できない証明書の場合、アドレスバーを赤色に表示するブラウザもあります。

中間者攻撃（man-in-the-middle attack）とは、暗号通信を行なうＡとＢの間に、不正者Ｘが割り込んで、虚偽の電子署名・認証を用いて、Ａに対してはＢを装い、Ｂに対してはＡを装うことにより、情報を不正入手する手口です。ＡにＢからのＷｅｂページをコピーしてＸの証明書をつけて安心させ、Ａが入力した暗号情報を解読します。そして、改ざんした暗号情報をＡになりすましてＢへ送信します。すべてＡとＢの公開鍵で暗号化（署名）しているので、ＡもＢも盗聴され改ざんされたことに気付かないのです。認証局の本人審査が甘いと、このような手口が行われます。

ＳＥＴ（Secure Electronic Transactions）

ＳＳＬでは，購買者のクレジット番号を店舗が知ることになり，悪用される危険があります。それに対してＳＥＴは，クレジット決済用のプロトコルで、クレジット番号などを暗号化して店舗に送信し，店舗が決済金額を添えてクレジットカード会社に決済承認を行うようにしているので，店舗側にもクレジット番号を知られないようにすることができます。