SSL/TLSプロトコルの働きは、認証を通じて安全性を確保することです。これは、オープンネットワーク上で送信されるデータを暗号化することを目的としており、傍受や詐欺攻撃から保護します。TLSは通信相手を確認することもでき、私たちにかなり信頼できる環境を提供します。言うまでもなく、認証を通じて安全性を確保することは、21世紀の成功したビジネスにとって極めて重要です。
SSLの動作方法を注意深く観察すると、すぐに「信頼環境」を構築するためには、SSL証明書が信頼された証明書発行機関（CA）によって署名され、検証される必要があることがわかります。現在、誰もがCAを信頼していますが、この点を通じて、彼らはその証明書を持つ者をも信頼できるのです。伝統的に、組織はCAを使用してSSL/TLS証明書に署名していますが、デジタル製品の急増、大量のソフトウェアの開発とテスト、そして記録的なデータ漏洩事件の影響で、多くの企業が自己署名証明書に移行しています。
自己署名SSL証明書とは何ですか？
自己署名証明書は、公共の信頼を受けたCAによって署名されていないデジタル証明書です。代わりに、それはそのソフトウェアを担当する実体によって発行され、署名されます。これにより、デプロイメントは非常にスムーズになりますが、一方で、不適切に実施された場合には追加のリスクも伴います。
リスクが存在するにもかかわらず、自己署名証明書は非常に一般的です。これらの証明書は、関連する費用が不要で、誰でも簡単に要求できるため、内部テスト環境や外部ユーザーに制限されたネットワークサーバーに非常に適しています。さらに、この証明書は、他の有料SSL/TLS証明書と同じ暗号化方式を使用しているため、組織にとって非常に良いニュースです。誰もが自分のデータが漏洩することを望んでいないからです。CAが証明書の有効期限を要求しない限り、自己署名証明書は一度発行されれば永遠に使用できます。例えば、いくつかの秘密のプロジェクトを扱ったり、内部データのみを使用する場合にこのような証明書が使用されます。
自己署名証明書を使用する多くの企業にとって、最大の利点は独立性です。すべてのセキュリティインフラストラクチャが内部ネットワークにパッケージ化されているため、そのようなネットワークが完全にネットワークに接続されていなくても、期待通りに機能します。
表面的には非常に便利に見えますが、これはこの種の証明書を扱う際の主要な懸念の一つです。オフラインの際には、発見された脆弱性に対するセキュリティ更新を受け取ることができず、現代の企業が必要とする証明書の柔軟性を満たすことができません。
自己署名証明書を扱う際のもう一つの課題は、責任を持つ部門が発行された証明書の数、使用場所、使用者、そして秘密鍵の保管方法についての可視性が通常不足していることです。異なる公共および私的CAが発行した証明書を追跡するのは非常に困難であり、追加のリクエストプロセスなしで全ての自己署名証明書を追跡することはほぼ不可能です。
利点：
- 迅速かつ簡単に発行できる；
- テスト環境に適している；
- 柔軟性；
- 独立性；
- 有効期限がない。
欠点：
- セキュリティ更新を受け取れない；
- 簡単に取り消せない；
- 可視性と制御が不足している。
仮に私たちの内部ネットワークが侵害されたとします。自己署名証明書を使用している場合、その証明書と関連する秘密鍵が侵害されているかどうかを実際には知ることができません。一度侵害されると、このような証明書は身元を偽装し、重要なデータを取得するために使用される可能性があります。特に、CAが発行した証明書とは異なり、自己署名証明書は取り消すことができず、前述のように有効期限もありません。このような場合、秘密鍵を単純に「取り消す」ことはできません。
では、なぜ自己署名証明書は依然として使用されているのでしょうか？簡単な答えは便利だからです。証明書署名リクエスト（CSR）を提出し、検証のために数時間待つという通常の手動プロセスは非常に煩わしいものです。時間とフラストレーションを節約するために、自己署名証明書を選択する方が理にかなっています。
したがって、自己署名証明書の最大の問題は、どのように発行するかではなく、組織内で正しく実施する方法です。これは寿司を作ることに似ています——レシピは非常にシンプルですが、詳細が重要です。
いくつかのリスクは間接的なものである可能性があります——たとえば、自己署名証明書を使用して従業員ポータルへのアクセスを提供したいとします。これにより、任意のデフォルトブラウザがユーザーに警告を発することになります。これらの警告は無視される可能性があるため、多くの組織は従業員にそのようにするよう指示することがよくあります——警告を無視することです。内部ポータルのセキュリティは確保されているため、直接的な危害はありませんが、同時に従業員は警告を無視することを「学んで」しまいます。これは、私たちがウェブサイト上の広告を無視するのと同じです。このような慣行は、組織全体をより脆弱にします。重要なのは、深刻な問題が発生した場合、従業員が必要なフィードバックをタイムリーに提供できないことです。
自己署名証明書を最大限に活用し、関与するリスクを軽減するために、OpenSSLを使用して証明書を発行することをお勧めします。これは事実上の業界標準です。しかし、前述のように、これだけでは不十分です。正しい実施が使用するツールよりも重要です。結局のところ、最高のDeWaltのグラインダーも、釘を打つために使われれば無意味です。したがって、自己署名証明書を実施する際には、以下のベストプラクティスに従うべきです：
- 有効期限を制限し、できるだけ短くする。無期限の証明書は使用しない。
- 使用を制限する。「汎用証明書」を作成して、すべてのドアを一度に開けない。
- 意味のある情報豊富な「サブジェクト」レコードを使用する。誰もが証明書の用途を理解できるようにする。
- 署名に使用するアルゴリズムが少なくともSHA256WITHRSAであることを確認する（これはOpenSSLのデフォルト値です）。
- 暗号化された秘密鍵のみを作成する。
- デフォルトのRSA鍵ではなく、楕円曲線鍵を使用する；これによりRSAよりも多くの利点が得られます。
- 最も重要なのは、再現可能でスクリプト化可能な証明書と鍵の発行プロセスを作成することです。OpenSSLは、このプロセスの基礎として使用できる事実上の標準コマンドラインツールです。
自己署名証明書は迅速かつ簡単に使用でき、テスト環境や内部データへの暗号化アクセスを提供するのに適しています。独立性があり、無料で使用できます。したがって、多くの企業で広く使用されています。全体として、他の方法では正しく行うことはできません。しかし、SSL/TLS自己署名証明書はフグのようなものであることを忘れないでください——うまく調理すれば美味しいですが、シェフがランチ休憩中に調理すると命を奪うことになります。
