情報セキュリティCAS 第七十九回放送用スライド

情報セキュリティCAS
情報セキュリティについて 
中年オヤジがグダグダ語るCAS

このCASでは…
その日のテーマに沿った質問を受け付けています！
取り上げて欲しいテーマの募集もしております！

本日のテーマは…
httpsの本質について考えてみる

結論から申し上げると…
httpsはサーバーが本物であることの証明が 
本来の使い方です

何でこのテーマを選んだか？
• 最近、IT関係者が書いたブログを見て愕然とした
• 本質から外れたところばかりが注目されている
• そもそも本来の意味を知らないIT関係者が多すぎる
• だから一般の人も意味を知らない

愕然としたブログの内容
• 暗号化されるので安全
• HTTP/2が自動適用されるので高速化
• 検索サイトでの上位表示（SEOですね）
• Chromeで「安全ではない」の警告が出なくなる

• 暗号化されるので安全
• HTTP/2が自動適用されるので高速化
• 検索サイトでの上位表示（SEOですね）
• Chromeで「安全ではない」の警告が出なくなる
は？

そもそもhttpsの本来の意味が全く語られていない
実は語られていない部分が最も重要！

そもそもhttpsの本来の意味が全く語られていない
実は語られていない部分が最も重要！
知らないから語れないのだろう…

これでは…
正しい意味が伝わらない！

暗号化されるので安全
暗号化されてさえいれば安全という誤解を招く
フィッシング詐欺の犠牲者を増やすだけ

暗号化されるので安全
暗号化されてさえいれば安全という誤解を招く
フィッシング詐欺の犠牲者を増やすだけ
セキュリティ的観点からはNG！

実は…
httpsじゃないのに「暗号化している」と 
虚偽表示するサイトまで出てきているのが実態
こんなのにも騙される人が多数

実は…
httpsじゃないのに「暗号化している」と 
虚偽表示するサイトまで出てきているのが実態
こんなのにも騙される人が多数
正しい情報を知らせないからこうなる

まずは…
本来の意味から勉強しましょう

本来の意味
接続先サーバーが本物であることの証明をしてくれる
自分が意図したサーバーに接続していることが確認出来る

本来の意味
接続先サーバーが本物であることの証明をしてくれる
自分が意図したサーバーに接続していることが確認出来る
だから導入するものがサーバー証明書なの

副次的効果として
通信が暗号化されます
通信路上での盗聴や改竄を防ぐことが出来る

副次的効果として
通信が暗号化されます
通信路上での盗聴や改竄を防ぐことが出来る結果として安全が担保される

でも…
無料のサーバー証明書などが出てきた結果 
偽サイトでもhttpsを使う例が出てきている

でも…
無料のサーバー証明書などが出てきた結果 
偽サイトでもhttpsを使う例が出てきている
ドメイン名の目視確認が必要！

だから…
暗号化されれば 
安全というわけではない

HTTP/2の自動適用
サーバーの設定によるので絶対ではない
メモリ量とのトレードオフであるので設定しない場合も

HTTP/2の自動適用
サーバーの設定によるので絶対ではない
メモリ量とのトレードオフであるので設定しない場合もこれまた誤解を招く表現

検索サイトでの上位表示
ウェイトが小さいことを検索大手も宣言している
現実に影響は殆ど見られない

検索サイトでの上位表示
ウェイトが小さいことを検索大手も宣言している
現実に影響は殆ど見られない
完全に誤解を招く表現

「安全ではない」の警告
httpのサイト全てに出るわけでではない
入力フォームがあるページのみ表示される

「安全ではない」の警告
httpのサイト全てに出るわけでではない
入力フォームがあるページのみ表示される単に不安を煽っているだけ

ほら！
結構デタラメでしょ？

再び結論
httpsはサーバーが本物であることの証明が 
本来の使い方です

と言うことで…
• https対応サイトでもドメイン名を確認！
• 「暗号化されている＝安全」ではない
• SEOとか警告とかは無知な人を騙す煽り文句

今後の予定
• 第八十回＝（タイトル未定）
• 第八一回＝（タイトル未定）
• 第八二回＝（タイトル未定）
• 第八三回＝（タイトル未定）

次回は…
2017年9月21日の放送になります 
ネタ無し・多忙の二重苦（笑）なので 
当面の間、原則的に2週間おきの放送になります 
都合により延期することもあります

制作著作
「街のIT三河屋さん」合同会社くまさん
https://kumasanda.jp/
@it_mikawaya

Recommended