SSL通信とは

はじめに

ブラウザのURLに表示される鍵マークがSSL通信を行っていることを意味しています。ちなみに、この鍵マークを押すとSSL証明書を見ることができます。

これまで、SSL通信の仕組みをちゃんと理解せずとも何とかなっていましたが、最近データベースのSSL通信について問い合わせを受ける機会がありました。

良い機会ですので、改めてSSL通信がどんな仕組みで動いているのか、調べ直してみました。そして、意外と知らないことが多くて焦りました。

SSL通信はエンジニアであれば知ってて当然と思われます。なぜなら、世の中のほぼ全てのサービスがSSL通信で提供されているからです。

今回は、SSL通信がどういう仕組みで動作しているか、図を使って解説していきたいと思います。

参考としたサイト

この記事を書く前に色々なサイトを読み漁りましたが、GMOグローバルサイン、さくらインターネットの解説が最も整理されていると感じましたので載せておきたいと思います。

• SSLって何？意味や仕組みをわかりやすく解説！
• SSL/TLS暗号化通信の仕組み

SSL通信にはサーバー証明書、中間証明書、色々な種類や用途がありまして、そういったことの解説も一通り読んでおくと良いですね。

• サーバー証明書／中間CA証明書／ルート証明書の違いとは？
• 無料証明書と有料証明書の違い
• SSLの種類と利用用途

SSL通信の仕組み

SSL通信をする目的

SSL通信を行う目的は大きく分けて2つあります。

• サーバーが本物であることの証明
• クライアントとサーバー間の暗号化通信

これらをどのように実現しているか見ていきましょう。

サーバーが本物であることの証明

認証局（CA）がサーバーを審査します。国内の認証機関であるGMOの説明によりますと、厳密には「認証局は、電子証明書の申請者が提出した所有者情報を審査する機関である登録局」があるそうです。

そして、インターネットサービスを利用するクライアント、サービスを提供するサーバー、認証局（CA）は、以下のような流れでサーバー証明書のやりとりを行います。

流れとしては以下です。

1. サーバーで秘密鍵を作る。
2. サーバーで申請書を作る。申請書の中には公開鍵も含まれる。
3. 認証局（CA）は申請者の情報を審査する。問題なければ、申請書からサーバー証明書を作成する。
4. サーバー証明書をサーバーに配置する。
5. クライアントからサーバーに通信するとき、サーバー証明書の署名をルート証明書を使って検証する。
6. 署名がルート証明書の内容と合致すると判断されれば、サーバーが本物であると判定される。

はい、出ました。ルート証明書とは何でしょうか。私はこのルート証明書の意味を理解していませんでした。

ルート証明書とは

ルート証明書とは、認証局（CA）のオレオレ証明書のことです。認証局（CA）は厳格な監査基準を満たし、セキュリティもばっちりなので、認証局（CA）のオレオレ証明書は信頼が置けるのです。

各種ブラウザには既定でセットされているルート証明書がたくさんあります。Chromでは、ブラウザの「設定」＞「セキュリティ」＞「証明書の管理」で確認することができます。

ルート証明書を発行する流れを図にすると以下のようになります。

上記のように、私の知らないところでルート証明書が既にブラウザにセッティングされていたのでした。なるほど、それでHTTPS通信がどの端末からでも出来るようになっていたのですね。

オレオレ証明書を使って、SSL通信するときはクライアント側でオレオレ証明書をインストールする手順が出てくると思います。その理由は、オレオレ証明書はブラウザに規定でセッティングされていないので、手動でセッティングする必要があったということなんですね。

クライアントとサーバー間の暗号化通信

これまでの流れにおいて、サーバー証明書の正当性は認証局により担保されています。

クライアントとサーバーの暗号化通信は以下の順で達せられます。

1. クライアントで共通鍵を作成する。
2. クライアントで共通鍵を公開鍵を使い暗号化してサーバーに送信する。
3. サーバー側で送信された共通鍵を秘密鍵で複合化する。もともと、クライアントに渡っている公開鍵はサーバーの秘密鍵によって生成されたものですので複合も可能です。
4. 共通鍵を使ってクライアントとサーバー間でSSL通信が可能となります。

以上がSSL通信の仕組みでした。いや〜、簡単なようで意外と複雑で難しかったですね。

やってみる

実はここからが本題です。理屈は分かっても実際にやってみないことには、本当の理解は得られません。

証明書の中身を見てみる

こちらのQiitaの記事を参考とさせていただいました。

ファイルの拡張子

これから作成するファイルの拡張子は何のファイルかを示しているだけでエンコーディングを表しているわけではありません。

やってみる

一通り、鍵の作成からオレオレサーバー証明書の作成まで実施します。

秘密鍵を作ります。

公開鍵を作ります。

サーバー証明書の申請書を作ります。

オレオレのルート証明書を作ります。

一連のファイルが作成されていることを確認します。

申請書（private.csr）に公開鍵（public.key）が含まれていることを確認します。Modulusの内容が一致しています。

ルート証明書の内容を確認します。

オレオレ認証局によるサーバー証明書発行

続いて、別の秘密鍵を作成して、オレオレ認証局によるサーバー証明書を発行していきます。

手順は先ほどと、ほぼ同様なのでコマンドだけ記載していきます。

"Issuer" と "Subject" の内容を見ると、ルート証明書では両者が一致しているのに対して、サーバー証明書では、"Issuer" が認証局の情報となり、"Subject" が自身の情報となっていることがわかります。

最後に

コマンドを手で実行して結果を自分で確認することでSSL通信に対する理解が深まりました。

ちょっと調べようと思ったところから、ここまでの記事を書くことになってしまいました。