SSL暗号化通信を導入すべきかどうかの判断について

Question

ネットなどを調べますと、送信フォームや、メールアドレス登録フォームなどには、「SSL暗号化通信」を導入しようなどという記述をよく見かけますし、実際、大手のサイトでは、導入されているケースをよく見かけますが、個人店舗のお問い合わせフォームでも、導入した方がいいものなのでしょうか？

よく、データ漏えいなどを防ぐなどとありますが、実際には、SSL暗号化通信していないメール送信フォームからのデータは、第３者がそんなに簡単に盗み見できるものなのでしょうか？

Answer 1

なぜネットワーク通信を盗聴できるのか？ （6/6）

これによると

• 実は，インターネット上の通信を直接盗聴するのはそれほど簡単ではない
• ただし，内部のネットワークに侵入する方法があれば実行可能となる
• インターネット・サービス・プロバイダ（ISP）の不手際で，容易に盗聴されるリスクにさらされることもある

とのことです。但し…

• 公衆無料Wi-Fiは内部ネットワークという扱いになる (ARPスプーフィング攻撃が有効)
• DNSサーバが攻撃されていれば外部ネットワークからも盗聴可能になる (DNSキャッシュポイズニング)
• 途中経路の通信回線に物理的な細工を施されて盗聴される可能性も少なからず存在する

ということも言えるでしょう。最近はTLS/SSL証明書導入の敷居も下がっているので積極的に導入すべきです。無料で始められます。「StartSSL」で検索してみてください。

Comments

[p-craft]

なるほど！大変参考になりました！
ありがとうございましたm(_ _)m

Answer 2

盗み見については、先に返答された方々のご指摘通りかと思います。

それに加えてサイトの「信頼度」も大切かと思います。

もし私が「商品購入」や「メール送信」ページで暗号化されてなければ、利用しません、

暗号化のスキルもないのか？と想像されるのも嫌ですし、
少額コストをケチっているサイトも信頼できないですよね。

どの程度カスタマを大事に見ているか？ 信用にあたいするサイトか？
といった、カスタマへの印象付けもサイト運営としては大事な要素かなと思っています。

Comments

[p-craft]

マナーの問題もあるという事ですね。
参考になりました。
ありがとうございましたm(_ _)m

Answer 3

インターネットを使った通信では、基本的に目的地まで中継しているサーバを介して延々バケツリレーを行いますので、暗号化なりで蓋をしていないバケツの中身は見えてしまうことになります。

素人が簡単に盗み見る。というのはやや敷居が高いと思いますが、例えば海外のプロバイダなり、一般的な常識が通用しない場所を経由してアクセスした場合などをイメージしてみてください。隠していない以上、途中のサーバ上で通信の中身を盗み見られたり、通信自体の詳細さえも保存されているかもしれません。

ただし、こういった情報が第三者から公開されてしまっても全くリスクだと思わないのであれば、導入などの具体的な対策は不要でしょう。

しかしながら、ビジネスで行うのであれば、実際に問題が起こった後で開発者や運用者が困るだけですので、リスク回避のために導入しておくのが手っ取り早いと考えます。

Comments

[p-craft]

ありがとうございます！
やっぱり導入するのが無難ですね～。

Answer 4

第３者がそんなに簡単に盗み見できるものなのでしょうか？

どのレベルを簡単と評するかにもよりますが、第三者に盗聴されるケースは幾つか検討できます。
古いですがITProに分かりやすい記事がありました。

門前にポストを置いていて、鍵もなく簡単に内部を確認できる家を想像してください。
毎晩こっそりポストを盗み見るのが簡単かどうかは微妙ですが、それが出きるならハガキに書かれた内容ならばれずに読み放題です。せめて封筒なら開封したことも分かるのですが。

サーバ側のネットワークで仮に盗聴対策が完璧だったとして、各ユーザ側で常に対策が完全だと期待することは出きません。
その中で他社の通信は暗号化されているのに、自分との通信だけ平文だったために重要情報が漏洩するなんてことになりかねません。そういう情報を扱う通信なら暗号化はしておくべきでしょう。
特に個人情報やID/パスワードのやり取りは暗号化しておくのが無難です。

Comments

[p-craft]

ありがろうございます！
なるほど、盗み見する人が悪いとはいえ、鍵をかけるのはマナーですね。