SSL化でカバーできるもの・できないもの

Question

知りたいこと

個人情報を入力させるフォームを設置していない自分のサイトがSSL化必要か疑問になったので質問いたします。
あとSSL化すればすべてのハッキングに有効なのかどうかを知りたくて。

試したこと

SSL化について調べる

わかったこと

SSL化すると何に効果的か
１：なりすまし
２：改ざん
３：盗聴

1：なりすまし

DNSキャッシュポイズニングでURLまで同じにした、見た目も同じの偽サイトが存在した場合・・・
SSL化した場合＝ブラウザの鍵マークから運営者を確認することで訪問者が正規か判断できる。
SSL化していない場合＝URLも見た目も同じなのでそっくりの偽サイトと正規のサイトの区別が訪問者はできない。
考え→個人情報入力フォームなくてもSSLは必要みたい。ただ「SSL証明書　不正発行」と検索するとヒットするので完璧ではない？

2:改ざん

ログイン情報が漏洩して改ざんされる＝SSL化では防げない（他社の流出事故と同じログイン情報を使っていた場合）

SQLインジェクション＝SSL化では防げない（SQL文をユーザーが好きなように実行できないプログラムにしないといけない）

クロスサイト・スクリプティング＝SSL化では防げない（https://www.atmarkit.co.jp/ait/articles/0211/09/news002.html）

新たな疑問→SSLは改ざんには効果なし？

###3:盗聴
非SSLサイトの入力フォームからツールを使って盗聴が可能。←SSL化してればどこまで防げる？下記のサイトでは過信するなと書いてある
https://saitodev.co/article/%E3%82%A4%E3%83%B3%E3%82%BF%E3%83%BC%E3%83%8D%E3%83%83%E3%83%88%E5%86%85%E3%81%AB%E6%B5%81%E3%82%8C%E3%81%A6%E3%81%84%E3%82%8B%E3%83%91%E3%82%B1%E3%83%83%E3%83%88%E3%82%92%E5%82%8D%E5%8F%97%E3%81%97%E3%81%A6%E3%81%BF%E3%82%8B

###最後に
色々なサイトでいろいろなワードを見すぎて混乱したのでここらへんで。

Answer 1

個人情報を入力させるフォームを設置していない自分のサイトがSSL化必要か疑問になったので質問いたします。

よほど入れられない理由がある場合を除いて、SSLありで運用するほうが適切です。ブラウザやJavaScriptの最新の機能は、「HTTPSでないと動かない」ようになっているものも多く、セキュリティ以外の面からも必要となっていきます。

あとSSL化すればすべてのハッキングに有効なのかどうかを知りたくて。

そのような対策は、「何もインターネットに接続・公開しない」以外には存在しません。あらゆるセキュリティ対策は、ある一定の範囲内の攻撃に対する対策でしかありません。

Comments

[maisumakun]

SSLは通信路に対する防御ですので、両端のサーバサイドやブラウザ側に対する攻撃に対しては防御になりません。

[退会済みユーザー]

ご回答ありがとうございます。SSL導入しようと思います。通信路以外の攻撃は防げないということですね。ちなみに通信路を使った攻撃のうち、SSL化で防げるものって例えばなんなのでしょうか？