OpenSSLでショッピングサイト

質問

OpenSSLを使い決算画面（クレジットや個人情報）を暗号化してショッピングサイトを作ろうと思っています。
しかし、認証局？などについてあまり理解できていないと思います。
そこで、認識が間違っていないかご意見いただけたらと思います。

１、ベリサインなど有料SSLとOpenSSLの違い
(1)価格
有料/無料
(2)強度
設定により同じ
256ビット（128か256が一般的的なビット数？）などのビット数が同じなら強度も同じ。
(3)認証
ベリサインなどが存在する会社だと証明してくれる/基本的に自分で自分を証明、もしくはお金を払って認証だけ依頼？

私が思うに、機能については変わらないにもかかわらず、料金が随分と違うのでOpenSSLでやろうと思います。
不安なのは、OpenSSLの機能が果たしてベリサインなどと同じなのかどうか？
そして、よく分かっていないのですが、「期限切れ」や「SSLが機能していない」などのメッセージがでる？と聞くのですが、これはどういうことでしょう？
もし詳しい方がいらしたら教えていただけるとうれしいです。
よろしくおねがいします。

回答No.2

noname#56382 · ベストアンサー

（仕事でやってるだけにこんな公共の場には書けないこともあるのですがｗ）
おそらく、ほとんどの人は認証局がどこなのかなんて気にしてないと思います。
SSLが使用されているかどうかは７割近い人が気にしているようです。
http://www.nikkeibp.co.jp/sj/2/research/34/index.html

無理にベリサインでなくても、セコムでもジオトラストでもかまいません。
ただ、世界シェアNo１にはそれなりの理由があるので僕はベリサインをお奨めしてしまいますが。
ちゃんとした認証局ならどこでも良いとも思います。

一方、OpenSSLでの自己証明は、ブラウザに警告ダイアログが出てきます。
http://121ware.com/qasearch/1007/app/nec.jsp?007419
いくら普段は気にしてない人でも「このサイトのセキュリティ証明書には問題があります」なんて書かれてたら不安になりますよね。
自己証明書は俗にオレオレ証明書とも呼ばれてます。
↓の記事の４分の３あたりにあるように最新のInternet Explorer 7では「このWebサイトの閲覧を続行しないことを推奨します」とまで出てきます。
http://www.atmarkit.co.jp/fwin2k/win2ktips/910webcert/webcert.html

これではせっかくサイトを訪問してくださったお客様を逃すことになりかねません。
ショッピングサイト構築にベリサインなどの第三者認証機関が発行したSSL証明書は必須のものだと考えられてください。

お礼

ご丁寧にありがとうございます。
警告ダイアログの内容は、ほぼ１００％お客様が逃げそうですね。。
よく分かりました。
第三者認証機関に証明してもらうことにします。
ご親切に色々とありがとうございました。

回答No.1

noname#56382

ショッピングサイト構築を仕事にしている者です。
結論を先に書くと、お金をかけてベリサインを利用されることを強くお奨めします。

以下のサイトにメリット・デメリットが書いてあります。ぜひご覧になられてください。
http://safe-linux.homeip.net/security/linux-openssl-02.html

たしかにOpenSSLでも、SSLの目的である「暗号化」は行なわれます。
でもそれだけです。

不正にキーを取得した詐欺サイトではないことの証明にはなりません。
どんなに魅力的な商品を置いても、どんなに安全だと表示しても、お客様に信用していただかないと意味がありません。
ベリサインなどの第三者機関に証明してもらうのは「信用を買う」ことだと考えてください。

お礼

迅速な回答ありがとうございます。
疑問なのは、一般ユーザーの方が「ここはベリサインだから安心」とか「ここはrapid sslだね」など確認しているか？という点です。
私の友人などは、鍵マークをクリックしたこともない人がほとんどで、「SSLになっているかどうか」の1点のみを判断材料にしています。
確かに、運営側としてはベリサインを導入するのがベストであることは理解しているのですが、小規模でEコマースを行う場合、SSLの機能が同じであるなら費用的にやむをえないと思った次第です。
もし、一般ユーザーの意識調査データ（SSLの種類について）や小規模Eコマースの実情などをご存知でしたら、教えていただけるとありがたいです。