SSLの暗号化について

質問

ミルです。

SSLの暗号化の仕組みについて易しく教えていただきたいです。

SSLのWebページで情報を送信すると、どんなしくみで
送信側と受信側で鍵をやりとりするってことなんでしょうか？

本を読んでもよくわかんなくって。

回答No.2

you-m

SSL自体は、特にWebでの暗号化に特化したものではありません。いわゆる公開鍵暗号を利用した暗号化通信方式です。telnetやftpに実装されたものもあります。
基本的には、暗号化する為の鍵（公開鍵）と、それを解読する為の鍵（秘密鍵）がペアをペアで生成します。
情報を送信する側は、公開鍵を使用して暗号化します。受信した側は、秘密鍵で解読します。

Webで使用される場合、公開鍵にはそのサーバのデジタル証明書が使用されます。誰のどういうサーバであるという証明書です。この証明書は認証局がそのサーバの秘密鍵から生成します。一般的にはベリサイン等の有名な認証機関に証明書を発行してもらいますが、自前で発行しても機能的には違いがありません。NTサーバ+オプションパックや2000サーバ等では、その為の機能があります。
違いは、ブラウザ側で標準で認められた認証局では無い為、そのデジタル証明書を使用する際に警告が出るだけです。(そのサーバの証明書に対する信用の違いですね)

Webでの一般的な使われ方では、個人情報の入力フォーム等ですが、送信側は当然ブラウザ、受信側がサーバになります。最初にhttps://～のURLに飛んだ際に、サーバ側からサーバ証明書が送られてきます。以降のブラウザからの送信は、https://のURLから抜けるまで、その証明書で暗号化されて送信されるわけです。

このように、一般的なSSLによる暗号化は「一方通行」です。
サーバから、ブラウザに送信されてくる情報、つまりブラウザの画面に表示されている情報は暗号化されて届いたものではありません。この点を誤解されている方は結構多いので、気をつけるべきでしょう。入力フォームを用意してあるサイトには、せっかくSSLを使用しているのに、確認のためにサーバからデータを送り返してるサイトも見受けられます。この場合、すべてのデータは無防備な状態でブラウザに送信されているという事です。

もちろん、サーバからブラウザ向けの通信を暗号化する事も可能です。ただしこの場合には、そのブラウザ（クライアント）側で自分自身を証明するデジタル証明書が必要となります。最近は、個人証明書を利用する仕組みも徐々に増えてきましたから、もう少しすれば個人でデジタル証明書を持つ事も一般的になるかもしれません。

とまあ、あまり分かりやすい説明では無かったかもしれませんが、参考になりましたでしょうか。

さすがに、あまり詳細には説明し切れませんし、間違ってる部分もあるかもしれませんので、知見のある方、フォローしてください。

補足

you-mさん、とってもとっても丁寧に有難うございました。ここは本当、いい人ばっかりで嬉しいです。

繰り返し読ませていただき、ちょっと謎の闇から抜け出せそうです。

でも、ちょっと疑問がありましたので、再度質問をお願いしたいです。

＞この証明書は認証局がそのサーバの秘密鍵から生成します。一般的にはベリサイン等の有名な認証機関に証明書を発行してもらいます

っということは、私の使用しているブラウザソフト（IE6）に
最初から入っているベリサインの証明書ってのは、特に
使われずにHTTPSの通信のやり取りがされているんですか？
以前から何のためにたくさんの証明書があるのか不思議だったのです。

あと、SSLは443ポートでのやり取りになるって何かで読んだのですが、
私がHTTPSのURLを要求した場合、その要求データから（サーバへ向かうデータから）443でやり取りが行われるんですか?

理屈の整理がつかないって気持ち悪くって…

お忙しい中すみませんが、もうしばしお付き合いをお願いしたいです。

宜しく宜しくお願いします。