Chrome 68から全HTTPサイトで警告表示がされWebサイトでのSSL導入は必須に

公開日: 2018/02/13
カテゴリー: サーバ・ネットワーク
  • このエントリーをはてなブックマークに追加

2018年2月9日にGoogleは、2018年中に「Chrome」ブラウザで、HTTPS暗号化を導入していないすべてのウェブサイトに「Not secure(保護されていません)」と表示することを明らかにしました。

Google Security Blog:A secure web is here to stay
Chromium Blog:A secure web is here to stay

Beginning in July 2018 with the release of Chrome 68, Chrome will mark all HTTP sites as “not secure”.

抄訳:2018年7月のChrome 68のリリースから、ChromeはすべてのHTTPサイトで「Not Secure」と表示します。

非SSLサイトではNot Secureの表示がされるように

現状、SSLが有効なWebサイトの場合、ブラウザのアドレスバーに緑色の鍵アイコンまたは「Secure(保護された通信)」メッセージが表示されます。

SSLが効いている場合のアドレスバー

SSLが効いている場合のアドレスバー

非SSLのWebサイトの場合は、以下のように表示されます。

非SSL時のアドレスバー

非SSL時のアドレスバー

これが、2018年7月にあるChrome 68のリリースから、すべてのHTTPサイト(非SSLのWebサイト)は「セキュリティで保護されていない」というマークが表示される事になります。

Chrome 68で非SSL時のアドレスバー

Chrome 68で非SSL時のアドレスバー

Googleは以前から常時SSL化を推奨してきた

これは、Googleが以前から推奨してきたHTTPS暗号化つまり常時SSL化の流れが加速化してきたという事です。

2014年8月7日木曜日 Google ウェブマスター向け公式ブログ:HTTPS をランキング シグナルに使用します

すべてのサイト所有者の皆様に HTTP から HTTPS への切り替えをおすすめしたいと考えています。

2015年12月18日金曜日 Google ウェブマスター向け公式ブログ:HTTPS ページが優先的にインデックスに登録されるようになります

Google は、より多くの HTTPS ページを探すよう、インデックス システムを調整していることをお知らせします。

Googleは、Google Security Blog:A secure web is here to stayの中でSSL化率について以下のように言っています。

Over 68% of Chrome traffic on both Android and Windows is now protected
Over 78% of Chrome traffic on both Chrome OS and Mac is now protected
81 of the top 100 sites on the web use HTTPS by default

抄訳:AndroidとWindowsの両方でChromeトラフィックの68%以上、Chrome OSとMacの両方でChromeトラフィックの78%以上、ウェブ上の上位100サイトのうち81が標準でHTTPSを使用している。

また、Google以外でもMozillaがブラウザ新機能はHTTPSサイトのみサポートする、という記事もでてきていました。

ITmedia エンタープライズ:ブラウザ新機能はHTTPSサイトのみサポートへ、Mozillaが表明

安全でないHTTPを使ったWebサイトのサポートを段階的に縮小する方向性を打ち出した。

このように、常時SSL化(HTTPS暗号化)の流れはかなり進んできています。

常時SSL化(HTTPS暗号化)のメリット

常時SSL化(HTTPS暗号化)には、SEO面やブラウザ対応のメリット以外にも、通信を暗号化する事により盗聴の防止やパケット改竄の防止ができるメリットがあります。

また、SSL/TLSによる暗号化について、以前はWebサーバで処理すればWeb処理に費やすべきリソースがSSL処理に割り当てられてパフォーマンスに影響すると言われてましたが、今のネットワークインフラやサーバ、PCのスペックではほとんど差がなく、SSL/TLS化してクライアント-サーバ間の通信が効率化されることでコンテンツの伝送が高速化されるHTTP/2のメリットの方が大きくなっています。

ただし、常時SSL化(HTTPS暗号化)にする事は、メリットだけでなくデメリットも存在します。

常時SSL化(HTTPS暗号化)のデメリット

まず、常時SSL化(HTTPS暗号化)を行うためには、SSL/TLSサーバ証明書を用意する必要がありますが、SSL/TLSサーバ証明書を購入するためには年間数千円〜数十万円のコストがかかります。

CDN(Contents Delivery Network)やロードバランサーを導入している場合には、それぞれにSSL/TLSサーバ証明書が必要になり、多くのコストがかかってしまう可能性がありますし、導入しているシステムがすべてHTTPS通信に対応しているかといった検証も必要となります。

メリットであげていた通信の暗号化ですが、企業内に侵入したマルウェアなどがあると、攻撃者のトラフィックも暗号化されてしまい、IDS/IPSなどのセキュリティ製品での検知が難しくなるという側面もあります。

Webサイト等のリンクが相対パスで書かれている場合にはいいのですが、リンクURLがhttpになっていたらhttpsに書き換える必要があり、canonicalの設定やCDNのリンクもhttpsに変更が必要です。

Facebookの「いいね」は、常時SSL化(HTTPS暗号化)でもURLが変わった事になっていいね数がリセットされてしまいますので、og:urlタグを追加するといった対策も必要となります。

facebook for developers よくある質問(ソーシャルプラグイン):ページを別のURLに移動させるにはどうすればよいですか。

URLに以前のURLを指すog:urlタグを追加します(推奨)
新しいURLに、以前のURLへのリンクを含める必要があります。たとえば、新しいURLがhttps://example.com/new-urlで、以前のURLがhttps://example.com/old-urlの場合、new-urlに次のスニペットを含めるようにします。

このように、常時SSL化(HTTPS暗号化)にはデメリットも存在する、という事も理解しておく必要があります。

常時SSL化(HTTPS暗号化)の選択肢

常時SSL化(HTTPS暗号化)を行うことによるデメリットを理解した上で、常時SSL化(HTTPS暗号化)を行うためにはいくつか対応方法が考えられます。

現在、無料で利用できるSSL/TLSサーバ証明書としてはLet’s Encryptというものがあり、Let’s Encryptのシルバースポンサーとなっているさくらインターネットのように、Let’s Encryptを無料で導入できるレンタルサーバも増えてきました。

さくらインターネットの「さくらのレンタルサーバ」、コントロールパネル上の簡単操作で無料SSL証明書「Let’s Encrypt」を設定可能に~「Let’s Encrypt」のシルバースポンサーとして参画し、常時SSL化推進に貢献~

有償のSSLについては、GoogleがSymantec(シマンテック)発行のSSL証明書とSymantec(シマンテック)の傘下だった企業や事業部、ブランドから発行されたジオトラスト(GeoTrust)やRapidSSL、ThawteなどのSSL/TLSサーバ証明書を信頼しなくなるという事態が発生しました。

atmarkIT Chromeで信頼されなくなるSymantec発行のSSL証明書かどうか判定・確認する方法

その発端は、Symantecの証明書発行事業における一部のパートナー企業が、明らかに不正なドメイン名をコモンネーム(共通名)に持つ証明書を発行していたなど、不適切な証明書の取り扱いが発覚したことだ。パートナーと言っても、証明書の発行にはSymantecのシステムが用いられ、また同社の認証局が信頼の連鎖におけるルートとなっていた。

 この事態を重く見たGoogleとMozillaは、Symantecとの協議を経て、Symantecのシステムから発行された全ての証明書を丸ごとごっそり、将来的にGoogle ChromeやMozilla Firefoxなどで信頼しないようにすることを決定した。

Google Security Blog Chrome’s Plan to Distrust Symantec Certificates

この後、Symantec(シマンテック)はSSL証明書事業をDigiCertに売却し、運営会社がDigiCert(デジサート)に変わって認証局(CA)としては引き続きサービスが行われていますが、ユーザーが他のSSL/TLSサーバ証明書を選択するケースも出てきました。

また、低コストのSSLといえば以前はRapidSSLが有名でしたが、1,000円代から利用できる国産のFujiSSLやCoreSSLというサービスも出てきています。

このように、常時SSL化(HTTPS暗号化)のための選択肢はかなり増えて、導入コストもかなり下がってきました。

まだ常時SSL化(HTTPS暗号化)をされていない場合には、これを機会に今すぐ対策を進めて見てはいかがでしょうか?

タグ: , , , , , , ,