高い「信頼性」を維持するための取り組み
SSLサーバ証明書の中核となる機能には「認証」と「暗号化」の2つがある。ここでの「認証」とは、ユーザーがブラウザを通じてデータを送ろうとしているサーバが、実体のある企業や組織が運営しているものであることを、第三者である認証局が証明することを意味する。
SSLサーバ証明書が、この認証の機能を果たすためには、それを行う認証局が、証明書の発行を求めた組織に対して「審査（認証）」を行う必要がある。この審査のプロセスは、発行される証明書の内容や、提供ベンダーによって異なる。審査が厳しければ、認証の精度は上がるものの、結果的に発行までの手間や時間が多くかかることになり、利用者側の利便性は下がってしまう。かといって、審査のプロセスを過度に簡略化すれば、今度はその分だけ「認証された組織」や「その組織を認証した認証局の信頼性」が下がってしまうことになる。
日本ベリサイン 安達徹也氏
(SSL製品本部SSLプロダクトマーケティング部上席部長）
認証局やブラウザを提供している企業で構成される「CA／ブラウザフォーラム」と呼ばれる業界団体では、こうした状況を避けるためのひとつの指針として「少なくとも、審査にあたってはこうしたプロセスをとること」を定めた基本的な要件を設定している。もちろん、ベリサイン（シマンテック）は、このCA／ブラウザフォーラムのメンバーとして、こうした基準の策定や推進にも積極的にかかわっている。こうした業界が提示する基準に対応しているかどうかは、セキュリティを確保するための認証局選びにおいて、最も基本的な要素になるだろう。
安達氏は「業界が策定している基準は、最低限満たすべき『ベースライン』となる条件に過ぎない。それに加えて、認証局が、どれだけ厳密なセキュリティ要件が確保された環境で運用されているかについても考慮してほしい」と話す。
ベリサインでは、認証局の設備についても、極めてセキュアな環境を確保している。そのレベルは「ミリタリーグレード（軍用設備に求められるセキュリティ水準）」と表現される厳格なものだ。
認証局では、SSLサーバ証明書の安全性の源泉となる「秘密鍵」を保管している。ネット上でのハッキングに加え、データセンター施設への物理的な侵入に対しても、厳密なセキュリティポリシーにのっとったプロセスによる防衛が行われている。
加えて、設備の可用性も高いレベルで確保し、24時間365日の稼働を目指した運用が実施されているという。ベリサインにおけるデータセンターの運用は、100ページ以上のドキュメントとして公開されているCPS（Certificate Practice Standard）にのっとって厳格に行われており、年に1度、第三者機関による外部監査を受けることで、適切な運用が行われていることを証明している。
米国シマンテックの認証施設レポートより。同社の認証局「Vault」は、"ミリタリーグレード”レベルの実現に1,100万ドルを投じている。
実際に、2011年にはオランダのある企業が運営する認証局への不正アクセスが起こり、この企業による証明書が失効するといった事件も起こっている。これは、認証局と、その認証局が発行する証明書を利用している企業や組織にとって、運用されているデータセンターの、システム上、物理上のセキュリティの高さが死活問題となることを広く知らしめる出来事でもあった。
安達氏は「お客様にとって、データセンターのセキュリティレベルがどの程度のものかというのは、非常に重要な問題。われわれも、できる限りの情報公開を行うことで、安心してベリサインの証明書を使ってもらえるよう努力したい」と話す。
