2020年はコロナによりビジネススタイルもガラッと変わりました。ビジネスマンが机を並べて仕事をする時代が終焉し、テレワークが原則の時代となりました。皆でF2Fで会議をしたり、ランチをしたりしていた光景も既に懐かしい感覚となっています。
そうしたビジネススタイルの変化は、SSLの認証にも影響を及ぼしていました。
コロナが変えた実在性確認
緊急事態宣言が発動された4月には、SSL各社は少々パニックになっていた気がします。それは、企業認証SSL（OVSSL）を発行するために必要な「実在性確認」をどのようにすればいいかが分からなくなってしまったためです。
詳しい話しの前に、そもそものSSLの基本と認証を整理しておきます。
まず、SSLの種類は３つあります。
EVSSLという一番厳格に発行がなされるSSL。主に金融機関が発行選択することで有名ですが、以前ではアドレスバーが緑色になるのが特徴的でした。（現在、Chromeではアドレスバーが緑表示されない。）
OVSSLは、企業認証SSLといいます。EVSSLより発行の厳格性は下がりますが、組織の実在性確認が必要となります。実在性確認は、代表電話からドメイン担当直接連絡をすることで確認をします。
DVSSLは、ドメインの存在確認をすることでSSLの発行ができるものです。発行まで最短数分と非常に簡単に発行ができるSSLです。
ちなみに、暗号化の観点から３種類のSSLに差は何らありません。
もっと詳しくSSLのことを知りたい方は、過去記事をご参照ください。
さて、話しを本題に戻しますと、コロナによる緊急事態宣言時には、この実在性確認が滞りました。理由は、代表電話からドメイン担当者に直接つなぐことができなくなったためです。このシステムは非常に厳格で、折り返しの電話は不可とされていました。折り返しの電話をしてきた方が本当にドメイン担当者かが不明であるという理由からです。
そのため、当時はSSL発行のため出社を余儀なくされているケースがありました。（捺印業務以外にも出社理由がありました！）出社できない企業担当者向けに、認証レベルを落とした無償SSLを一時的に発行したり、書面の郵送によって実在性確認をする手段が取られました。
ただ、コロナが終息を見せない中、SSL提供会社の対応にも限界が見え、その認証方法の厳格性が以前よりも引き下げることが最近されています。
現在では、GMOグローバルサインでは、企業認証SSL（OVSSL）を発行する場合に折り返しの電話がOKとなっています。これにより在宅での実在性確認をすることができるようになりました。代表電話を受ける方からドメイン担当に連絡をする社内体制が実はないという企業の皆様がいれば、是非連絡ルートの構築してみましょう。
GDPRが変えたドメイン認証方法
また、認証方法に大きな影響を与えた事件として、2018年5月から始まったGDPRが挙げられます。ドメイン認証の主流となっていたメール認証に大打撃を与えました。なにかというと、Whois情報が個人情報にあたると判断されたのです。メール認証はWhoisのメールアドレスに認証メールを発信する方式のため、困ったことになりました。
GDPR施行当時から比べるとメール認証も減ってきたかとは思いますが、数年経った今でもWhois情報が非公開となっていることを知らずにメール認証を継続しているケースを見受けます。しかしながら、昨年のコロナが追い打ちとなり、さらに多くの企業担当者がメール認証に見切りをつけ、本格的にDNS認証やページ認証に切り替えをはじめています。（認証に手間取ると、SSLが切れるとウェブサイトが映らないといったことも生じてしまいます。）
DNS認証は、ネームサーバーのTXTレコードに指定の文字列を設定するドメイン認証です。メール認証のようにWhois情報にメールアドレスが存在しないと認証できないといったことが一切ありません。また、現在はマネイジドDNSになっていることが多く、TXTレコードの設定は素人でも簡単にできてしまいます。
ページ認証も基本的な考え方はDNS認証と異ならず、指定の文字列が入っているファイルをFTP経由でアップする認証方法です。DNS認証を使うか、ページ認証を使うかは、エンドユーザーのやりやすさと考えます。
以上、2つの出来事を通じて、SSL発行における重要な認証方法は変化を求められました。適切な実在性確認、ドメイン認証を実施できるように全社の体制を整え、時代に合わない実在性確認を求めるようなSSL発行会社からは移管を進め、Whois公開の手数などをかけるようなスピード感に欠けるメール認証は止め、DNSもしくはページ認証をすることをお勧めします。
SSLマネジメントについてご不安な点がありましたら、是非以下までご相談ください。
営業本部 寺地 裕樹（Yuki_Terachi）
