HTTPS

2021/1/26 9:322023/6/28 3:27

HTTPSとは

HTTPS（Hypertext Transfer Protocol ）とは、WebサーバとWebブラウザの間で情報をやりとりするために使われる通信規則（プロトコル）の一つ。

HTTP通信を暗号化し、より安全に通信できるようにしたプロトコルのこと。

▼ 「HTTP」についての詳しい記事はこちら

HTTPとHTTPSの主な違いは、通信の暗号化の有無のみ。

HTTPSでは「SSL/TLS」という暗号技術（プロトコル）を使って通信を暗号化している。

暗号化実現のためにサーバからクライアントへ「サーバ証明書」が送信される。

まず、TLS （Transport Layer Security）とは、インターネット上のデータを暗号化するためのプロトコルのこと。

TLSの古いバージョンはSSL（Secure Socket Layer）と呼ばれていたが、管理組織が移行した際にTLSという名称に変更された。 SSLという用語の方が馴染み深い事もあり、現在もTLSのことを指す時に「SSL/TLS」と表現されることが多い。

プロトコルバージョンの移り変わりは、以下の表の通り。

SSL/TLSの暗号技術により、HTTPS通信では以下3つの機能で安全な通信を実現している。

なりすまし防止 サーバ証明書は認証局と呼ばれる第三者機関から発行され、クライアント側で「認証局から認められた証明書か？」を確認する。そのため、他者によってなりすまされる事を防止できる。

改ざんの検出 通信データに加え、そのデータのハッシュ値である「デジタル署名」を合わせて送る。
受信者側でデジタル署名を検証することで、通信経路でデータ改ざんされた場合でも検知できる。

HTTPSの通信フローの概要は以下の通り。

① クライアントはHTTPSでWebサーバへアクセスする。

② Webサーバはサーバ証明書を送る

③ クライアントはサーバ証明書が認証局から認められた正当な証明書かを確認し、サーバ証明書に含まれるWebサーバの公開鍵を取得する。

④ クライアントはデータ暗号化用の共通鍵を作成する。

⑤ クライアントは作成した共通鍵を③で取得したWebサーバの公開鍵で暗号化して送信する。

⑥ Webサーバは自身の秘密鍵でデータを復号し、共通鍵を取得する。

⑦ 通信データを共通鍵で暗号化/復号することで送受信する。データと共にデジタル署名を送ることで、通信時に第三者がデータ改ざんしていないかを検証する。

HTTPS通信全体のフローを全て細かく記載した図を以下に示す。

HTTPSの通信フローではHTTP通信とは異なり「TLSハンドシェイク」のフローがあるのが特徴となる。

TLSハンドシェイク
サーバからクライアントへサーバ証明書を送信し、クライアント側で正当な証明書かを検証する。検証完了後、後続の通信を暗号化するために利用する鍵情報などを共有する。

HTTPS通信 実際にクライアントとWebサーバでデータを送受信する。送信側は暗号化されたデータに加え、データのハッシュ値である「デジタル署名」を送る。受信側はデータを復号した後、そのデータが通信中に改ざんされていないかを検証する。