SSL復号とは

SSL（Secure Sockets Layer）プロトコルと、その後継でより安全性の高いTLS（Transport Layer Security）は、Webトラフィックの暗号化に使用されます。転送中のデータを暗号化することは標準的な対策となっており、現在ではWebページの約90%が暗号化されています。暗号化はデータ侵害の防止に役立つ一方、サイバー犯罪者は、トラフィックを復号しない従来のセキュリティ検査ソリューションを回避できることを見越して、こうした暗号化チャネルを利用し、マルウェアを拡散したりデータを外部に持ち出したりしています。

次世代ファイアウォール（NGFW）、データ損失防止（DLP）システム、侵入検知／防御システム（IDS/IPS）、Webゲートウェイなどのセキュリティ検査ツールは、トラフィック内の脅威の検出に優れています。しかし、検査前にトラフィックを効率的に復号することはできません。そのため、暗号化された脅威を検出できず、マルウェアや知的財産データが検査されないまま通過し、必要に応じて阻止することもできません。SSL Visibilityとも呼ばれるSSL Decryptionは、大規模にトラフィックを復号し、アプリケーションへの受信トラフィックとユーザーからインターネットへの送信トラフィックに含まれる脅威を特定する各種検査ツールへルーティングするプロセスです。

SSL/TLS暗号化の利用が増加している要因

WebトラフィックでのSSL/TLS暗号化の利用が大幅に増加している背景には、いくつかの理由があります。

安価または無料の証明書が利用可能： Let’s Encryptは、無料で自動化されたオープンな認証局（CA）です。これまでコストが障壁となっていた小規模サイトの運営者や、アプリケーションへの証明書導入を自動化したいサイト／アプリ開発者も、Let’s Encryptを容易に利用できます。しかし、犯罪者も同じ証明書を簡単に取得し、偽サイトを正規のサイトに見せかけることができます。そして、こうしたサイトをフィッシング、中間者攻撃、DNSキャッシュポイズニングなどの攻撃に利用します。
Google Chromeブラウザの警告： 2018年7月以降、SSL/TLS暗号化を使用していないWebサイトには、「保護されていない通信」と自動的に表示されます。
Google検索結果のランキング： Googleは、SSL/TLS暗号化を使用するサイトを検索結果で上位に表示します。
ユーザーのプライバシーへの関心の高まり： 多数のデータ侵害が報道されたことで、データとユーザーのプライバシーに対する社会の関心が高まっています。また、欧州連合のGDPRやカリフォルニア州の新しい消費者プライバシー法などの法規制も、組織によるSSL/TLSの導入を後押ししています。

SSL/TLSトラフィックの復号にはどのような課題がありますか？

暗号化に潜む脅威に加え、トラフィックを検査するアーキテクチャを設計または維持する際には、次のような課題にも注意する必要があります。

複雑性の増大： 多くの企業では、さまざまな種類の脅威を検出して阻止するために、複数のセキュリティ検査ツールを使用しています。こうしたツールの中には、トラフィックを復号しないものや、大規模な復号に対応できないものがあります。その結果、検査アーキテクチャの動作が予測しにくくなり、デバイス間でトラフィックを効率的にルーティングすることがさらに複雑になります。また、検査ツールの障害によってトラフィックに遅延や行き止まりが生じる可能性があります。さらに、復号と暗号化を行うポイントが複数あると、1台のデバイスに対する単純な変更でも検査チェーン全体に影響が及ぶ可能性があるため、変更作業が大幅に複雑になります。
パフォーマンスへの影響： トラフィックの復号と再暗号化には多くの計算処理が必要なため、検査デバイスのパフォーマンスに影響を及ぼす可能性があります。その結果、一部のトラフィックのみが脅威検査の対象となり、ツールの処理能力の上限を超えたトラフィックは検査されずに通過することが少なくありません。
最新の暗号技術： 復号と暗号化を一元的に行う仕組みがなければ、変更が必要になった際に標準暗号スイートの使用を管理することは困難です。さらに、多くの場合、組織はPerfect Forward Secrecy（PFS）に対応した暗号スイートを優先的に使用するため、暗号鍵を帯域外の検査デバイスと共有するだけでは、パッシブ検査を実行できません。
プライバシー規制：カスタマイズ可能なポリシーベースのトラフィック分類機能がない場合、すべてのトラフィックが復号され、ユーザーのプライバシーを侵害するおそれがあります。トラフィックの復号はマルウェアやその他の脅威の検出に不可欠ですが、ユーザーの銀行取引情報や医療情報まで可視化すると、法令や規制に違反する可能性があります。

暗号化された脅威から組織を保護するには

受信トラフィックと送信トラフィックの両方にポリシーベースの復号とトラフィックステアリングを適用することで、暗号化トラフィックを可視化するとともに、検査ツールスタック全体の効率性とレジリエンスを向上できます。

一元管理が可能なSSL/TLSソリューションを選択することで、SSL/TLSを使用するネットワーク接続の保護に役立つ暗号スイートの選択と更新を簡素化できます。これにより、トラフィック検査用セキュリティツールのパフォーマンスが向上するとともに、エンドツーエンド暗号化で使用する暗号をより柔軟に管理できます。