あきネット

フリーソフトウェアやオープンソースをはじめ、コンピューターやインターネットに関するTIPSや話題を扱います

北のまちから南のまちへと素敵な何かを届けます。
それは、六花かもしれないし、ナナカマドの実かもしれないし、雪の下キャベツかもしれません。

TLS(SSL)証明書 無料時代に、なぜ有料でも売れるか

TLS (旧称 SSL) 証明書はいまや、Let's Encrypt なら無料で手に入ります。


また、Cloudflare の無料プランでも、TLS化は可能です。
Google の Firebase でも、TLS証明書付きでウェブサイトを運用可能です。


TLS証明書は、いまや、対応するだけなら無料です。
では、有料でビジネスが成り立っているか?
無料のデメリットも、有料のメリットもあるからです。


人力で本人確認した信頼性


その一因は、先日にも書いたとおり、
組織実在性認証(企業認証)型や拡張認証(EV)型の証明書がある
ことです。



組織実在性を確認するのに登記事項証明書などの書類審査をしたり、電話連絡で本人確認をしたりします。
EV証明書だと、現地に赴くこともあるでしょうし、担当者と面談することもあるでしょう。
こうしてわざわざ人力で確認作業をすると、人件費はかさみます。だから有料でも、高価でも当然です。


言い換えれば、無料の証明書は運営者自体(人、組織)を全く確認しないで発行してしまっています。


通販サイトならば、本当にその業者が実在するのか? 詐欺ではないのか? って信頼性が重要だから、
企業認証型の証明書が売れます。


銀行や、発信元に完璧な信頼性が求められる行政機関などでは、EV証明書を買っても当然です。


企業認証型だと、書面上やりくりして、担当者を名乗る者に電話連絡が付けば、証明書が買えてしまいますから、それなりの費用をかけたり、多少巧妙に紛らわしいことをしたりすれば、いかがわしいことも可能だともいえます。
例えば、会社を設立するのは、日本では費用さえあればなんとかなりますから。


よそと共用の証明書だから無料というサービス


Cloudflare や Google Firebase だと、無料プランで割り当てられるTLS証明書は、よそと共用です!


つまり、
証明書の一般名(Common Name ; CN)欄に、よそのドメイン名も一緒にずらーっと並びます。


通信の暗号化はされるものの、もはや、よそのどこの馬の骨ともわからないのと一緒くたにされ濫発された証明書なので、サーバの信頼性なんてないに近くなってしまいます。


通信が暗号化される、というメリットだけは享受されますが。


特定のサーバにしか割り当てられないから無料

Let's Encrypt だと、特定のサーバに、そのフルドメイン名(FQDN)でインターネットから到達可能かだけをドメイン認証し、そのサーバ専用の証明書を発行します。


例えば、blog.example.com を運用して、そこに証明書を発行してもらったら、そのサーバ専用。example.com に発行したわけではないし、www.example.com にも使えません。


有料なら低価格でも、www. 付き、無しの両用が普通


最も低価格な有料証明書でもたいていは、www.example.com と example.com というように両方使える証明書が発行されます。


有料なら、同じ証明書に複数ドメイン発行してもらうことも可能


価格はその分はあがりますが、例えば example.com と www.example.com だけじゃなくて、blog.example.com や www2.example.com を追加してって言ったら、追加してもらえます。


有料ならワイルドカード証明書もある


それなりに高価にはなりますが、*.example.com のような証明書(ワイルドカード証明書)もあります。
www.example.com だろうが hogehoge.example.com だろうが、同じ証明書で使えます。


この手は、muragon もそうですが、ユーザに任意のサブドメインを発行して利用させる通信事業者にとってはとっても便宜です。



というように比べてみると、やっぱり、

  • 無料は暗号化が主目的で、サーバの信頼性はあまり証明されていない
  • 無料は不便

ということがいえます。


そうなると、無料で証明書がとれる時代になっても、TLS証明書ビジネスは決して滅ばないことがわかります。