前回の続き——情報を通信に乗せてよいのはいつか
D-07では、AuthorizationやCookieといった本人確認の情報が、通信に乗って運ばれることを見ました。しかし、大切な情報を通信に乗せてよいのは、その通信自体が守られているときだけです。もし守られていなければ、途中で盗み見られてしまいます。その通信を守る仕組みが、今回学ぶHTTPSです。
このスライドのポイント
- D-07: AuthorizationやCookieという本人確認の情報が通信に乗って運ばれる
- 大切な情報を通信に乗せてよいのは、通信自体が守られているときだけ
- 守られていなければ、途中で盗み見られる
- その通信を守る仕組みが、今回学ぶHTTPS
HTTPS・TLS・証明書の定義
HTTPSとは、D-03で見たHTTPを、TLSという仕組みで保護した通信のことです。TLSが提供する働きは3つあります。1つ目は暗号化で、途中で盗み見されても中身が読めないようにします。2つ目は相手の確認で、証明書、つまりこのドメインの正当な相手であることを第三者が確認した証明書類を使います。3つ目は改ざん検知で、途中で書き換えられたら分かるようにします。D-02で見たスキームで言えば、httpsで始まるものがこれにあたります。
このスライドのポイント
- HTTPS＝HTTP（D-03）をTLSという仕組みで保護した通信
- TLSが提供する3つの働き:
なぜ必要か——守る範囲を知らないと起きる失敗
この仕組みを知らないと、パスワードや個人情報を、保護のないhttpのまま送るアプリを公開してしまうおそれがあります。それでは、途中で情報を盗み見られても気づけません。逆に、鍵マークが付いているから安全なサイトだ、と過信してしまうのも危険です。HTTPSが守る範囲を正しく知っておくことが、この両方の失敗を防ぎます。
このスライドのポイント
- 知らないと(1): パスワードや個人情報を、保護のない
http://のまま送るアプリを公開してしまう - 途中で情報を盗み見られても気づけない
- 知らないと(2): 「鍵マークがあるから安全なサイト」と過信してしまう
- 守る範囲を正しく知ることが、両方の失敗を防ぐ
構造——守るのは「経路」だけ
構造はとても単純です。ブラウザとサーバーの間を、TLSで暗号化された1本の経路がつないでいます。HTTPSが守るのは、この経路の上を通っている間のデータだけです。経路の外、つまりサーバーの内部や、自分の端末の中は、この仕組みの対象外です。ですから、経路が守られていても、その外側では別の備えが要るという見取り図を持っておくことが大切です。図では経路を実線で、対象外の部分を点線で分けて示します。
このスライドのポイント
- ブラウザとサーバーの間を、TLSで暗号化された1本の経路がつなぐ
- HTTPSが守るのは、この経路の上を通っている間のデータだけ
- 経路の外＝サーバーの内部・自分の端末の中は対象外
- 図では経路を実線、対象外を点線で分ける
HTTPSでも守れない範囲
ここで、HTTPSでも守れない範囲を具体的に押さえます。1つ目、偽サイトでも証明書自体は持てます。そのドメインの正当な持ち主であることと、中身が信頼できることは別の話です。2つ目、サーバーに保存された後のデータは守りません。保存の安全は、A-08で見た権限や公開範囲、そしてこの先のカテゴリQで扱う領域です。3つ目、自分の端末側の問題も守りません。経路の外は、別の対策が必要だと覚えておいてください。
このスライドのポイント
- (a) 偽サイトも証明書自体は持てる＝「ドメインの正当な持ち主」と「中身が信頼できる」は別
- (b) サーバーに保存された後のデータは守らない（保存の安全はA-08の権限・公開範囲やカテゴリQの領域）
- (c) 自分の端末側の問題も守らない
- 経路の外は、別の対策が必要
技術サンプル: 暗号化される区間の図
サンプルは、暗号化される区間を示した図です。ブラウザとサーバーの間が、TLSによる暗号化、相手確認、改ざん検知で守られています。一方で、端末の中と、サーバーに保存された後は対象外です。読み方の要点は2つです。HTTPSが守るのはあくまで経路だけであること、そして暗号化、相手確認、改ざん検知の3つはセットで働くことです。AIへの質問例としては、このアプリの通信にhttpのままの箇所が残っていないか確認してください、と聞くとよいでしょう。
混同しやすい概念——「安全なサイト」か「経路の暗号化」か
混同しやすいのは、HTTPSは安全なサイトという理解と、HTTPSは経路が暗号化されているという理解です。正しいのは後者です。ブラウザに表示される鍵マークは、経路が保護されている印であって、サイトの中身や、運営者が信頼できるかどうかの保証ではありません。鍵マークが付いた偽サイトも存在しうる、と考えてください。
このスライドのポイント
- 「HTTPS＝安全なサイト」 vs 「HTTPS＝経路が暗号化されている」
- 正しいのは後者
- 鍵マークは経路の保護の印であって、サイトの中身や運営者の信頼性の保証ではない
- 鍵マークが付いた偽サイトも存在しうる
バイブコーディングでの確認点
バイブコーディングでの確認点です。公開する前に、通信はすべてHTTPSになっているか、フォームの送信先にhttpのままの箇所が混ざっていないかを、AIに点検させてください。個人情報を扱うアプリなら、これは必須の確認です。A-08で見た公開範囲の判断とセットで、誰に届く通信なのかまで含めて考えます。
このスライドのポイント
- 公開前に「通信はすべてHTTPSか」「フォームの送信先に http:// が混ざっていないか」をAIに点検させる
- 個人情報を扱うなら必須の確認
- A-08で見た公開範囲の判断とセットで、誰に届く通信かまで含めて考える
まとめと確認
最後に一問一答です。HTTPSが守るのは、通信の経路と、サーバー内に保存されたデータの、どちらでしょうか。……答えは、通信の経路です。保存された後のデータは、HTTPSでは守られません。30秒のまとめです。HTTPSはHTTPをTLSで保護した通信で、暗号化、相手確認、改ざん検知の3つを、経路の上だけで提供します。次回は、URLを入れてから画面が出るまで、ブラウザの仕事を通しで追います。関連資料は、AIアプリのセキュリティ超入門、個人情報を扱うAIアプリ注意点、セキュリティ用語50です。
このスライドのポイント
- 一問一答: HTTPSが守るのは、通信の経路とサーバー内のデータのどちらか
- 答え: 通信の経路（保存された後のデータは守らない）
- 30秒まとめ: HTTPSはHTTPをTLSで保護した通信。暗号化・相手確認・改ざん検知を経路の上だけで提供する
- 次回: URLを入れてから画面が出るまで、ブラウザの仕事を通しで追う
- 関連資料: 「AIアプリのセキュリティ超入門」「個人情報を扱うAIアプリ注意点」「セキュリティ用語50」
