銀行、保険代理店、証券会社、クレジットカード会社のいずれの金融機関でもWebサイトは多くの場合、通信のセキュリティを確保するうえで、あるいはサイトが正規のものであることを利用者に示すために、Extended Validation（EV）証明書を使用しています。ブラウザのアドレスバーには企業名とともに、接続が暗号化されていることを示す鍵が表示されます。ブラウザによっては、この内容が緑色で強調表示されることもあります。この証明書は、対象の企業の身元が確認済であることを表しており、また、証明書には、企業の住所や所在地の国名、登録してある事業の種類などの詳細情報も記載されています。

金融機関の保有する情報や資産の価値が高いために、金融機関は常に攻撃者の標的になってきました。そのため銀行などの金融機関は身元の証明が重要であることやEV証明書が顧客にもたらす価値を認識しています。ただし、Webサイトが正規のサイトであるのを示すことだけがEV証明書を採用する理由ではありません。その他のEVの利用用途について説明する前に、まずは金融機関がEVを使用する理由を以下にまとめてみます。

1. 偽造の防止：金融機関は、自社のWebサイトが間違いなく正規のものであると顧客に安心してもらう必要があります。EV証明証を攻撃者が入手するのは難しく、コストもかかります。そのためEV証明書が付与されたサイトが偽造される確率は低くなります。
2. 機密情報が漏洩しないようにするうえで暗号化の果たす役割は非常に重要ですが、最も重要な要素となるのはアイデンティティ情報です。相手がわからない状態で情報を暗号化することに果たしてどんな意味があるでしょうか。暗号化されている状態でも誰かわからない人が会話の途中に割り込んで内容を盗み聞きするようなケースは望ましいことでしょうか。身元が明らかにできない状態では、ユーザーに誤った安心感を与える可能性があります。
3. 金融機関は、不正なWebサイトにユーザーを誘導するフィッシングメールの標的になっています。正規のWebサイトを不正なWebサイトと区別するうえで役立つ要素というのは、詐欺行為に対処しなければならない金融機関にとっては大きな意味を持ちます。
4. ブランドの保護：自社ブランドを展開している組織の場合、EVでブランドを保護します。

EV証明証はどのような用途に使用できるのでしょうか。Webサイトが正規のサイトであるのを示すこと以外にもサイバーセキュリティ上のさまざまな利用用途があります。IT部門はEV証明書をさまざまな用途で使用しており、たとえば、自社のWebサイトの確認や、社内のファイアウォールへのルールの追加、管理対象とするセキュリティサービスの構成のほか、内部監査やコンプライアンスの用途にも使用しています。

欧州連合（EU）では、EV証明書は別の役割も果たしています。2016年にEUは、eIDASという新たな規則を施行しました。これは、1999年のEU電子署名指令をアップデートしたものです。このアップデートの一環として、eIDASでは、ウェブサイト認証の為の適格証明書（QWAC）を規定しました。この証明書はEV証明証をベースにしており、新たないくつかの情報が加えられています。さらに別の規則である欧州決済サービス指令第2版（PSD2）では、EU域内で事業を行う特定の金融機関に対しQWACの使用を義務付けています。この規則は2019年6月に施行されており、EUに拠点を置き欧州で事業を行っている銀行などの金融機関から、この証明書の発行を求める声が多くの認証局に届いています。

エンドユーザーを保護するべく、Webビジネスのための本人確認を最高の水準で実現できるよう作業が続いています。特に注目すべき点として、この規則がブラウザに焦点を当てていることが挙げられます。EV証明書では、ブラウザによって動作が変わってしまう状態が続いています。

ここまでで述べたすべての内容に関連して唯一問題となるのが、Webサイトの閲覧で使用するソフトウェア、すなわちブラウザについての問題です。現在のところ、EV証明書を実装したWebサイトの場合、ブラウザごとに動作が著しく異なってしまいます。たとえば、あるブラウザでは、企業の名前が緑色で表示され、別のブラウザではグレーで表示されるといった具合です。また、企業名を全く表示しないながら、ドメイン名は緑色で表示するといったブラウザもあります。さらには、ユーザーインターフェースの変更が約束されているブラウザがあれば、何年も変更がなされていないブラウザもあります。

このような状況で、どのような改善が期待できるのでしょうか。以下にその内容を示します。

1. EV証明書が有効になっているWebサイトでブラウザの動作が統一される
2. ユーザーの情報を明確かつ容易に理解できるようになる
3. 情報を確認する際に厳格な要件や監査が適用されるので、情報の正確性と一意性が確保される
4. EV証明書に新たな確認情報が追加される

金融機関などのように高い価値を扱うサイトでは、改善が実現するまでの期間、一般に公開するWebサイトであるかどうかを問わず、EV証明書を使って自社のサイトが正規のものであることをユーザーに知らせる方法が、これまで述べてきたような理由から有効です。取引相手がわからない状態では暗号化をしても意味がないからです。

DigiCertは今後数か月のうちに、EV証明書の標準について新たな改善を提案する予定です。さまざまな要素が相互につながるデジタル社会では、あらゆる側面においてアイデンティティが重要な役割を果たします。弊社は今後もこの点について議論を深めていきたいと考えています。

原文はこちら