セキュリティーの落とし穴
SGC対応SSLサーバー証明書について


SGCとは

SGC(Server Gated Cryptography)機能とは、通常40bitや56bitのSSL暗号化しか利用できないブラウザからの 接続を自動的に128bitにステップアップさせる技術です。
このため、SGC機能に対応した証明書であれば、40bit、56bit などの低い暗号化強度にしか対応していない古いブラウザを利用するクライアントにも、128bitの安全な暗号化強度によるSSL通信を提供するができます。

SGC誕生の背景

アメリカ政府は長年にわたり、高い暗号化強度に対応した製品の販売を禁止する輸出規制を強いてきましたが、その後、米国政府の暗号技術の輸出規制が緩和され、1990年代後半には米国外のブラウザでも128bitの暗号が使えるようになったことでSGC証明書は不要となり、 ベンダーはSGC証明書に対応したブラウザを廃止しました。
しかし、ごく少数のユーザーはいまだにこうした古いブラウザを使い続けています。 当時、輸出規制によりアメリカ国外に大量に広まっていた40ビットや56ビット暗号化にしか対応できないブラウザを128ビット 暗号化に対応できるよう開発された技術がSGCです。
Microsoft社は輸出規制を遵守しSGCを考案、Internet Explorer 4.0などに 実装したのが導入の始まりです。2000年にはこの規制がほぼ全廃されSGCの必要もなくなりましたが、 当時出荷されたウェブラウザ(IE4.x~IE5.xおよび同時期SGCに対応したブラウザ)のために、現在もSGCサービスが継続されています。

SGC対応SSLサーバー証明書のリスク

IE4.x~IE5.xは、Windows 2000 の延長サポート期限である2010年7月13日にサポートが終了しました。
昨今、IEをはじめとしたさまざまなブラウザにおいてセキュリティホールが発見されては繰り返し修正が行われています。
IE4.x~IE5.xなどの古いブラウザにおいてはサポート終了後一切のセキュリティに関する脆弱性が修正されていないため、極めて危険な状態にあると言えます。
せっかくSGC技術により安全性の高い128/256ビット暗号化通信を実現しても、同時に古いブラウザの脆弱性を突いたセキュリティリスクを助長させることになってしまいます。

SGC対応にすべきかどうか

古いブラウザというのはIE4.xなど、かなり昔のものになりますがごく少数のユーザーは未だにこうした古いブラウザを使い続けています。 大手サイトなど大量のアクセスが集まるようなサイトやショッピングサイトなどの様々な方々が利用するサイトは、古いブラウザの利用者数も一定以上あることが考えられます。 その場合には、SGCに対応したSSLが必要といえます。

SSLサーバ証明書(クーポン)のお申込み

SSLサーバ証明書(クーポン)はこちらからお申込みいただけます。

SSLサーバ証明書(クーポン)のお申込みはこちら

  • GMOイプシロン株式会社は
    プライバシーマークの認定を
    受けています。
  • GMOイプシロン株式会社
    のサービスはPCIDSSに
    完全準拠しております。
  • GMOイプシロン株式会社
    の事業所全てを対象に
    ISO27001への適合認証
    を取得しております。