本トピックでは、HTTPS セキュアアクセラレーションの仕組み、メリット、利用シーン、および有効化する方法について説明します。HTTPS セキュアアクセラレーションを有効にすると、クライアントと POP (Points of Presence) 間のリクエストを暗号化し、転送中のデータセキュリティを確保できます。ApsaraVideo VOD は、コンテンツ配信ネットワーク (CDN) を使用して高速化を実現します。
背景情報
ApsaraVideo VOD コンソールで HTTPS セキュアアクセラレーションを設定することで、クライアントと POP 間のリクエストを暗号化できます。
POP がオリジンサーバーからクライアントにリソースを返す際、POP はオリジンサーバーの設定に従います。エンドツーエンドの暗号化を実装するために、オリジンサーバーで HTTPS を設定し、有効にすることを推奨します。
仕組み
以下の図は、HTTPS 暗号化のプロセスを示しています。
-
クライアントが HTTPS リクエストを送信します。
-
サーバーが公開鍵と秘密鍵を生成します。これらのキーは、自身で作成するか、認証局 (CA) からリクエストすることができます。
-
サーバーが公開鍵証明書をクライアントに送信します。
-
クライアントが証明書を検証します。
-
証明書が有効な場合、クライアントは乱数を生成 (キー) し、公開鍵を使用して暗号化してから、暗号化された乱数をサーバーに送信します。
-
証明書が無効な場合、SSL ハンドシェイクは失敗します。
説明検証には、証明書の有効期限が切れていないこと、サーバー証明書を発行した認証局 (CA) が信頼されていること、発行者の公開鍵でサーバー証明書のデジタル署名を検証できること、サーバー証明書のドメイン名がサーバーの実際のドメイン名と一致していることなどのチェックが含まれます。
-
-
サーバーは秘密鍵を使用してメッセージを復号し、乱数 (キー) を取得します。
-
サーバーはこのキーを使用して、転送するデータを暗号化します。
-
クライアントはこのキーを使用して、サーバーから送られてきた暗号化されたデータを復号し、リクエストされたデータを取得します。
メリット
HTTPS によるセキュアな伝送には、以下のメリットがあります。
-
HTTPS を介した安全なデータ転送により、平文の HTTP 通信で発生する可能性のある盗聴、改ざん、なりすまし、ハイジャックのリスクを防ぎます。
-
転送中に重要な情報が暗号化されるため、攻撃者がセッション ID や Cookie の内容をキャプチャするなどの機密データの漏洩を防ぎます。
-
転送中にデータの整合性が検証されるため、DNS ハイジャックや第三者によるコンテンツハイジャック、改ざんなどの中間者 (MITM) 攻撃を防ぎます。
-
HTTPS の使用は現在、標準的な慣行となっています。主要なブラウザは HTTP サイトを安全でないと表示します。HTTP を使い続けると、セキュリティの脆弱性が生じ、ブラウザの警告が表示されることでユーザーが離れ、トラフィックが減少する可能性があります。
-
主要なブラウザは HTTPS の Web サイトの検索順位を向上させ、HTTPS が必須となる HTTP/2 をサポートしています。HTTPS の普及は、セキュリティ、マーケティング、ユーザーエクスペリエンスにもメリットをもたらします。したがって、アクセスプロトコルを HTTPS にアップグレードすることを強く推奨します。
利用シーン
以下の表は、HTTPS セキュア伝送の主な利用シーンを説明しています。
|
利用シーン |
説明 |
|
エンタープライズアプリケーション |
Web サイトに CRM や ERP データなどの企業の機密情報が含まれている場合、アクセス中にこの情報がハイジャックされたり傍受されたりすると、企業にとって壊滅的な事態になりかねません。 |
|
政府情報 |
政府の Web サイトの情報は、権威があり正確でなければなりません。フィッシング、詐欺、情報のハイジャックを防ぎ、情報のハイジャックや漏洩による国民の信頼の危機を回避することが不可欠です。 |
|
決済システム |
決済プロセスには、氏名や電話番号などの機密情報が含まれます。情報のハイジャックや不正ななりすましを防ぐために、HTTPS 暗号化を有効にする必要があります。これにより、顧客が注文後に個人情報や注文詳細を含む詐欺メッセージを受け取り、「注文が滞っている」という理由で再支払いを要求されるといったシナリオを防ぎます。このような詐欺は、顧客と企業の両方に大きな損失をもたらす可能性があります。 |
|
API |
HTTPS は、機密情報や重要な操作コマンドの転送を保護し、データがハイジャックされるのを防ぎます。 |
|
企業の Web サイト |
HTTPS を使用すると、アドレスバーに緑色のセキュリティロックアイコン (DV または OV 証明書の場合) または会社名 (EV 証明書の場合) が表示され、潜在的な顧客により信頼性が高く安全なブラウジング体験を提供します。 |
操作手順
-
証明書を購入します。
HTTPS セキュアアクセラレーションを有効にするには、高速化ドメイン名と一致する証明書が必要です。証明書管理サービスでは、ビジネスニーズに応じて、無料の個人テスト証明書を申請したり、商用証明書を購入したりできます。
-
HTTPS 証明書を設定します。
-
左側のナビゲーションウィンドウで、設定管理を選択します。
-
をクリックして、ドメイン名ページに移動します。
-
設定するドメイン名を見つけ、[操作] 列の 設定 をクリックします。
-
HTTPS タブをクリックします。HTTPS 証明書 セクションで、変更 をクリックします。
-
設定を変更します。
説明HTTPS 証明書の有効期限が切れていたり、無効であったりすると、再生が失敗する可能性があります。証明書が有効で、期限切れでないことを確認してください。
パラメーター
説明
証明書タイプ
-
証明書管理サービス
SSL 証明書サービスコンソールで、さまざまなブランドや種類の証明書を申請できます。詳細については、「証明書の申請」をご参照ください。
無料の個人テスト証明書を申請した後、証明書タイプ を 証明書管理サービス に設定し、申請した無料のテスト証明書を選択します。
-
無料の個人テスト証明書は通常、1〜2 営業日以内に発行されます。この期間中、カスタム証明書または証明書管理サービスの別の証明書をアップロードすることを選択できます。
説明証明書の発行時間は CA によって異なり、数時間から 2 営業日かかる場合があります。
-
無料の個人テスト証明書は 3 ヶ月間有効です。証明書が有効な間に HTTPS セキュアアクセラレーションを無効にしてから再度有効にすると、システムはその証明書を再利用します。機能を再度有効にする際に証明書の有効期限が切れている場合は、新しい証明書を申請する必要があります。
-
-
カスタム
証明書リストに適切な証明書がない場合は、このオプションを選択してカスタム証明書をアップロードできます。証明書名を指定し、証明書の内容と秘密鍵を貼り付ける必要があります。証明書は Alibaba Cloud Certificate Management Service に保存されます。証明書は、[マイ証明書] ページで表示できます。
説明カスタム 証明書をアップロードする際に「証明書名が重複しています」というエラーが発生した場合は、証明書の名前を変更して再試行してください。
証明書名
このパラメーターは、証明書タイプ が 証明書管理サービス または カスタム に設定されている場合に必須です。
内容
このパラメーターは、証明書タイプ が カスタム に設定されている場合に必須です。必要なフォーマットについては、内容 入力ボックスの下にある PEM 形式の例 をご参照ください。
秘密鍵
このパラメーターは、証明書タイプ が カスタム に設定されている場合に必須です。必要なフォーマットについては、秘密鍵 入力ボックスの下にある PEM 形式の例 をご参照ください。
-
-
OK をクリックして設定を保存します。
次のステップ
更新された HTTPS 証明書は、約 1 分でグローバルに有効になります。HTTPS 経由でリソースにアクセスすることで、証明書が有効になったことを確認できます。ブラウザのアドレスバーの URL が https:// で始まり、アドレスバーの左側にロックアイコンが表示されていることを確認してください。これは、接続が安全であることを示します。