SSL復号とは何ですか？

SSL復号とは、暗号化されたSSL/TLSセッションを傍受して復号するプロセスであり、これにより、URLフィルタリング、ウイルス対策、データ漏洩防止（DLP）、クラウドアクセスセキュリティブローカー（CASB）などのセキュリティサービスが、トラフィックを再暗号化して宛先へ転送する前に、そのトラフィックを検査して脅威やポリシー違反の有無を確認できるようにするものです。

主なポイント

• SSL/TLSトラフィックを復号化し、セキュリティツールがその内容を検査できるようにします。
• 詳細な検査に必要なもの：DLP、CASB、ウイルス対策ソフト、URLフィルタリング。
• トラフィックは、検査が完了した後、再暗号化されて転送されます。
• 「復号バイパス」機能により、信頼できるトラフィックや機密性の高いトラフィックは検査の対象外となります。
• クライアント端末にインストールされている、信頼されたルートCA証明書に依存します。

このページの内容： その重要性 ・ 仕組み ・ 種類 ・ SSL復号化およびVersa · よくある質問

SSLの復号化はなぜ重要なのでしょうか？

現在、企業のトラフィックの大部分はSSL/TLSによって暗号化されており、これにより転送中のデータは保護される一方で、従来のセキュリティツールではその内容を把握できなくなってしまいます。暗号化されたセッションの内部を可視化できないファイアウォールやゲートウェイでは、そのセッションが正当なダウンロードなのか、データ漏洩の試みなのか、あるいはマルウェアがペイロードを取得しているのかを見分けることができません。SSL復号化は、ポリシー適用ポイントでセッションを復号化し、内容を検査した上で、トラフィックを再暗号化してから転送することで、この死角を解消します。

復号化が行われない場合、ウイルス対策、DLP、CASBなどのサービスは常に暗号文しか認識できません。これらのサービスは、宛先IPやSNIといったメタデータに基づいて動作し、ペイロードそのものを処理することは決してありません。暗号化されたトラフィックがWebやSaaSの利用のほぼすべてを占めるようになった今、復号化の有無こそが、コンテンツを実際に検査するポリシーと、単に推測するだけのポリシーとの違いを決定づける要因となっています。多くの組織では、プライバシーの重要性がメリットを上回る銀行や医療などの分野を例外として扱い、選択的な復号化を行うことでこのバランスを取っています。

SSL復号とは何ですか？

SSLの復号（より正確にはTLSの復号。SSLはTLSの旧式で非推奨となった前身である）は、暗号化されたセッションをそのまま通過させるのではなく、検査ポイントでそのセッションを終了させることで機能します。 ゲートウェイはクライアントとサーバーの間に位置し、クライアントが信頼するCAによって署名された独自の証明書をクライアントに提示するとともに、実際のサーバーとは別途に通常のTLSセッションをネゴシエートします。両方のセッションキーを保持した状態で、リクエストを復号化し、内容を検査し、再暗号化して転送します。その後、レスポンスに対しても逆の手順を繰り返します。

これには、検査を行うデバイスのルートCA証明書をクライアントの信頼ストアにインストールしておく必要があり、そうすることで、復号化されたセッションによって証明書に関する警告が表示されないようにします。その後、復号化ポリシーによってどのセッションを開くかが決定されますが、意図的にそのままにされるセッションもあります。

SSL復号化の種類

SSL復号の実装には、一般的に3つのアプローチがあります。フォワード（アウトバウンド）復号は、内部ユーザーがインターネットやSaaSアプリケーションに送信するトラフィックを検査するものです。これは最も一般的な導入形態であり、トラフィックがネットワーク外に出る前に、ゲートウェイがURLフィルタリング、DLP、ウイルス対策を実施できるようにします。インバウンド（リバースプロキシ）復号は、内部でホストされているサーバーを保護するもので、クライアントからのリクエストがアプリケーションに到達する前に復号を行います。

選択的（ポリシーベースの）復号、あるいは「復号バイパス」とは、カテゴリ、宛先、または証明書の属性に基づいて特定のトラフィックを検査の対象から除外する機能であり、例えば、コンプライアンス上の理由から、銀行や医療関連のセッションは暗号化されたままにしておくことができます。多くの導入事例では、広範なフォワード復号、対象を絞ったインバウンド復号、および決して開封してはならないトラフィックを対象としたバイパスリストの3つを組み合わせています。

SSLの復号化とVersa

Versa プラットフォームにおいて、SSL復号は、URLフィルタリングやその他の検査機能が暗号化されたセッションの内容を確認するために使用する機能です。URLフィルタリングは、復号が有効か無効かに関わらず動作しますが、これを有効にすると、SNIフィールドのみではなく、復号されたリクエストの実際のホストおよびURIを使用してトラフィックを分類できるようになり、よりきめ細かなフィルタリングが可能になります。NGFWベースのURLフィルタリングにも同様のオプションが用意されています。 「復号バイパス」設定を使用すると、管理者はキャプティブポータルによるリダイレクトや信頼できる宛先などのトラフィックを復号の対象から除外することができます。

Versa SASE クライアントでは、復号化はエンドポイントの信頼ストアにインストールされているルート CA 証明書に依存しています。ブラウザは、公開 CA ではなく、その内部 CA に対して復号化されたセッションの検証を行います。証明書が存在しない場合、または代わりに公開 CA による検証が行われた場合、復号化は機能しません。

よくある質問

SSLの復号とTLSの検査にはどのような違いがありますか？

これらは同じ手法を指しています。SSLはTLSの旧式で非推奨となった前身ですが、現在復号されるトラフィックのほぼすべてが旧式のSSLプロトコルではなくTLSであるにもかかわらず、「SSL復号」という表現は依然として業界で一般的に使われています。TLS検査とは、単に同じ「復号→検査→再暗号化」というプロセスに対して、技術的により正確な名称を与えたものに過ぎません。

セキュリティツールはなぜSSL/TLSトラフィックを復号する必要があるのでしょうか？

盗聴者からデータを保護する暗号化は、悪意のあるペイロードやデータの持ち出しをセキュリティツールから隠蔽してしまいます。復号化を行わなければ、ゲートウェイは宛先IPやSNIなどのメタデータしか検査できず、脅威や機密データが実際に含まれるコンテンツそのものを検査することはできません。

SSLの復号化によって、エンドツーエンドの暗号化は破られるのでしょうか？

検査対象のセグメント内では、その通りです。検査装置は1つのTLSセッションを終了させ、別のセッションを開始するため、それらの区間間の平文を読み取ることができます。両方の区間は個別に暗号化されたままですが、一度復号されると、クライアントとサーバー間の真のエンドツーエンド暗号化は成立しなくなります。

SSL復号バイパスとは何ですか？

「復号バイパス」とは、特定のトラフィックを復号の対象から除外するポリシー設定です。例えば、機密性の高いカテゴリの宛先や、ログインページを表示するのに必要な可視性のみを必要とするキャプティブポータルのリダイレクトなどが該当します。この設定により、検査範囲と、プライバシー、コンプライアンス、互換性に関する懸念とのバランスを図ることができます。

SSLの復号化は、中間者攻撃と同じものですか？

厳密に言えば、その通りです。その仕組みは「中間者攻撃」による傍受と全く同じです。これが正当とみなされる理由は「同意」にあります。導入する組織がエンドポイントを管理し、デバイス所有者の承知の上で独自のルートCA証明書をインストールし、文書化されたポリシーに基づいてこの手法を適用しているからです。

SSL復号化に関する詳細

さらに詳しく知りたい場合は、私たちが信頼している情報源を以下にご紹介します。

関連用語

SSLの復号についてお読みの方は、次にこれらもぜひご覧ください。