SSL

Webセキュリティ、プライバシー&コマース 上 第2版 ユーザー編

今回、通信路のセキュリティ確保のために、SSLを使うかもしれない。って、それはウチらが担当する検証じゃないかもしれないのだが、パフォーマンス的にどうなの？というところが気になったので、手を出すことにした。
まずは、SSLって何さ？というレベルから（おーい）。昔昔、NetscapeやMosaicをUNIXで使っていたころから、SSLという言葉と、セキュリティ確保のためのものであるということは知っていた。が、具体的に、どうやって運用するものなのかは正直知らなかったので。速攻でお勉強。紀伊国屋でオライリーの1冊を購入してくる（Webセキュリティ、プライバシ＆コマース（上） \4,400）。
まず、ハードウェア的な何かが必要というものではないこと、Webサーバー側に、サーバー証明書が必要であることを把握した時点で、VeriSign社のWebサイトにアクセス。商品情報に無料のお試し証明書があるのを見つけ、利用してみることに。自分のPCで動いているWebサーバー（IIS）のプロパティから、証明書の発行依頼テキストファイルの生成を指示し、VeriSignの申込フォームに貼り付けて依頼。無料証明書の利用には、クライアントブラウザにも証明書が必要ということなので、まずはその処理を。次に、サーバー？といったところで、メールで証明のキーテキストが届いているのに気づかず、試行錯誤の中でIISの「依頼の取り消し」をやってしまう。
そうすると、再度依頼ファイルを作っても駄目なのね。証明書のテキストを取り込ませるところで、依頼書とマッチしないというお叱りを受ける。仕方ないので、再発行。そして登録してOK。ここまで2時間。珍しく速い作業じゃないですか。
次に、ブラウザからアクセス。HTTPSで始まるアドレスにすると、確かに錠のマークが表示される。次に、Webサービスは？ということで、VB.NETのWeb参照設定画面で「HTTPS」をつけて指定したところ、「証明書は...という名前なのに、リクエストのURLがlocalhostだよ。」という警告が。警告の内容は確かにそうだが、きちんとSSLに対応した警告が出ていることでちょいと感動。