SSLとPGPについて

質問

レンタルサーバーを利用し運用しています。
自分のホームページから顧客がフォームメールを使い、住所や氏名を入力して問い合わせをする(クレジットカードなどお金に関わるモノはない)形をとっていますが、セキュリティについて疑問がありましたので、ご相談します。

上記のようなフォームメール送信の場合、セキュリティ対策としては、
顧客のパソコン→(SSL)→レンタルサーバ→(PGP)→私のパソコン

というスタイルでいいんでしょうか。
顧客からの情報がレンタルサーバーで止まるようにすれば、SSLの部分だけで十分なのでしょうか。また、その操作は可能なのでしょうか。

一般的なメールソフト(Outlook Expressなど)でのメール送信は行わないので、PGPはいらないのではとも思います。
つまり、べりサインなどでCA取得し設定すれば、SSLのみでも対応できるのではと考えています。

初心者なもので、質問内容も的外れかも知れませんが、よろしくお願いします。

回答No.2

日吉 龍（@VDSL）

VDSLです。

レンタルサーバーで顧客情報をとめず、その情報をメールを利用してどこかに送るということであれば、PGPなどを利用した暗号化は必須になります。

ただ、暗号化の手段はPGPだけではなく、OutlookなどでサポートされているS/MIMEなど、いくつもありますので、自分が利用しやすい手段を選べばいいと思います。

ただ、サーバー上の情報を暗号をかまして自動的にメールで送るのは少々手間なような気がするので、ブラウザを利用してSSLで情報を取り出したほうが楽なような気がします。
＃情報量+取り出す頻度にもよりますが....

ちなみに、暗号手法自体のセキュリティは、PGPよりもS/MIMEの方が優れています。
＃PGPは"友達の友達は友達"という考えで、S/MIMEは基本的にSSLと同じく"CAが認めたxxさん"というレベルの認証になります。
＃このため、厳密性を求めるのであれば、S/MIMEをお勧めします。

回答No.1

日吉 龍（@VDSL）

VDSL@一応その道のプロです。

基本的にその考えで問題はないと思います。
強いて言うならば、レンタルサーバー自体のセキュリティを信用するかどうかという問題はありますが、これはどうしようもありませんので、考えないことにするしかないでしょう。

ただ、レンタルサーバーの部分でとめるのならば、SUNBELTさんがそのサーバー上の情報を照会しに行く際には、厳密なユーザー認証+SSLは必須となるでしょう。
ユーザー認証は.htaccessを利用すれば比較的簡単に実装できるので、技術的に問題ないと思います。

また、情報を格納するディレクトリの場所やその権限について、十分に注意を払う必要もあるでしょう。

ちなみに、べりサインで取得するのはデジタル証明書であって、CA(Certirificate Authority=認証局)ではありません。念のため....

お礼

早速のご回答ありがとうございます。

もしレンタルサーバーで顧客情報を止めないなら、PGPによる暗号化は必要なのでしょうか。
とにかくSSLデジタル証明書さえとり設定すれば、私の希望はオールクリアなのかな。