SSL証明書の価値は？

質問

自社製品のサポートのため、自社のWebサイトにWebフォームを用いた問い合わせコーナーを設置する予定です。Webフォーム自体はスムーズに完成し、動作もOKです。

通信経路の暗号化によるセキュリティ確保のため、SSL証明書を購入予定です。そこで質問なのですが....

　・Webフォーム以外にメールでの問い合わせも受付けています
　・WebフォームのみSSL証明書を導入の予定
　・メールは一般/従来のままです

　・WebフォームのみをSSL化するのは片手落ちでしょうか？
　・メール受付けはやめるべきでしょうか？
　・メール受付けの場合も、Web/SSL導入に相当するような道具があるのでしょうか？

これまではメールでの問い合わせのみを受付けていました。当然、個人情報的な内容も記載されています。

初歩的な質問ですみません。いろいろと調べたのですが、Webフォームとメール、双方にバランスよくセキュリティ対策を施す技術が見あたりませんでした。

詳しい方、お教えいただけませんでしょうか？

# メールの通信経路は本来的な安全度が高いのでしょうか？

回答No.2

kadusaya

>・WebフォームのみをSSL化するのは片手落ちでしょうか？
>・メール受付けはやめるべきでしょうか？

そもそも顧客サービスとしてやられているのですよね。
でしたら、技術に振り回されて「サービスの低下をまねく」ほうが問題です。
まず「やりたいこと」があって、そのために「利用できる技術」を探して下さい。

>・メール受付けの場合も、Web/SSL導入に相当するような道具があるのでしょうか？

電子証明書により暗号メールを受け取ることは可能ですが、「お問い合わせ」としては役に立たないと思われます。

内容を見る限り「個人情報の保護」に過剰反応しているように見受けられます。
ほとんどのサイトでは「お問い合わせ」にSSLを使用していません。
SSLを使用しているのは、カード番号が表示される会員向けのページの中に「お問い合わせ」ページがある場合です。

もう一度、「何のためにサービスを行うのか」「本当にSSLが必要か」を検討されることをお勧めします。

回答No.1

lowrider_2005

経路をよく考える必要があります。
Webからフォームでメール送信する場合、
「送信者ブラウザ→Webサーバ→受信メールサーバ→管理者メールソフト」
Webサーバとメールサーバが同じ場合もあるし遠い場合もある。SSLで暗号化されるのは「送信者ブラウザ→Webサーバ」の間のみである。
ただし受信メールサーバと管理者メールソフト間の暗号化の手法はあるので、webサーバと受信メールサーバが同じホストなら全経路で暗号化は可能。

メール送信の場合、
「送信者メールソフト→送信メールサーバ→受信メールサーバ→管理者メールソフト」
メールソフトとメールサーバの間は暗号化している場合もあるが、メールサーバ間は通常平文である。

もっとも安全なのは、SSLを使用したフォームから受け取った情報をPGPなどで暗号化してからメール送信し、受信したのちに解読する方法。これなら全経路で平文は流れない。
あるいはSSLを使用したフォームから受け取った情報をデータベースに保存し、SSLを使用した管理画面でデータベースの内容を閲覧する方法。ただしデータベースサーバがクラックされれば蓄積されたすべての情報漏えいの危険性はある。

メールは、前述の通り自分のサーバとPC間の暗号化はできますが、その先は暗号化できないのでそういう意味では一番危険です（でも漏えいするのは該当する一件だけという意味では、DBサーバクラックより被害は少ないと言えるかも）。