ここではよく使われるサーバ認証SSL（HTTPSをイメージ）を前提にします。
SSL証明書による正当性証明は、大きく以下の2つがあります。
- 接続先のサイトが確かに接続するつもりだったサーバかどうかの正当性
- サイト運営者の正当性
- ドメインの利用に対する正当性
- 組織の実在性
上記の「ドメインの利用に対する正当性」のみを審査するのがDV、「組織の実在性」を含めて審査するのがOV・EVです。
目次
SSL証明書の信頼性の確認方法
SSL証明書はCAの秘密鍵で電子署名されたものなので、CAの公開鍵（CA証明書）を利用して検証することで適正性を確認できます。
多くのブラウザには、デフォルトである程度以上信頼できるとみなされるCAのCA証明書（ルート証明書）が登録されています。
ブラウザはサーバからSSL証明書を受け取った際、SSL証明書に記載されている認証局の情報に基づいてCAの検証を行い、一致しなかった場合（もしくは何らかの問題が見つかった場合）警告を表示します。
[note]この検証の際、SSL証明書のCommon Nameと今アクセスしているURLのFQDNが一致しているかも検証します。[/note]
自分で作ったCAによって署名したSSL証明書や、自己署名SSL証明書を利用したサイトにアクセスした際に警告を出さないようにするには、署名に利用したCAのCA証明書をブラウザに登録することで「信頼できる」と判定されるようになります。
[warning]
これは悪意のあるユーザーによって信頼すべきでないCA証明書を登録された場合も警告が表示されなくなることを意味します。
そのため充分な注意が必要です。
[/warning]
SSL証明書の信頼性
つまりSSL証明書は、「信頼しているCAが審査のうえ発行しているSSL証明書だから信頼できる」という信頼方法によって安全とみなされています。
しかし、SSL証明書（の審査方法）には大きく、DV・OV・EVの3種類があり、それぞれによって信頼性が大きく異なります。
参照） SSL証明書について。
あとこあくまちゃんも http://co-akuma.directorz.jp/blog/2011/04/ssl%E3%82%B5%E3%83%BC%E3%83%90%E8%A8%BC%E6%98%8E%E6%9B%B8%E3%81%AE%E3%81%97%E3%81%8F%E3%81%BF/
- DV証明書
-
DV証明書は、あくまでCSRの申請者が申請しているCommon Nameのドメインを利用できる環境にいるかのみを審査しています。
大雑把にいえば、申請のドメインの所有者と、SSL証明書の申請者が一致していればOK、という程度の審査です。
ドメイン自体を偽名で取得し、申請も同じ偽名を使っていたとしても、OKがでます。
[warning]
そのため、「確かにドメインの持ち主とサイト運営者は一致しているっぽいけれど、その運営者が信用できる人（組織）かどうかは知らないよ」という程度の信頼度です。
つまり、自己署名SSL証明書と対して変わらない信頼度です。
にもかかわらず、ルート証明書に登録されているのでブラウザで警告表示されないという、リスキーなものです。
[/warning]
安くて個人でも購入しやすいためはびこりつつありますが、SSL証明書自体が信用できないものになってしまいかねないので、排除すべきものと個人的には思います。 - OV証明書
-
OV証明書は、SSL証明書のCommon Nameが確かに申請者が利用する権利があり、申請者自身が実在することを審査されます。
具体的には官報や帝国データバンク、登記などを元に申請されている組織が実在することを審査されます。
また、電話などによる直接の確認も入ります。
その組織自体の信頼性などは審査されませんが、偽名や架空の組織ではない（＝法的責任を負える）ことを担保する、程度の信頼度です。
保証金的な意味合いもあるので、割高な金額になります。 - EV証明書
-
OV証明書の実在性審査部分をより強固にしたものです。
各CAとブラウザベンダーが一緒になって策定した基準に則るもので、正当なEV証明書が適用されている場合はブラウザのURL入力欄が緑になります。
OVまではWeb上での電子申請で済むことが多いですが、EVは紙書類の提出や申請組織の人事部への申請担当者の在籍・申請権限確認なども審査対象となります。
OVより厳密・厳格に審査されていることを担保する、程度の信頼度です。
そのため、OVよりさらに割高です。
「信頼性」の考え方
上記のように、「知らない運営者・サイトの信頼性」をある程度担保するのであれば、OV/EV証明書であることを前提とすべきでしょう。
逆に、直接の知人や内輪のグループで利用するものであれば、
- 自己署名前提でその証明書を配る
- SSL証明書のフィンガープリントなどを別の安全な手段で公開しておく
などの方法で同程度の信頼性を担保することができます。
（第3者認証局が果たす「実在性証明」を自分自身でやっている、と考えられます。）
その意味で、DV証明書では誰もサイト運営者の実在性を証明しないため、考えようによっては自己署名SSL証明書よりも危険とも言えます。