HTTPS Everywhere 10周年：何が変わり、なぜそれが重要なのか

ウェブブラウザと閲覧先のWebサイト間のデータ通信は、常に安全であるべきです。インターネット暗号化が普及する以前は、すべてのデータが暗号化されていないHTTP(Hypertext Transfer Protocol)で送信されており、情報は盗聴、傍受、改ざんの危険に常にさらされていました。

幸いなことに、現在インターネット上のほとんどのデータは、HTTPの安全版であるHTTPSを使用しています。そして、まだ暗号化されていないWebサイトについては、「HTTPS Everywhere」という拡張機能が、暗号化されていない通信を自動的にHTTPSへと変換してくれました。

では、HTTPSやHTTPS Everywhereとは一体どのようなものなのでしょうか?そして、安全なインターネット接続への意識の高まりにより、HTTPS Everywhereはついに役目を終えようとしているのでしょうか?

HTTPSとは?

HTTPSは、Webサイトにアクセスする際にURL欄に表示されるものです。このプロトコルは、アクセスしようとしているWebサイトがSSL証明書によって保護されていることを保証します。

SSL(Secure Sockets Layer)プロトコルは、ブラウザとWebサーバーといった2つのシステム間に暗号化されたリンクを確立するために使用されます。SSLの主な役割は、両者間のデータ転送が暗号化され、第三者に漏れることなくプライベートに保たれることを保証することです。

SSL証明書の詳細を確認したい場合は、ブラウザのアドレスバーにあるURLの直前に表示される鍵(パドロック)アイコンをクリックしてください。

HTTPS Everywhereとは?

かつては、すべてのWebサイトがSSL証明書の導入に投資していたわけではなく、多くのデータが平文のまま送信されていました。言うまでもなく、ユーザーがインターネットを閲覧する際に安全なデータ通信へ自動的に切り替えられる仕組みが強く求められていました。

2010年、The Tor Projectと電子フロンティア財団(EFF)の共同開発により、この深刻化する問題に対する待望のソリューションとして「HTTPS Everywhere」が登場しました。

リリース当時、ユーザーがHTTPリンクをクリックしたり、ブラウザに「https://」というプレフィックスを付けずにWebサイト名を入力したりした場合、そのWebサイトにHTTPS版が存在すれば、接続をHTTPSへ移行する手助けをしていました。本質的に、HTTPS Everywhereは、訪問しようとしているWebサイトのHTTPS版へ自動的にリダイレクトする機能を持っていたのです。

当初はMozilla Firefox向けに提供されましたが、この拡張機能は瞬く間に人気を博し、やがてすべての主要ブラウザに欠かせない存在となりました。

SSL証明書に対する意識の変化

HTTPS Everywhere拡張機能が最初に登場した頃、ほとんどのWebサイトはHTTPSをサポートしておらず、WebサイトレベルでのHTTPS導入もまだ普及していませんでした。

しかし時が経つにつれ、GoogleとMicrosoftが協力してHTTPSの採用を加速させ、Web全体へのエンドツーエンド暗号化の徹底を推進するようになりました。膨大な数のサイトをHTTPからHTTPSへ移行させるとともに、セキュアな接続のみでページを読み込む「HTTPS-Onlyモード」をブラウザに組み込んだのです。

この組み込み型のHTTPSモードにより、HTTPS Everywhere拡張機能の利用は大幅に減少しました。HTTPSがすでにブラウザ本体に統合されている以上、わざわざ追加の拡張機能(それ自体に新たなセキュリティリスクが伴う場合もあります)を使う必要はないからです。

暗号化通信に関する世間の意識は確実に変化しており、HTTPSはもはや一部の限られた技術ではなくなりました。実際、執筆時点では、全インターネットサイトの約86.6%がHTTPS接続をサポートしていると推定されています。

しかし、これはHTTPS Everywhere拡張機能が引退間近であることを意味するのでしょうか?

HTTPS Everywhereは今、引退の時を迎えたのか?

実は、HTTPS Everywhereの最終的な目標は、それ自体が「不要になること」でした。つまり、HTTPSが誰でも簡単に利用でき、広く普及し、ユーザーが追加のブラウザ拡張機能を必要としないインターネットの世界を実現することが目的だったのです。

主要ブラウザがHTTPS-Onlyモードをネイティブにサポートするようになった今、その時代がついに到来しました。

今日、ほとんどのブラウザは、HTTPS Everywhere拡張機能が10年以上にわたって果たしてきた役割を単体で実現できるようになっています。こうした流れとHTTPS採用率の向上を受け、EFFは2022年内にHTTPS Everywhereブラウザ拡張機能を正式に廃止すると発表しました。

4つの主要ブラウザ――Microsoft Edge、Apple Safari、Google Chrome、Mozilla Firefox――はいずれも、HTTPからHTTPSへの自動アップグレード機能をネイティブに備えるようになっています。

HTTPS-Onlyモードを有効にしよう

HTTPS Everywhere拡張機能が誕生して以来、インターネット暗号化をめぐる環境は劇的に変化しました。

HTTPS Everywhereブラウザ拡張機能が2022年に引退を迎える今こそ、お使いのブラウザでHTTPS-Onlyモードを有効にしておくのが最善の対策です。これにより、覗き見攻撃からの不安を取り除けるだけでなく、パスワード、クレジットカード番号、その他の個人情報をハッカーから守ることにもつながります。

HTTPS Everywhereという拡張機能自体はまもなく引退しますが、HTTPSは今やインターネットのあらゆる場所に浸透し、これからも私たちの安全な通信を支え続けることでしょう!