ブラウザ上の「緑色のラベル」：EV 証明書の興亡と未来

10 年前の風景と現在の状況

• 過去の光景: 10 年前、ブラウザのアドレスバーには親しみのある小さなユーザーインターフェースが表示されていました。
  • 緑色のカンパニー名
  • 安心を与えるタイポグラフィ（文字デザイン）
  • 本物の会社が管理しているという信頼のサイン
• 現在の状況: その UI は消滅し、ウェブサイトの身元確認は非常に複雑化しています。
  • ユーザーが手動で詳細を確認しないと辿り着けないほど深層へ埋め込まれてしまいました。
  • ハロウィンの季節を前に、この「事件」の再来を検証する価値があります。

主要な登場人物と犠牲者たち

• 被害者: Extended Validation (EV) 認証書（拡張検証型証明書）。
  • アガサ・クリスティーの小説のような展開で、複数の加害者が関与した悲剧的な結末を迎えました。
• 容疑者リスト:
  • 大手ブラウザ企業: ユーザーインターフェースの決定により EV を排除。
  • ミスを犯す人類: 信頼指標が見えなくても詐欺サイトにアクセスし続ける傾向。
  • 非営利団体 (ISRG): 無料証明書の普及により市場構造を変化させた存在。
  • ケンタッキー州にある会社「Stripe」（ストライプ・インク）: 名前混同を招いた象徴的な事例。

EV の仕組みと消滅の理由

元々の目的と表示方法

• 3 つのレベル: 異なる身元確認が用意されていました。
  • DV (ドメイン検証): ドメイン管理権限のみ確認（暗号化用）。
  • OV (組織検証): 背後にある組織の審査を加える。
  • EV (拡張検証): 法人実体を確認する詳細なプロセスを要求（登記番号など含む）。
• 表示ルール: ブラウザ設計者は EV の情報を前面に出しました。
  • Chrome や Firefox などでアドレスバー横にカンパニー名を表示（緑色）。
  • 事業者は追加費用を支払うことで、閲覧者への信頼感を向上させました。

消滅を招いた要因

• 人間の認知特性: 人間は**「信頼の指標があるか」**という視覚的シグナルに弱いため、セキュリティ対策としての EV は期待外れでした。
  • Chrome 77 のアップデートでも、研究結果として**「指示器の削除がユーザーの判断を変えることはない」**と判明。
• 主要ブラウザの対応:
  • Safari (2018 年): EV の注目度を低下。
  • Firefox (2019 年): 指示器をサイト情報パネル内に移設。
  • Chrome: 最終的にアドレスバーからの表示を廃止。

ストライプ・インク事件：信頼の限界

• 奇妙な出来事 (2017 年): セキュリティ研究者アイアン・キャロルはケンタッキー州に「ストライプインク」を設立し、法的根拠に基づいた EV 認証書を取得。
  • 一般的なストライプ（デラウェア州）とは区別されていますが、ブラウザからは両方とも「ストライプ」と表示されました。
• 発生した問題:
  • 正確な身元情報でありながら、ユーザーを混乱させる可能性を露呈しました。
  • ブラウザバーの限られた UIでは、登記州などの詳細情報が捨象され、「カンパニー名」だけで誤認を招きます。
• 結論: インターネットユーザーが登記管轄区を知るのは非現実的であり、この事件はブラウザからの信頼表示を見直すきっかけとなりました。

Let's Encrypt がもたらした変化

無料証明書サービスの台頭

• インターネットセキュリティ研究所 (ISRG) が提供する「Let's Encrypt」が普及しました。
  • 全てのウェブサイトに対して基本的な DV 証明書を無料提供。
  • 自動化された更新により、SSL の維持コストや手間を大幅に削減。
• HTTPS 利用率の向上:
  • Firefox ベースのデータより約 5 年間で、世界の HTTPS 利用率が**30% 未満から約 80%**へ上昇しました。

業界への衝撃

• ブラウザが目立つ EV ロゴを撤去した結果、有料証明書および追加審査の市場価値は実質的にゼロに。
• 商用 CA（認証局）業界に大きな打撃を与えました。
  • OV/EV 証明書自体はニッチな顧客向けに販売されていますが、一般訪問者を安心させるための有料モデルは事実上死滅しました。

「鍵マーク」という新たな偽の信頼

• 本物と詐欺師の同質化:
  • Let's Encrypt を含む DV 証明書を取得したサイトも、フィッシングサイトも同じ TLS チェックを通過。
  • クレジットカード情報の保護（マン・イン・ザ・ミドル攻撃防止）は両者共通です。
• 鍵アイコンの限界:
  • Chrome は 2023 年に鍵アイコン廃止を発表（理解度 11% しかないことなどから）。
  • 「CA の責任は暗号化までで、正当性の判定は他者の仕事」というスタンスを明言。
• 現状: 2026 年現在も、「どのウェブサイトが責任あるものか」をユーザーに問うている状況が続いています。

復活の可能性：EU の規格と AI

認証されたウェブサイト認証証明書 (QWAC)

• EU は身元確認のコンセプトを手放しておらず、**「認証されたウェブサイト認証証明書（QWAC）」**という新しい規格を推進しています。
  • 2027 年 1 月以降: ブラウザが QWAC のサポート義務付け。
  • ブラウザ企業の判断ではなく、EU の規制下にある信頼エコシステムで管理されます。
• 技術的特徴 (2-QWAC):
  • 通常の TLS 証明書とは別の証明書として、**「検証された身元情報」**を暗号的にリンクさせるアプローチ。
  • 既存の HTTPS セットアップ（Let's Encrypt 等）を維持したまま、オプションで身元情報を付加可能。

AI エージェントによる検証

• AI の役割:
  • 人間の関与能力に限界がある中、ソフトウェアがプログラム的に**「各訪問時に身元の主張を確認」**します。
  • URL 横の緑色のラベルよりも多くの情報を処理できる LLM（大規模言語モデル）が活用可能。
• 具体的な仕組み:
  • 個人の AI エージェントが、QWAC のメタデータ内の認証済み実体の管轄区を信頼リストと比較。
  • 不一致の場合、人間ユーザーに警告フラグを立てます。
• 効果:
  • インターネット詐欺を完全に止めるわけではありませんが、ウェブサイトの正当性評価の一部として欠けていた証拠を提供します。
  • AI エージェントと 2-QWACの組み合わせにより、検証済みの身元を公開する際の費用対便益の比率が変化し、企業への再投資を促す可能性があります。

結論: EV が持っていた古いアプローチ（人間が小さなラベルを見る）は時代遅れでした。しかし、AI を介した新しい仕組みによって、ウェブサイト的身元は再び蘇るでしょう。