SSLが…

「SSL-VPNを利用したいんですよ」
　「B2B専用のウェブでも作るんですか？」
「いやSSL-VPNですよ、LANとLANをつなぐ」
　「ああ、普通のvpnですね」
「ちがいますよ、SSL-VPNですよ」
　「アプリ単位でやらなければダメなんですか？」
「いや、LANを接続したいんですが」

いや、この文は相手の無知を笑う訳ではまったくなくて、業界が適当なキーワード的な営業をやって、みんなで（場合によっては売る側も）勘違いする（させる）という事が問題だと言いたい。まあコンピューター系ではアリガチといえばアリガチだが。

雑誌の表紙で踊るSSL-VPNという単語、そしてVPNとSSLというイマイチわからないけどどんなものかはおぼろげに判る単語、つまりSSL-VPNはVPNに内包されていて、すごいVPNなんだろう。という認識が。*1
SSLなんとかって名称はどうにかならんだろうか、どうも最近はSSL-VPNはブラウザベースのそれだけを指して言う業者も居るし…、混沌としている。さらにいえばVPNの定義もあやふやなのが問題なのだろうが。

SSLは単なるソケットレベルでの暗号化であって、暗号アルゴリズムも定義されていない*2。
つまり暗号化の「一つ前の」通信をカプセルする仕組みと言った方が正しい部分がSSLで、それが何よりも上に立って宣伝されるのはどうなんだと思っているのだが。VPNを売り込むならSSLより上位の輻輳制御などの技術が問題にならないのか。強度を上げるならば長ビットの楕円暗号鍵採用！とか書くべきではないのか。
実例ならばSoftEtherがSSLで有る事には何のメリットがあるのか*3。

まあ、単語について世間が間違った認識を持つのは特に問題はない、大抵購入前には自分の希望の合った物かどうかをエンジニアなりが判断出来る。せいぜいとんちんかんな会話を受けた人が苦笑いをするだけだ。
しかしまあ、最近では展示会にいる営業さんでもたまに
「これの暗号化アルゴリズムは？(強度は？)」
「安心のSSLです」
とか言うのが困る。

「cipherの話なんですが」
「なんですか？サイファーって？」
「暗号化アルゴリズムです」
「だからSSLです」
あれれ？俺があってるはずなのに目の前の営業にバカにされてるよ？（笑）

と、いうことで、私はSSL-VPNという単語を使ったことがほとんど無い。

*1:実際、上の要件を満たすSSL-VPNといえば極論SSL-telnet Over pppdとかでも問題無い。まあそれ以前に普通にTCP１ポートをつかったSSLなVPNだってあるけど、例えばSoftEtherとか。

*2:例えばDESのSSLだって存在するし、BlowfishのSSLも存在する。最大のSSL利用環境であるブラウザもそれらを自動的に切り替えて高い強度の物を選択している

*3:ポート445を利用した通信は非SSL時代のSoftEtherでもサポートしていた、行儀良くするために対応したような物だ。SSLプロキシは元々パケットを丸投げしている物が多いので、そもそもフルサポートの意義自体は薄いのだが