暗号化は何を守るのか——目的と基本モデル

暗号化（encryption）は、データをそのままの形ではなく「読めない形（暗号文）」に変換し、正しい復号方法を持つ相手だけが元に戻せる状態を作る技術です。オンラインでは主に、通信の途中で第三者が内容をのぞき見する（傍受する）リスクを下げることに役立ちます。

基本モデルはシンプルです。送信側は「鍵」を使って暗号化し、受信側は同じ種類の鍵（または関連する鍵）で復号します。さらに、多くの仕組みでは改ざんを検知するための仕組み（整合性の確保）も組み合わされます。ここで重要なのは、「暗号化＝何もかも完全に防ぐ万能薬」ではない点です。守れるのは主に“通信内容”や“通信の正当性”に関わる範囲で、端末やアカウント自体の安全まで自動的に保証するわけではありません。

仕組み——鍵、暗号文、復号、そして認証の役割

暗号化の成否は、鍵の扱いに大きく左右されます。鍵が適切に生成・管理され、復号に必要な条件が満たされることで、傍受された暗号文は読めないままになります。

また、暗号化には“相手が本物か”を確かめる要素が別途必要です。たとえば、暗号化できていても相手が偽物だと、別の問題が起きます。そこで通常は、暗号化とあわせて認証（相手が誰かを確認する仕組み）を行います。オンラインでよく見かける「証明書」や「署名」といった概念は、この“本物確認”と結びついていることが多いです。

さらに、改ざんの検知も重要です。暗号化だけだと、内容が書き換えられたかどうかを厳密に判断できない場合があります。そこで、暗号方式やプロトコルでは整合性（改ざん耐性・改ざん検知）を目的にした仕組みが組み合わされることがあります。実際にどの方式が使われているかは通信ごとに異なり得るため、「暗号化されているから安心」と雑にまとめるのではなく、どの要素が含まれているかを意識するのが有効です。

制限と例外——暗号化していても残るリスク

暗号化の効果は大きい一方で、制限もあります。まず、暗号化は“暗号文を読めない状態を作る”ことが中心です。そのため、次のような状況では別の対策が必要になります。

1つ目は、端末やブラウザが侵害されているケースです。たとえ通信が暗号化されていても、端末上でマルウェアが入力や画面内容を奪えば、守れる範囲が狭くなります。

2つ目は、認証の失敗や設定ミスです。相手の確認が不十分だったり、誤った証明書や異常な接続状態を見逃したりすると、暗号化の前提が崩れます。

3つ目は、鍵や運用の弱さです。鍵が推測される、使い回される、不適切に扱われるなどの問題があると、理論上の強さが実運用で損なわれる可能性があります。

4つ目は、暗号化の対象範囲です。 何を暗号化していて、何が暗号化されていないのかは実装や構成次第です。