本ユニットでは、公開鍵暗号やデジタル署名を安全に使うための社会基盤であるPKI(公開鍵基盤)を学びます。中心となるデジタル証明書、その信頼の起点となるルート証明書・トラストアンカー、そして用途別のサーバ証明書・クライアント証明書まで積み上げます。情報セキュリティ対策の頻出分野です。
公開鍵が本人のものだと証明書で保証する社会的な仕組みの総称。
PKI(Public Key Infrastructure)は、公開鍵暗号やデジタル署名を安全に使うための基盤となる仕組みです。公開鍵そのものは誰でも作れるため、「その鍵が本当に相手本人のものか」を信頼できる第三者(認証局)が証明書で保証します。 これにより、なりすましを防ぎ、通信相手の正当性を確認できます。試験では、PKIが特定の製品名ではなく公開鍵を信頼するための枠組み全体を指すこと、デジタル証明書や認証局がその構成要素であることが問われます。
たとえ公開鍵を「身分証」、認証局を「役所」に例えると、PKIは役所が身分証を発行・保証する社会制度そのものにあたります。制度があるから身分証を信用できます。
記憶フックPKIといえば公開鍵を証明書で保証する社会基盤
PKIの日本語名称で、同じく公開鍵を信頼するための基盤を指す。
公開鍵基盤は、PKI(Public Key Infrastructure)を日本語で表した呼び方で、指している中身はPKIとまったく同じです。公開鍵が確かに本人のものだと証明書によって保証し、安全な暗号通信やデジタル署名を成り立たせる基盤を意味します。 試験では「PKI=公開鍵基盤」と同一概念であることをそのまま問う出題があります。英略語と日本語名がペアで結び付いていることを押さえておけば、どちらの表記で出ても対応できます。
たとえ「PC」と「パソコン」が同じものを指すのと同じで、PKIと公開鍵基盤は英語の略語と日本語名という違いだけで、中身は同一の仕組みです。
記憶フック公開鍵基盤といえばPKIの日本語名で同じ仕組み
公開鍵が本人のものだと認証局が保証する電子的な証明書。
デジタル証明書(電子証明書・公開鍵証明書)は、PKIの中心となる成果物です。「この公開鍵は確かにこの人(またはサーバ)のものだ」という対応関係を、信頼できる認証局(CA)がデジタル署名を付けて保証した電子データです。 証明書には公開鍵・所有者情報・発行者(認証局)・有効期限などが含まれます。試験では、公開鍵と所有者を結び付けてなりすましを防ぐ役割、認証局が発行する点が頻出です。鍵そのものではなく「鍵の持ち主を保証する書類」である点を押さえましょう。
たとえ公開鍵を顔写真とすると、デジタル証明書は役所が「この顔はこの人」と保証印を押した身分証明書。証明書があるから初めてその鍵を信用できます。
記憶フックデジタル証明書といえば公開鍵の持ち主を認証局が保証する書類
信頼チェーンの最上位にある、認証局自身が署名した証明書。
ルート証明書は、証明書による信頼の連鎖(信頼チェーン)の最上位に位置する証明書です。最上位の認証局(ルート認証局)が自分自身に対して署名(自己署名)しており、それ以上たどる上位がありません。 ブラウザやOSにはあらかじめ信頼できるルート証明書が組み込まれており、これを起点として下位の証明書の正当性を順にたどって検証します。試験では、証明書が単独ではなく上位へつながる階層構造で信頼される点、ルート証明書がその出発点になる点が問われます。
たとえ信頼を保証印のリレーに例えると、ルート証明書は誰の上位の印も要らない「最終的に皆が信じる大元の印」。この大元があるから連鎖全体を信用できます。
記憶フックルート証明書といえば信頼チェーン最上位の自己署名証明書
証明書を検証する際に無条件で信頼する起点となる証明書。
トラストアンカー(trust anchor)は、証明書の正当性を検証するときに「これは無条件で信頼する」と定めた起点のことです。通常はルート証明書がトラストアンカーとして使われ、検証はここを出発点としてチェーンをたどります。 つまりルート証明書という具体物に対し、トラストアンカーは「信頼の出発点」という役割を概念として表した言葉です。試験では、検証が必ず信頼の起点から始まること、その起点を指す用語であることを押さえると、似た用語との区別がしやすくなります。
たとえ地図でルートをたどるときの「現在地(スタート地点)」のようなもの。どこから信頼を出発するかを決める基準点で、ここがぶれると全体の検証が成り立ちません。
記憶フックトラストアンカーといえば無条件に信頼する検証の起点
トラストアンカーの日本語表現で、信頼を始める起点を指す。
信頼の基点は、トラストアンカー(trust anchor)を日本語で言い換えた表現で、意味はまったく同じです。証明書を検証する際に無条件で信頼する出発点を指し、通常はルート証明書がこの役割を担います。 試験では「トラストアンカー=信頼の基点」と同一概念であること、そしてその実体がルート証明書であることが整理できていれば十分です。英語表現と日本語表現がペアで結び付いている点を押さえておきましょう。
たとえ「スタート地点」と「出発点」が同じ意味であるのと同じで、トラストアンカーと信頼の基点は呼び方が違うだけ。どちらも信頼をたどり始める一番の元を指します。
記憶フック信頼の基点といえばトラストアンカーの日本語表現
Webサーバ等が正当な相手だと証明する用途別のデジタル証明書。
サーバ証明書は、WebサーバなどがなりすましでないことをWebブラウザに証明するためのデジタル証明書です。HTTPS(SSL/TLS)通信で使われ、サイトの運営者が正当であることや、暗号通信に使う公開鍵を相手に伝える役割を持ちます。 利用者はアドレスバーの鍵マークなどでサーバ証明書の有無を確認できます。試験では、サーバ証明書がサーバ側の正当性を証明する点、クライアント証明書(利用者側を証明)と対になる用途別証明書である点の違いが問われます。
たとえ店の入口に掲げられた「正規認可店」の認定証のようなもの。客(ブラウザ)は、その証明書を見て安心してこのサーバと取引(通信)してよいと判断できます。
記憶フックサーバ証明書といえばサーバの正当性を証明する証明書
利用者(端末)側が正当な相手だと証明する用途別のデジタル証明書。
クライアント証明書は、サーバにアクセスしてくる利用者や端末が正当な相手であることを証明するためのデジタル証明書です。利用者側にあらかじめ配布しておき、ID・パスワードに加えてこの証明書を持つ端末だけにアクセスを許す、といった本人認証の強化に使われます。 試験では、サーバ側を証明するサーバ証明書と、利用者側を証明するクライアント証明書という「どちらを証明するか」の向きの違いが頻出です。両者は対になる用途別の証明書だと整理しておきましょう。
たとえ会員制の店に入るときに見せる「会員証」のようなもの。店(サーバ)側が、来た人(クライアント)が正規の会員かを証明書で確かめ、本人だけ入店を許します。
記憶フッククライアント証明書といえば利用者側の正当性を証明する証明書
関連の過去問演習は今後のアップデートで追加予定です。