認証局と証明書の運用・失効

CA (Certificate Authority) は、公開鍵とその持ち主を結び付ける電子証明書を発行し、その中身が正しいことを自らの署名で請け合う機関である。

公開鍵だけを受け取っても、それが本当に名乗った相手の鍵かどうかは受け手には分からない。そこで CA が申請者の身元を確かめ、公開鍵と持ち主の情報に CA 自身の秘密鍵で作ったディジタル署名を付けて電子証明書として渡す。受け手は CA の署名を検証することで、鍵の持ち主が名乗りどおりかを確かめられる。

たとえ役所が本人確認をしてから出す印鑑登録証明書に近い。印影 (公開鍵) が確かにその人のものだと、第三者の役所 (CA) が請け合う。

覚え方C は Certificate (証明書)、A は Authority (権限を持つ機関)。「証明書の権威」と読めば、証明書を出す側だと分かる。

この用語の過去問 2 題 CA →

認証局は CA の日本語名で、通信や取引をする当人どうしとは利害のない第三者として電子証明書を発行する機関である。

PKI (公開鍵基盤) は、公開鍵と持ち主の対応を証明書で示し、その証明書を信頼できる機関が裏付ける仕組み全体を指す。認証局はこの仕組みの中心にあり、利用者は認証局を信頼することで、会ったことのない相手の公開鍵も信用できる。認証局の署名を検証できれば、証明書が途中ですり替えられていないことも確かめられる。

たとえ海外で旅券が通用するのは、発行した国を相手が信頼しているからである。認証局も、相手が信頼する発行元として証明書に効力を与える。

覚え方「認証」は本人だと認めること、「局」はある仕事を受け持つ部署を表す字。「本人だと認める部署」と字から読める。

この用語の過去問 2 題 認証局 →

CRL (Certificate Revocation List) は、有効期間が残っているのに途中で無効にされた (失効した) 電子証明書を、CA が一覧にして公開するリストである。

証明書には有効期間があり、期間を過ぎれば自然に使えなくなる。これとは別に、秘密鍵が漏れたり持ち主の所属が変わったりすると、期間の途中でも証明書を取り消す必要が生じる。証明書を受け取った側は、有効期間内かどうかに加えて、その証明書が CRL に載っていないかを確かめる。

たとえ利用を止められたクレジットカードの番号を店に配る一覧表に近い。カードの期限が残っていても、一覧に載った番号は受け付けない。

覚え方Revocation は「取り消し」。期限切れ (expire) ではなく、途中で取り消した証明書の List と読む。

この用語の過去問 1 題 CRL →

証明書失効リストは CRL の日本語名で、有効期間の途中で無効にされた証明書の一覧を指す。

リストは CA が作成し、CA の署名を付けて定期的に更新・公開する。受け手は手元のリストが古いと最近の失効を見落とすため、新しい版を取得して照合する。

たとえ紛失届が出た社員証の番号を受付に貼り出しておくようなもの。受付は来訪者の社員証を一覧と見比べて、通すかどうかを決める。

覚え方「失効」は効力を失うと書く。期限が来て終わる「満了」とは字が違う、と字形で区別する。

この用語の過去問 1 題 証明書失効リスト →