平成21年度秋期 情報処理安全確保支援士 午前Ⅱ 問2

「身元の怪しい認証局」が発行した証明書だと、ブラウザが警告を出す

ブラウザが「このウェブサイトは安全じゃないかも！」と警告を出す仕組みの問題だよ。HTTPS通信で使う「サーバー証明書」は、信頼できる第三者機関（認証局）が保証している必要があるんだ。もし証明書の発行元をたどっていった時に、ブラウザがあらかじめ登録している「信頼できるルート認証局」にたどり着かない場合、警告が出てしまうんだよ。

この問題で問われていること

ブラウザがどうやってサーバー証明書をチェックしているかを押さえよう。ブラウザが元々信頼しているリスト（ルートCA）に入っていない発行元からの証明書は怪しいと判断されるよ。

証明書警告が出る典型原因

ブラウザはサーバ証明書の署名系列をたどり、最後に手元の信頼済みルート証明書と一致するかを確認します。ここが一致しないと警告になります。

サーバ証明書 -> 中間 CA -> ルート CA\nブラウザ保有の信頼済みルートと不一致\n-> 警告

確認ポイント

• TLS で共通鍵暗号を使うこと自体は通常動作です。
• OCSP や SCVP の利用だけでは警告原因とは言えません。
• ルート CA を信頼できるかどうかに着目します。

正解

エ

出典

問題文と解答は IPA 公開の過去問題冊子・解答例を基にしています。

選択肢ア

これは不正解だよ。SSL/TLSでは、最初に本人確認や鍵の相談をして、合意できたら実際の通信は共通鍵暗号で行うのが基本だよ。合鍵を安全に作ってから、その合鍵で部屋を開け閉めするイメージで、これは正常な動きなんだ。

選択肢イ

これは不正解だよ。OCSPやSCVPは、証明書が失効していないかを確認するための仕組みで、『この身分証、まだ有効？』と窓口に聞くようなものだよ。CRLそのものの妥当性をVAに問い合わせる、という説明はポイントがずれているんだ。

選択肢ウ

これは不正解だよ。ブラウザがWebサーバの証明書チェックに成功したなら、『この店員さんは本物だ』と確認できた状態だから、その後にSSLセッションを張るのは普通の流れだよ。警告が出る理由にはならないんだ。

選択肢エ（正解）

これは正解だよ。ブラウザは信頼できるルートCAの証明書をあらかじめ持っていて、『この証明書は信用できる役所が発行したものかな？』と確認するよ。Webサーバの証明書につながるルートCAがブラウザの持つ信頼リストに無ければ、知らない役所の身分証を出されたようなものなので、警告が出るんだ。