平成22年度秋期 情報処理安全確保支援士 午前Ⅱ 問15

パソコンやICカードの中に「私自身のデジタル身分証（クライアント証明書）」を入れて、ログイン認証に使う

SSL/TLSの「クライアント証明書（個人証明書）」についての問題だよ。普段HTTPSで見ているサイトは「サーバーが本物か」をサーバー証明書で確認するけれど、逆に「アクセスしてきたユーザーが本人か」を厳重にチェックするために使うのがクライアント証明書んだ。IDやパスワードと違って、このデータ（電子証明書）が入ったパソコンや「ICカード」を持っている本人しかログインできないため、非常に安全な二要素認証ができるよ。

この問題で問われていること

サーバー証明書との役割の違いを整理した上で、「利用者のブラウザやICカードなどのハードウェアセキュリティモジュールに格納し、サーバーに対して利用者の身元を証明する」個人証明書の利用方法を選ぼう。

個人証明書の格納先

証明書と秘密鍵を IC カードなどに格納すれば、別の端末でもその媒体を使って認証できます。IP アドレス必須や 128 ビット未満制限の説明は誤りです。

秘密鍵 + 証明書\n-> IC カード等に格納可\n-> 特定 PC に固定不要

確認ポイント

• SSL は特定の利用者間専用に開発されたものではありません。
• サーバ証明書に IP アドレスの組み込みが必須とは限りません。
• IC カードなどへ格納できる点を選びます。

正解

ア

出典

問題文と解答は IPA 公開の過去問題冊子・解答例を基にしています。

選択肢ア（正解）

これは正解だよ。個人認証用のディジタル証明書は、本人確認用の身分証みたいなものなんだ。身分証を財布に入れて持ち歩けるように、証明書もICカードなどに入れて使える場合があるよ。だから、必ず特定のPCの中だけに保存しなければならない、というわけではないんだ。

選択肢イ

これは間違いだよ。SSL/TLSは、Webサーバとブラウザの通信を安全にする仕組みで、特定の利用者だけの専用通路ではないんだ。お店の入口にある自動ドアみたいに、利用者が事前登録していなくても、安全な通信の準備はできるよ。利用者登録が必要かどうかは、そのWebサービス側のログイン機能の話で、SSLそのものの必須条件ではないよ。

選択肢ウ

これは間違いだよ。Webサーバの証明書は、基本的には『example.comという名前の店は本物ですよ』と示す看板のようなものなんだ。通常はIPアドレスではなくドメイン名を確認するので、サーバのIPアドレスが変わっただけで必ず証明書を取り直す、とは限らないよ。

選択肢エ

これは間違いだよ。SSL/TLSで使う共通鍵の長さが日本国内では128ビット未満に制限されている、という決まりはないよ。鍵は家の鍵みたいなもので、短いほど泥棒に開けられやすく、長いほど安全性が高くなるんだ。実際には128ビット以上の強い暗号も広く使われているよ。