平成28年度春期 情報処理安全確保支援士 午前Ⅱ 問8

午前II 問08：電子証明書は「公開鍵の身分証明書」だよ

ここで出てくる証明書は X.400 ではなく、X.509 系の電子証明書だよ。イメージとしては、申請者の公開鍵に対して、信頼できる認証局が「この公開鍵はこの人・組織のものです」と署名してくれる身分証明書のようなもの。TLS では、この証明書を使って通信相手が本物かを確認したり、安全に鍵交換をしたりする土台として使われるよ。

この問題で問われていること

この問題では、証明書が証明している相手は“人そのもの”というより“その人・組織に対応する公開鍵”だと分かっているかがポイントだよ。さらに、TLS で相手の認証や鍵交換を安全に進めるために使われる、という役割も押さえておこう。

Role of Digital Certificates in TLS

digital certificates bind an entity to a public key and are used in TLS for peer authentication and key-exchange support

certificate covers public key\nCA signs certificate\nused for TLS peer authentication and key exchange

確認ポイント

• 秘密鍵ではなく公開鍵を証明する。
• TLS の相手認証に使う。
• X.509 系を想起する。

正解

イ

出典

問題文と解答は IPA 公開の過去問題冊子・解答例を基にしています。

選択肢ア

これは間違いだよ。S/MIMEやTLSで使うディジタル証明書の代表的な規格はITU-T X.509だよ。X.400は電子メールのメッセージ処理システムに関する規格で、証明書そのものの規格ではないんだ。たとえると、身分証の規格を聞かれているのに、郵便配達の仕組みの規格を答えてしまっているようなものだよ。

選択肢イ（正解）

これは正解だよ。ディジタル証明書は、TLSで「相手が本物か」を確認したり、安全に鍵をやり取りするために使われるんだ。たとえると、ネット上のお店が「私は本物のお店です」と身分証を見せてくれて、それを確認してから合鍵を安全に作って通信するイメージだよ。

選択肢ウ

これは間違いだよ。認証局が証明するのは申請者の「公開鍵」であって、「秘密鍵」ではないんだ。秘密鍵は本人だけが絶対に隠して持つものだから、認証局に渡して証明書に入れるものではないよ。たとえると、合鍵を作るための公開された鍵穴情報は見せてもいいけど、家に入れる本物の鍵を窓口に預けちゃダメ、という感じだね。

選択肢エ

これは間違いだよ。ルート認証局は、下位の認証局の公開鍵に署名して証明書を出す、という方向性は近いんだけど、署名に使うのは「ルート認証局の公開鍵」ではなく「ルート認証局の秘密鍵」なんだ。たとえると、役所が証明書にハンコを押すとき、みんなに見せる確認用のハンコ見本ではなく、役所だけが持っている本物のハンコで押す、という感じだよ。