令和7年度秋期 情報処理安全確保支援士 午前Ⅰ 問13

午前I 問13：コードサイニング証明書は“配布ソフトの身分証”だよ

コードサイニング証明書は、アプリやプログラムにデジタル署名を付けるための証明書だよ。たとえるなら、宅配便の送り主ラベルと封印シールのようなもの。利用者は「誰が作ったソフトなのか」を確認できるし、配布途中で中身が書き換えられていないかも検知できるんだ。

この問題で問われていること

この問題では、証明書が何の目的で使われるのかを見分けよう。コードサイニング証明書は、Webサイトの暗号化ではなく、ソフトウェア配布物の発行元確認と改ざん検知に使うものだと押さえればOKだよ。

Code signing

実行ファイルやインストーラに署名して配布元を示します。

software package\n+ signature\n-> publisher verification

確認ポイント

• EV SSL やサーバ証明書は Web サーバ向けです。
• クライアント証明書は利用者認証向けです。
• コードサイニング証明書を選ぶ。

正解

ウ

出典

問題文と解答は IPA 公開の過去問題冊子・解答例を基にしています。

選択肢ア

EV SSL証明書は、Webサイトの運営者をかなり厳しく確認して「このお店のWebサイトは本物っぽいよ」と示すためのものだよ。お店の看板や営業許可証みたいな役割で、ソフトウェアの発行元や改ざん有無を確認するための証明書ではないので、この問題では違うよ。

選択肢イ

クライアント証明書は、利用者側が「私は入ってよい人です」と示す会員証みたいなものだよ。会社のシステムに入るときの本人確認などに使われるけど、配布されたソフトウェアの発行元を確認するためのものではないので違うよ。

選択肢ウ（正解）

コードサイニング証明書が正解だよ。アプリに付ける“封印付きの署名”みたいなもので、「このソフトはこの発行元が作ったものだよ」「途中で中身をすり替えられていないよ」と確認できるんだ。ダウンロードしたソフトの身元確認に使う証明書だと覚えよう。

選択肢エ

サーバ証明書は、Webサーバが「このサイトは本物だよ」と示して、ブラウザとの通信を安全にするためのものだよ。窓口の身分証のような役割で、Webサイト相手の確認には使うけど、ソフトウェアの作者確認や改ざん確認が主目的ではないので違うよ。