平成29年度秋期 ITサービスマネージャ 午前Ⅱ 問24

発行元確認を考える視点

ソフトウェア署名の発行元確認を考えるときは、表示される名称だけで判断せず、信頼の起点から確認情報がどのようにつながり、利用者の判断を支えるかという観点に絞って整理しましょう。

この問題で問われていること

選択肢を比べる際は、署名に関する情報が誰によって示され、どの確認材料を通じて発行元との対応付けが行われる想定かを、一つの流れとして丁寧に読み取る点に注目してください。

視点

発行元確認では、表示情報、信頼関係、確認主体の役割を切り分け、どの情報がどの判断を支えるのかを整理すると、用語の印象に引きずられにくくなります。

確認ポイント

• 信頼の起点と確認情報の関係を整理する
• 表示される情報と判断の根拠を分けて考える
• 確認に関わる主体の役割を読み取る

正解

ウ

解説

署名されたソフトウェアを導入する前には、署名を検証してソフトウェアの開発元または発行元を確認できる証明書を用います。該当するのはコードサイニング証明書です。

理由

コードサイニング証明書は、ソフトウェアに付与された電子署名を検証する際に使われ、署名者である開発元または発行元の確認に利用されます。導入前の信頼性確認に適した証明書です。

比較

EV SSL証明書やサーバ証明書は主にWebサイトやサーバとの通信に関係し、クライアント証明書は利用者や端末の認証に使われます。ソフトウェア発行元の確認とは目的が異なります。

選択肢ア

これは不正解だよ。EV SSL証明書は、Webサイトの運営者確認やHTTPS通信におけるサーバの信頼性確認に用いられる証明書です。署名されたソフトウェアの開発元または発行元を確認する用途とは異なります。

選択肢イ

これは不正解だよ。クライアント証明書は、利用者や端末などのクライアントを識別し、サーバ側で認証するために使われます。ソフトウェアに署名した開発元または発行元を確認する証明書ではありません。

選択肢ウ（正解）

これは正解だよ。コードサイニング証明書は、ソフトウェアに付けられた電子署名を検証し、署名者である開発元または発行元を確認するために使われます。導入前のソフトウェア確認に適しています。

選択肢エ

これは不正解だよ。サーバ証明書は、接続先サーバの身元確認や、HTTPSによる通信の暗号化に利用されます。署名されたソフトウェアの開発元または発行元を確認する目的の証明書ではありません。

学習のポイント

証明書は名称だけでなく、身元確認の対象と利用目的を対応付けて覚えましょう。