エンベデッドシステムスペシャリスト 2014年午前2 問24

問題文

SSLに関する記述のうち、適切なものはどれか。

🖊️ 解答を隠して解いてみる

選択肢

ア：SSLで使用するWebサーバのディジタル証明書にはIPアドレスの組込みが必須なので、WebサーバのIPアドレスを変更する場合は、ディジタル証明書を再度取得する必要がある。

イ：SSLで使用する個人認証用のディジタル証明書は、ICカードなどに格納できるので、格納場所を特定のPCに限定する必要はない。（正解）

ウ：SSLはWebサーバを経由した特定の利用者間の通信のために開発されたプロトコルであり、Webサーバ提供者への事前の利用者登録が不可欠である。

エ：日本国内では、SSLで使用する共通鍵の長さは、128ビット未満に制限されている。

🔒 解説は解答すると表示されます

SSL証明書と通信方式【午前2解説】

正解の理由

SSLで使用する個人認証用のディジタル証明書は、ICカードなどの媒体に格納できます。そのため、証明書や秘密鍵を特定のPCだけに置く必要はありません。

たとえば、ICカードに秘密鍵を安全に格納すれば、カードを利用することで別のPCからも本人認証を行えます。したがって、イが適切です。

解法ステップ

問題が、SSLの通信方式そのものについて述べているのか、証明書の扱いについて述べているのかを確認します。
証明書の格納場所はPCに限定されず、ICカードなども利用できると判断します。
IPアドレスの変更、利用者登録の必須性、鍵長の制限に関する記述が正しいかを確認します。

選択肢別の誤答解説

ア：Webサーバの証明書にIPアドレスを必ず含めるわけではありません。一般に、アクセス先のドメイン名を証明書で確認します。IPアドレスでアクセスする場合は、証明書にそのIPアドレスを記載する必要がありますが、ドメイン名でアクセスする構成なら、IPアドレスの変更だけで証明書の再取得が必要になるとは限りません。
イ：適切です。個人認証用の証明書や秘密鍵は、ICカードなどに格納して利用できます。特定のPCに限定する必要はありません。
ウ：SSLは、WebブラウザとWebサーバなどの間で通信を保護するためのプロトコルです。特定の利用者間の通信に限られるものではなく、利用者が事前登録されていることもSSL利用の必須条件ではありません。
エ：SSLで使う共通鍵の長さが、日本国内で128ビット未満に制限されているという記述は誤りです。128ビットの暗号方式は広く利用されてきました。

よくある誤解

サーバ証明書にはIPアドレスが必ず必要だと思い込む
証明書には、実際の接続時に確認する識別情報を記載します。ドメイン名でアクセスする場合は、通常、ドメイン名が重要です。
個人認証用証明書はPCに保存するものだと思い込む
証明書や秘密鍵は、ICカードなどの外部媒体にも格納できます。
SSLを使うには、サービス提供者への事前登録が必須だと思い込む
登録の要否はサービスの設計によります。SSL自体の利用条件ではありません。

補足コラム

SSLは、通信の暗号化や通信相手の認証などに用いられてきたプロトコルです。現在は、SSLの後継であるTLSが使われています。問題文や古い資料では「SSL」と表記されていても、実際にはTLSを含む意味で使われている場合があります。

また、Webサーバを認証するサーバ証明書と、利用者を認証するクライアント証明書は役割が異なります。クライアント証明書による利用者認証は、SSL/TLS通信で常に必要な機能ではなく、サービスに応じて利用されます。

FAQ

Q. ICカードに入れるのは証明書ですか、秘密鍵ですか？
A. ICカードには、証明書と、それに対応する秘密鍵を格納する構成が一般的です。秘密鍵をカードの外に取り出さずに利用できるため、安全性を高められます。

Q. サーバのIPアドレスが変わったら、証明書は必ず取り直しますか？
A. 必ずではありません。ドメイン名で接続し、そのドメイン名が証明書に含まれている構成なら、IPアドレスの変更だけで再取得が必要になるとは限りません。IPアドレスを使って接続する場合は、そのIPアドレスが証明書に含まれている必要があります。

Q. SSLとTLSは同じものですか？
A. 厳密には別のプロトコルですが、TLSはSSLの後継です。現在はTLSが使われており、SSLは安全性上の理由から利用されません。

関連キーワード: SSL、TLS、ディジタル証明書、クライアント証明書、サーバ証明書、秘密鍵、ICカード、共通鍵暗号