基本情報技術者 2015年 春期 午前（科目A） 問45

ディジタル証明書による端末認証【午前解説】

正解の理由

解法ステップ

1. 問題文の「ディジタル証明書を導入しておくことによって…確認できること」を端的に「証明書が何を示すか」に置き換える。
2. ディジタル証明書（クライアント証明書）は「公開鍵と識別情報の結びつき」を証明する点を思い出す。
3. 各選択肢を「識別（誰／どの端末）」と「状態（感染／パッチ／アプリ）」のどちらに該当するかで分類する。
4. 証明書は識別に該当するためイを選び、状態に関するア・ウ・エは除外する。

選択肢別の誤答解説

• ア: 当該スマートフォンがウイルスに感染していないこと
  証明書は端末の識別情報を示すのみで、マルウェア検出情報は含みません。感染判定にはアンチウイルスやEDRが必要です。
• イ: 当該スマートフォンが社内システムへのアクセスを許可されたデバイスであること
  正解。クライアント証明書は端末や利用者を認証し、許可されたデバイスかどうかをサーバで確認できます（例：TLSクライアント認証）。
• ウ: 当該スマートフォンのOSに最新のセキュリティパッチが適用済みであること
  証明書はパッチ適用状況を示しません。パッチ適合性はMDMやNACのポスチャ評価でチェックします。
• エ: 当該スマートフォンのアプリケーションが最新であること
  アプリの更新状態も証明書で判別できません。アプリ管理やインベントリによる別の検査が必要です。

よくある誤解

• 「証明書があればウイルス感染していない」と考える誤解：証明書は端末識別のためであり、マルウェア検知や健康状態の判断には使えません。
• 「証明書＝端末管理（MDM）機能」と混同する誤解：MDMは端末の設定・パッチ適用・コンプライアンス確認を行い、証明書は認証手段の一つです。
• 「アプリやOSの最新性も証明書で保証される」と思う誤解：パッチ適用やアプリ更新は別途の状態チェック（ポスチャ評価）が必要です。

補足コラム

• 実運用では、クライアント証明書（PKI）とMDM/Endpoint Managementを組み合わせることで「誰（どの端末か）」と「その端末の健全性」を両方確認できます。例えば、クライアント証明書で認証し、MDMの条件を満たさない端末はネットワークアクセスを制限するConditional Accessを導入します。
• 証明書の運用では発行・更新・失効管理が重要です。失効はCRLやOCSPで行い、秘密鍵はハードウェアセキュリティ（Secure ElementやTPM、Keychain）で保護すると安全性が高まります。
• 技術的には「クライアント証明書＋サーバのTLSクライアント認証」や「mTLS（相互TLS）」がこの用途で用いられます。

FAQ