情報セキュリティマネジメント 2016年 秋期 午前（科目A） 問29
問題文
PKI（公開鍵基盤）における認証局が果たす役割はどれか。
選択肢
ア：共通鍵を生成する。
イ：公開鍵を利用してデータを暗号化する。
ウ：失効したディジタル証明書の一覧を発行する。（正解）
エ：データが改ざんされていないことを検証する。
🔒 解説は解答すると表示されます
認証局の役割【情報セキュリティマネジメント解説】
正解の理由
PKI（Public Key Infrastructure：公開鍵基盤）は、公開鍵（誰でも見られる鍵）と秘密鍵（持ち主だけが持つ鍵）を使って安全にやり取りする仕組みです。認証局（CA：Certificate Authority）はその仕組みの「信頼の担い手」です。認証局は利用者やサーバの公開鍵と身元情報を組み合わせたディジタル証明書（公開鍵証明）を発行し、必要に応じて「その証明書はもう使えない」とする一覧を発行します。失効した証明書の一覧はCRL（Certificate Revocation List：証明書失効リスト）と呼ばれ、これを公開するのが認証局の役割です。したがって、選択肢の中では ウ が正解です。
解法ステップ
- 問題文で出てくる主要語を確認：PKI（公開鍵基盤）、認証局（CA）。
- PKI の目的を思い出す：「誰がその公開鍵を持っているか（＝身元）」を保証して、安全な通信や署名の検証を可能にする。
- 認証局の具体的な仕事を列挙する：証明書の発行・署名、証明書の失効管理（CRLの発行やOCSP応答）。
- 各選択肢と照らし合わせ、認証局が実際に行うのはどれかを選ぶ。CRL 発行を示す ウ を選ぶ。
選択肢別の誤答解説
-
ア: 共通鍵を生成する。
共通鍵は対称暗号（同じ鍵で暗号化・復号する方式）で使う鍵です。共通鍵の生成や配布は鍵管理システム（KMS）や通信当事者のプロトコルの役割であり、認証局が標準的に「共通鍵を生成する」わけではありません。よって誤りです。 -
イ: 公開鍵を利用してデータを暗号化する。
公開鍵でデータを暗号化する操作は利用者やソフトウェア側の機能です。認証局は公開鍵の正当性を証明する（証明書を発行・署名する）役目であり、日常的にデータ暗号化そのものを行う役ではありません。よって誤りです。 -
ウ: 失効したディジタル証明書の一覧を発行する。
これは認証局が行う典型的な役割です。失効リスト（CRL）を発行・更新し、利用者がその証明書を信頼してよいか確認できるようにします。ウ が正解です。 -
エ: データが改ざんされていないことを検証する。
データの改ざん検知（整合性検証）は署名やハッシュを使って受信者や検証ソフトが行います。認証局は署名検証に必要な公開鍵が本当にその主体のものかを保証する役割を持ちますが、個々のデータの改ざん検証作業自体を認証局が直接行うわけではありません。よって誤りです。
よくある誤解
-
誤解1: 「認証局が全ての暗号化処理を行う」
実際は認証局は鍵の正当性を保証し、証明書や失効情報を管理する役。データの暗号化や復号は利用者側で行います。 -
誤解2: 「認証局は必ず鍵ペアを生成する」
一部の運用ではCAが鍵を生成して利用者に渡すこともありますが、一般的には利用者が自分で鍵ペアを作り、公開鍵だけをCAに送って証明書を発行してもらいます。運用ポリシーによる差がある点に注意。 -
誤解3: 「CRLさえあれば常に最新の失効情報が分かる」
CRLは定期的に更新される方式で、更新間隔によっては即時性に欠けます。リアルタイム性が必要な場合はOCSP（Online Certificate Status Protocol）という仕組みが使われます。
補足コラム
職場でのイメージ：社内システムに証明書を導入する際、総務や管理部門で担当することは「誰の証明書がいつ切れるか、失効したら誰に連絡するかを決める」ことです。例えば社員が退職した場合、その人の証明書を失効させる手続き（CAに失効通知を出す）を運用ルールに含めておく必要があります。実務では、外部の商用CAに依頼するか、社内でプライベートCAを運用するかを検討します。外部CAを使うとブラウザなどで自動的に信頼されますが、社内運用ではCRL配布ポイントやOCSPの通信が社内ネットワークで遮断されないか確認することが重要です。
FAQ
Q1: CRL と OCSP の違いは何ですか？
A1: CRL は失効した証明書の一覧を定期的に配布する方式です。OCSP（Online Certificate Status Protocol：オンライン証明書状態確認）はサーバに照会してリアルタイムで証明書の有効性を確認する方式で、即時性に優れます。
A1: CRL は失効した証明書の一覧を定期的に配布する方式です。OCSP（Online Certificate Status Protocol：オンライン証明書状態確認）はサーバに照会してリアルタイムで証明書の有効性を確認する方式で、即時性に優れます。
Q2: 証明書が「失効」されるのはどんなときですか？
A2: 代表的には秘密鍵が漏えいした場合、所属や職務が変わって証明書が不要になった場合、発行情報に誤りがあった場合などです。失効は迅速に行う必要があります。
A2: 代表的には秘密鍵が漏えいした場合、所属や職務が変わって証明書が不要になった場合、発行情報に誤りがあった場合などです。失効は迅速に行う必要があります。
Q3: 認証局は誰が運営するのが良いですか？
A3: 一般的な公開サービス（外部向けWebサイト等）には信頼済みの商用CAを使います。社内限定の用途なら社内CAを立てることもあります。選択は「信頼の必要度」「管理の手間」「コスト」で決めます。
A3: 一般的な公開サービス（外部向けWebサイト等）には信頼済みの商用CAを使います。社内限定の用途なら社内CAを立てることもあります。選択は「信頼の必要度」「管理の手間」「コスト」で決めます。
関連キーワード: PKI（公開鍵基盤）、認証局（CA）、ディジタル証明書、CRL（証明書失効リスト）、OCSP、公開鍵暗号、失効管理、証明書運用管理
\ せっかくなら /
情報セキュリティマネジメントを
クイズ形式で学習しませんか？
クイズ画面へ遷移する→
すぐに利用可能！