情報セキュリティマネジメント 2017年 秋期 午前（科目A） 問26
問題文
ルート認証局についての記述はどれか。
選択肢
ア：UNIX系のOSにおいて、 rootアカウントの権限レベルでプログラムを実行するために利用者が使用する。
イ：上位の認証局が発行した証明書によって、自らの認証局としての正当性を示す。
ウ：信頼される第三者機関として、認証局運用規程を公開している。（正解）
エ：ハッカーが侵入の痕跡を隠蔽して、コンピュータやネットワークに対する管理者レベルのアクセス権限を得るために使用される。
🔒 解説は解答すると表示されます
ルート認証局【情報セキュリティマネジメント解説】
正解の理由
ルート認証局とは、認証局（CA: Certification Authority：証明書を発行する機関）のうち最上位で「信頼の起点（trust anchor）」となる存在です。ルート認証局は第三者機関として自らの運用ルール（認証局運用規程：Certificate Policy / Certification Practice Statement、略してCP/CPS）を公開し、誰がどのように証明書を発行するかを明示します。したがって選択肢のうち、ウの記述が正しく合致します。
補足説明：CPはポリシー（どのような条件で証明書を信用するか）を示し、CPSは実務（鍵管理や発行手順などの詳細な手順）を説明します。これらを公開することで利用者は認証局の信頼性を判断できます。
解法ステップ
- 問題文のキーワード「ルート認証局」を確認する。
- 各選択肢の要旨を短く読み替える（OSのroot、上位CAからの署名、運用規程の公開、ハッキング用語）。
- 「認証局」と「root（最上位）」の意味を照合する：ルート認証局は上位に署名される側ではなく、信頼の最上位（自己署名が多い）である点を確認。
- 選択肢を消去法で絞る：OSのroot（ア）やハッキング用語（エ）は別物、上位CAが署名する（イ）は中間CAの説明。残るのが運用規程を公開する（ウ）で正解。
覚え方：PKI（公開鍵基盤）での「root」は「信頼の出発点」。OSのrootやrootkitとは別の意味。
選択肢別の誤答解説
- ア: UNIX系のrootアカウントの説明です。rootアカウントはOSの管理者ユーザーであり、ルート認証局とは無関係です。
- イ: 「上位の認証局が発行した証明書によって正当性を示す」は中間認証局（サブCA）の説明です。中間CAは上位CAに署名してもらって証明書を得ますが、ルートCAは通常自己署名（自分で署名）して信頼されます。
- ウ: 正しい。ルート認証局は信頼される第三者としてCP/CPSなど運用規程を公開し、信頼性を担保します。
- エ: これは「ルートキット（rootkit）」というハッキング用語の説明です。侵入の痕跡隠蔽や管理者権限獲得を目的としたマルウェアであり、認証局とは別物です。
よくある誤解
- 「root」という語を見てすぐにOSの管理者（rootアカウント）を連想してしまう。PKIの「root」は別概念なので注意。
- ルート認証局も常にオンラインで頻繁に証明書を発行していると思いがちだが、実務ではルートはオフラインで厳重に保護し、中間CAが日常発行を担うことが多い。
- ルートCAが必ず誰かに署名されていると思う誤解。実際は自己署名（self-signed）が多く、OS/ブラウザの信頼ストアで配布される。
補足コラム
- ルート証明書の配布と信頼：主要なOSやブラウザはあらかじめ「信頼されたルート証明書」を内蔵しています。これが「信頼の起点」となり、そこからの署名連鎖（証明書チェーン）でウェブサイトやサービスの証明書を検証します。
- 鍵の保護：ルートCAの秘密鍵はHSM（Hardware Security Module：秘密鍵を安全に保管・操作する専用機器）やオフライン保存で厳重に管理されます。
- 証明書失効：万一の鍵流出時はCRL（Certificate Revocation List：失効リスト）やOCSP（Online Certificate Status Protocol：オンラインで有効性確認する仕組み）で対処します。
職場での運用イメージ：社内PKIを構築する場合、ルートCAをオフラインで保管し、オンラインの中間CAを用意して従業員用証明書を発行・管理します。また、外部の認証局を利用する際はそのCAのCP/CPSやセキュリティ対策を確認してから契約します。
FAQ
Q1: ルート認証局と中間認証局の一番の違いは何ですか？
A1: ルート認証局は信頼の最上位で自己署名が多く、信頼ストアに登録されます。中間認証局は上位（ルートや別の中間）に署名され、日常の証明書発行を担当します。
A1: ルート認証局は信頼の最上位で自己署名が多く、信頼ストアに登録されます。中間認証局は上位（ルートや別の中間）に署名され、日常の証明書発行を担当します。
Q2: 認証局運用規程（CP/CPS）には何が書かれますか？
A2: 証明書の発行条件、身元確認方法、秘密鍵管理、失効手続き、監査や責任範囲など、認証局の運用ルールと実務手順が記載されます。
A2: 証明書の発行条件、身元確認方法、秘密鍵管理、失効手続き、監査や責任範囲など、認証局の運用ルールと実務手順が記載されます。
Q3: ルート証明書が信用できるかどうかはどう判断しますか？
A3: そのCAの運用規程（CP/CPS）や監査結果、鍵管理（HSM等）、失効手続き、業界標準（例：CA/Bフォーラムの基準）への適合などを確認します。ブラウザやOSで既に信頼されているかも一つの指標です。
A3: そのCAの運用規程（CP/CPS）や監査結果、鍵管理（HSM等）、失効手続き、業界標準（例：CA/Bフォーラムの基準）への適合などを確認します。ブラウザやOSで既に信頼されているかも一つの指標です。
関連キーワード: ルートCA、認証局運用規程、CP/CPS、自己署名証明書、中間認証局、信頼の起点、証明書チェーン、CRL、OCSP、HSM、ルートキット、rootアカウント
\ せっかくなら /
情報セキュリティマネジメントを
クイズ形式で学習しませんか？
クイズ画面へ遷移する→
すぐに利用可能！