情報セキュリティマネジメント 2018年 秋期 午前（科目A） 問25

デジタル署名【情報セキュリティマネジメント解説】

正解の理由

解法ステップ

1. 「デジタル署名」が何を提供するかを短く言葉で確認する（完全性と作成者認証を確認する手段）。
2. 各選択肢を「検知できるか」「使用を制限できるか」「法的な著作権を証明するか」「修正を不可能にするか」に当てはめる。
3. デジタル署名は「改ざんの検知（Integrity）」と「署名者確認（Authentication）」を行う仕組みであるため、改ざん検知に関する選択肢を選ぶ。

選択肢別の誤答解説

• ア（正しい説明）
  デジタル署名はソフトの内容が途中で改ざんされていないか、届けられたものが正当な作成者（あるいはその代理）によるものかを検証できる機能です。改ざんがあれば署名検証は失敗します。
• イ（誤り）
  「使用を特定の利用者に制限する」機能はデジタル署名の主目的ではありません。使用制限はライセンス管理やDRM（Digital Rights Management：デジタル著作権管理）やアクティベーション機構によって実現されます。署名は誰が出したか確認するものですが、単独で利用者の利用を制御するものではありません。
• ウ（誤り）
  署名は「その公開鍵に対応する秘密鍵を持つ者が署名した」という技術的な証明を与えますが、法律上の著作権（copyright）が誰にあるかを自動的に証明するものではありません。著作権は創作時点で発生し、署名は作者の身元を示す証拠の一つにはなり得ますが、単独で法的な著作権の確定を保証するものではありません。
• エ（誤り）
  デジタル署名は「修正を不可能にする」ものではありません。誰でもファイルを改変することは可能です。ただし改変すれば署名検証は失敗するため、改変が行われたことを検知できます。防止（不可能にする）と検知（分かる）は別物です。

よくある誤解

1. 「署名があれば改ざんされない」
   誤解です。署名は改ざんの検知手段であり、改ざんそのものを止める機能はありません。改ざんを防ぐには配布経路の保護やアクセス制御が必要です。
2. 「署名＝暗号化」
   混同されやすいですが別物です。署名は正当性と完全性を証明し、暗号化は内容を他人に読まれないようにするためのものです。両方使うこともありますが目的が違います。
3. 「署名があれば責任はすべて明確になる」
   秘密鍵が盗まれると攻撃者が正規に署名したように見せかけられます。秘密鍵の管理（安全保管）が重要です。

補足コラム

• 実務での使い方（例）
  社内で配布する実行ファイルやインストーラにコード署名（code signing）を付け、管理者が署名検証を行ってから展開します。OSやブラウザは未署名や信頼できない署名のソフトを警告するため、署名付きソフトは利用者の安心につながります。
• 実例と仕組み（簡単）
  典型的には「ソフトのハッシュ値を作る → 開発者が秘密鍵でハッシュに署名 → 署名と電子証明書をソフトに添付 → 利用者が公開鍵／証明書で検証する」。証明書が信頼された認証局（CA）から出ていると、より高い信頼を得ます。タイムスタンプを付けると証明書期限切れ後も署名の有効性を主張できます。

FAQ