情報セキュリティマネジメント 2018年 春期 午前（科目A） 問30
問題文
PKI（公開鍵基盤）において、認証局が果たす役割の一つはどれか。
選択肢
ア：共通鍵を生成する。
イ：公開鍵を利用してデータを暗号化する。
ウ：失効したディジタル証明書の一覧を発行する。（正解）
エ：データが改ざんされていないことを検証する。
🔒 解説は解答すると表示されます
失効証明書の発行【情報セキュリティマネジメント解説】
正解の理由
PKI（公開鍵基盤：Public Key Infrastructure）は、公開鍵（だれでも使える暗号鍵）と所有者の身元を結びつける仕組みです。その中心にある認証局（Certification Authority：CA）は、公開鍵と所有者情報をまとめたディジタル証明書（電子証明書：public key certificate）を発行し、証明書に自らの電子署名を付けて信頼を与えます。
その運用上、証明書を取り消す必要が生じることがあります（例：秘密鍵が漏れた、退職した、誤って発行した等）。認証局はそのような「失効（取り消し）」を管理し、失効した証明書の一覧を公開します。これが選択肢の ウ に当たります。公開された失効リストを確認することで、システムは「その証明書はもう使えない」と判断できます。したがって認証局の役割として正しいのは ウ です。
その運用上、証明書を取り消す必要が生じることがあります（例：秘密鍵が漏れた、退職した、誤って発行した等）。認証局はそのような「失効（取り消し）」を管理し、失効した証明書の一覧を公開します。これが選択肢の ウ に当たります。公開された失効リストを確認することで、システムは「その証明書はもう使えない」と判断できます。したがって認証局の役割として正しいのは ウ です。
解法ステップ
- 問題文で問われている対象を明確にする（ここでは「認証局＝CA」の役割）。
- CAの基本機能を思い出す：証明書の発行と署名、そして管理（失効管理を含む）。
- 各選択肢をCAの機能と照らし合わせて当てはめる。
- CAは証明書の発行と取り消しを行う（合致）。
- 暗号化やデータ改ざん検証はCAそのものの主たる処理ではない（除外）。
- 最終的に最も整合する選択肢を選ぶ（ウ）。
選択肢別の誤答解説
-
ア: 共通鍵を生成する。
共通鍵とは対称鍵（同じ鍵で暗号化・復号する鍵）です。共通鍵の生成や配布は別の仕組み（鍵管理システムや鍵配送プロトコル）で行われることが多く、CAの主な役割ではありません。CAは主に公開鍵（非対称鍵）の証明書化と管理を行います。 -
イ: 公開鍵を利用してデータを暗号化する。
公開鍵を使った暗号化は通信の当事者（アプリケーションやソフト）が行います。CAは暗号処理（データの暗号化そのもの）を実行する役割ではなく、鍵と身元の結びつきを保証する役割です。 -
ウ: 失効したディジタル証明書の一覧を発行する。
ここが正解です。CAは失効した証明書のリスト（CRL: Certificate Revocation List）を発行・公開したり、OCSP（Online Certificate Status Protocol：オンラインで証明書の有効性を確認する仕組み）で失効情報を提供します。 -
エ: データが改ざんされていないことを検証する。
データの改ざん検証は受信側が署名検証などを行って判断します。CAは署名の検証そのものを行うのではなく、署名を検証するための「信頼できる証明書」を発行・管理します。つまり検証のための材料を提供する役目はあるが、実際の検証作業は利用者側の機能です。
よくある誤解
-
誤解1: 「CAは暗号化サービスを提供する」
→ CAは暗号の処理（暗号化・復号）を行うことは基本的にありません。鍵の信頼性を保証する役割です。 -
誤解2: 「一度発行された証明書は永久に有効」
→ 証明書には有効期限があり、さらに事情があればCAが失効（取り消し）します。運用での管理が重要です。
補足コラム
現代の運用では、CAが発行する「失効リスト（CRL）」と並んで「OCSP（Online Certificate Status Protocol）」がよく使われます。CRLは定期的に公開される失効一覧で、シンプルですが最新情報を得るのに遅れが生じることがあります。OCSPはオンラインで即座に個別の証明書の有効性を確認できる方式で、リアルタイム性が高い運用が可能です。職場では、社内のシステムやVPNで証明書を使うなら、証明書の失効手続き（離職時の即時失効など）とOCSP/CRLのチェック設定を整備しておくことが現実的な対策です。
FAQ
Q: 失効された証明書はどうやって見分けるのですか？
A: システムはCRLをダウンロードして照合するか、OCSPで即時確認します。どちらか一方、あるいは両方を使う設定が多いです。
A: システムはCRLをダウンロードして照合するか、OCSPで即時確認します。どちらか一方、あるいは両方を使う設定が多いです。
Q: CAが不正ならどうなるのですか？
A: CA自体が信用できないと、そこから発行された証明書全体の信頼性が揺らぎます。信頼できるルートCAを厳選し、プライベートCAなら運用（鍵の保護、監査）を厳格に行う必要があります。
A: CA自体が信用できないと、そこから発行された証明書全体の信頼性が揺らぎます。信頼できるルートCAを厳選し、プライベートCAなら運用（鍵の保護、監査）を厳格に行う必要があります。
Q: 個人で使う証明書でも失効はあるのですか？
A: はい。個人の証明書でも秘密鍵が漏れた場合などは失効されます。ウェブサイトのSSL/TLS証明書も同様に管理されます。
A: はい。個人の証明書でも秘密鍵が漏れた場合などは失効されます。ウェブサイトのSSL/TLS証明書も同様に管理されます。
関連キーワード: PKI、認証局、ディジタル証明書、CRL、OCSP、公開鍵、失効管理、証明書ライフサイクル、鍵管理
\ せっかくなら /
情報セキュリティマネジメントを
クイズ形式で学習しませんか？
クイズ画面へ遷移する→
すぐに利用可能！