ITパスポート 2009年 秋期 問85

公開鍵基盤（PKI）において認証局（CA）が果たす役割はどれか。【ITパスポート 解説】

正解の理由

解法ステップ

1. 問題文のキーワード「認証局（CA）」「公開鍵基盤（PKI）」を確認する。
   • PKI（Public Key Infrastructure：公開鍵基盤）とは、公開鍵暗号方式を安全に使うための仕組み全体。
   • CA（Certificate Authority：認証局）はPKIの中心的な役割を担う。
2. CAの基本機能を思い出す：証明書の「発行」と「署名（証明）」、および証明書の「失効管理（取り消し）」など。
3. 選択肢を一つずつ当てはめて、CAの仕事と一致するかを検証する。
   • 「公開鍵がその者のものであることを示す証明書を発行する」はCAの仕事にぴったり当てはまる。→ 正解。

選択肢別の誤答解説

• ア: SSLを利用した暗号化通信で、利用する認証プログラムを提供する。
  誤り。SSL（Secure Sockets Layer：古い名前。現在はTLS：Transport Layer Security）自体は暗号化プロトコルです。CAはプロトコルの「プログラム」を提供する役割ではなく、証明書を発行して公開鍵の正当性を保証する役目です。
• イ: Webサーバに不正な仕組みがないことを示す証明書を発行する。
  誤り。CAは「この公開鍵が誰のものか」を証明しますが、サーバ内部に不正なプログラム（マルウェアなど）がないことまでは証明しません。サーバの安全性や内部のソフトウェア状態の検査は別の仕組み（脆弱性診断やセキュリティ監査）です。
• ウ: 公開鍵が被認証者のものであることを示す証明書を発行する。
  正解。被認証者（証明される主体）の公開鍵と身元情報を紐づけて証明するのがCAの主な役割です。CAはその証明書に自身の電子署名を付けます。
• エ: 被認証者のディジタル署名を安全に送付する。
  誤り。ディジタル署名（電子署名）は、署名者が自分の秘密鍵で作るものです。CAは署名を「送付」する役ではなく、署名の検証に使う公開鍵を証明する役を担います。署名の安全な伝達は通信手段やプロトコルの仕事です。

よくある誤解

1. 「CAはサーバの安全性（ウイルスがない等）まで保証する」
   → CAは身元と公開鍵の対応を保証しますが、サーバ内部の安全性までは保証しません。証明書は「誰の鍵か」を示すものであり、「ソフトが安全か」は別問題です。
2. 「CAが発行すればその公開鍵は絶対に正しい」
   → CA自身が信頼できることが前提です。もしCAが不正や誤発行をすれば信頼が壊れます。だからOSやブラウザには“信頼するルートCA一覧”が組み込まれています。

補足コラム

• 証明書の形式には一般的に X.509（エックス・ドット・ファイブ・オー）という規格が使われます。証明書は有効期限があり、必要に応じて失効（取り消し）されます。失効情報はCRL（Certificate Revocation List：証明書失効リスト）やOCSP（Online Certificate Status Protocol：オンラインで証明書の有効性を確認する方法）で管理されます。
• WebサイトのHTTPS接続では、ブラウザがサーバから提示された証明書を受け取り、証明書に付いたCAの署名を検証します。検証が成功すれば、その公開鍵を使って安全に通信できます。

FAQ