ITパスポート 2020年 秋期 問100

電子メールに自己作成の電子証明書を使うリスク【ITパスポート 解説】

正解の理由

解法ステップ

1. 問題文でのキーワードを探す：ディジタル署名、電子証明書、信頼できる認証局、自分で作成。
2. ディジタル署名と電子証明書の役割を思い出す：
   • ディジタル署名：送信者の身元確認と内容の改ざん検出に使う。
   • 電子証明書：公開鍵と所有者を結びつける「身分証明書」のようなもの。認証局がその結びつきを保証する。
3. 「信頼できる認証局」と「自己作成」の違いを考える：第三者の保証があるかないか。
4. 各選択肢が「身元確認／改ざん／盗み見／配信障害／文字化け」のどれに関係するかを当てはめる。
5. 正しい選択肢を選ぶ：証明書の信頼性に関する影響は「送信者確認」に関するものなので、アを選ぶ。

選択肢別の誤答解説

• ア 電子メールが正しい相手から送られてきたかどうかが確認できなくなる。
  → 正解。自己作成の証明書は第三者（認証局）による保証がないため、受信者は送信者の正当性を自動的に信頼できません。なりすましや送信者の偽装を検出できない恐れがあります。
• イ 電子メールが途中で盗み見られている危険性が高まる。
  → 誤り。盗み見（盗聴）は主に暗号化の有無や暗号鍵の管理状況に依存します。自己作成の証明書でも正しく鍵を使えば暗号化は可能です。ただし、自己作成だと受信者が証明書を検証しないまま通信を続けると、第三者による中間者攻撃（MITM：Man-In-The-Middle）を見破れず結果的に盗聴されるリスクが増す可能性はあります。問題文の比較では「身元確認」の欠如が直接のリスクなので、イは不適切です。
• ウ 電子メールが途中で紛失する危険性が高まる。
  → 誤り。メールの紛失（配信失敗・遅延）はネットワークやメールサーバの問題に依存し、証明書が自己作成かどうかとは無関係です。
• エ 電子メールに文字化けが途中で発生しやすくなる。
  → 誤り。文字化けは文字コード（例えば UTF-8 や ISO-2022-JP）の扱いやメールのヘッダ設定に起因します。証明書の発行元とは関係がありません。

よくある誤解

1. 「自己作成の証明書＝暗号化できない」
   → 実際には自己作成でも公開鍵暗号は使えます。問題は「誰の公開鍵か」を第三者が保証できない点です。暗号化そのものの可否と、相手の確認は別物です。
2. 「認証局は不要で面倒なら自己証明書で十分」
   → 小規模な実験や社内限定の用途では使えますが、外部の相手と安全に通信するには第三者の保証（認証局）が重要です。なりすましや中間者攻撃のリスクが増します。

補足コラム

• 電子証明書と認証局（CA）の役割：
  電子証明書は「公開鍵」と「人（または組織）の情報」を結びつけるデジタルな身分証明です。認証局（CA）は、その結びつきが正しいと確認して署名します。これにより受信者は「この公開鍵は本当に送信者のものだ」と信頼できます。これを全体で支える仕組みを PKI（Public Key Infrastructure：公開鍵基盤）と呼びます。
• 自己署名証明書の使いどころ：
  • テスト環境やローカルネットワークでの検証には便利。
  • 公共の通信（外部顧客とのメールなど）には基本的に不向き。受信者が手動で信頼設定をしない限り警告が出ます。
• なりすましを防ぐ現実的なチェック方法：
  受信者が送信者の公開鍵の「指紋（フィンガープリント）」を電話や別の安全な経路で確認する方法があります。ブラウザで見かける「この証明書は信頼できません」という警告は、同じ種の問題を示しています。

FAQ