ITパスポート 2024年 問66

PKIにおけるCA (Certificate Authority)の役割に関する記述【ITパスポート 解説】

正解の理由

• CAは「公開鍵と所有者（身元）を結びつける信頼の発行元」です。
• CAが証明書に電子署名することで、利用者（例：ブラウザ）はその証明書を信頼できるか検証できます。
• 証明書の失効管理（CRLやOCSP）で、有効でない証明書を取り消します。

解法ステップ

1. 問題文中のキーワードを探す：「PKI」「CA」「公開鍵証明書」「失効」など。
2. CAの定義を思い出す：公開鍵と身元を結びつけ、証明書を発行・管理する組織。
3. 各選択肢とCAの定義を照らし合わせる：
   • ネットワークの出入口やパケットフィルタなどの説明はCAの意味と合わない。
   • ドメイン名とIPアドレスの対応付けはDNSの役割（別物）。
   • 公開鍵証明書の発行や失効に関する選択肢がCAの役割に一致する。
4. 一致する選択肢（エ）を正解とする。

選択肢別の誤答解説

• ア: 「インターネットと内部ネットワークの間にあって、内部ネットワーク上のコンピュータに代わってインターネットにアクセスする。」
  • これはプロキシ（proxy：代理して通信する装置やサービス）の説明です。CAとは無関係です。
• イ: 「インターネットと内部ネットワークの間にあって、パケットフィルタリング機能などを用いてインターネットから内部ネットワークへの不正アクセスを防ぐ。」
  • これはファイアウォール（firewall：不正アクセスや通信制御を行う装置や機能）の説明です。CAの役割ではありません。
• ウ: 「利用者に指定されたドメイン名を基にIPアドレスとドメイン名の対応付けを行い、利用者を目的のサーバにアクセスさせる。」
  • これはDNS（Domain Name System：ドメイン名とIPアドレスを結びつける仕組み）の説明です。CAの仕事ではありません。
• エ: 「利用者の公開鍵に対する公開鍵証明書の発行や失効を行い、鍵の正当性を保証する。」
  • これがCA（認証局）の役割を正確に表した記述です。公開鍵証明書の発行と失効管理（失効リストの管理や応答）を行い、証明書の正当性を保証します。

よくある誤解

1. 「CAはネットワーク機器（ルーターやファイアウォール）の一種だ」
   • 間違いです。CAは組織やサービスであり、ネットワークの通り道を制御する機器とは別です。CAは証明書を発行して信頼を提供します。
2. 「証明書があれば絶対に安全」
   • 証明書は「その公開鍵がある主体に属する」ことを示す手段です。だが、CAが信用できない、証明書が盗まれた、失効情報が確認されていない場合などリスクは残ります。
3. 「失効した証明書は自動ですぐ全ての機器で無効になる」
   • 実際には失効情報（CRLやOCSP）を確認しないと、クライアント側で無効扱いになりません。確認方法やタイミングによっては失効の反映が遅れることがあります。

補足コラム

• ルートCAと中間CA：CAには「ルートCA（root CA：最上位で自己署名されたCA）」と「中間CA（intermediate CA：ルートCAから証明を受けた下位のCA）」があります。ブラウザやOSは信頼するルートCAの公開鍵を持っていて、そこから証明書チェーン（chain of trust）を遡って検証します。
• 失効の仕組み：CRL（Certificate Revocation List：失効した証明書の一覧）とOCSP（Online Certificate Status Protocol：失効状態を即時に問い合わせるプロトコル）があります。OCSPは即時性が高く、CRLは一覧を配布する方式です。
• Webサイトと証明書：HTTPSで安全に通信するために、Webサイトは公開鍵証明書を使います。ブラウザはその証明書をCAの公開鍵で検証し、正当なら鍵交換を進めて暗号化通信を確立します。

FAQ