ITサービスマネージャ 2024年午前2 問15

問題文

デジタル署名のあるソフトウェアをインストールするときに、そのソフトウェアの発行元を確認するために使用する証明書はどれか。

🖊️ 解答を隠して解いてみる

ア：EV SSL証明書

イ：クライアント証明書

ウ：コードサイニング証明書（正解）

エ：サーバ証明書

🔒 解説は解答すると表示されます

ソフトウェアに付与されたデジタル署名を検証するときは、署名に使われた証明書を確認します。ソフトウェアの発行元を確認するために使うのは、ウのコードサイニング証明書です。

コードサイニング証明書を使ってソフトウェアに署名すると、利用者は署名の検証を通じて、署名者が誰であるかや、署名後にソフトウェアが改ざんされていないかを確認できます。

署名があれば、ソフトウェアが安全だと保証される
デジタル署名で確認できるのは、主に発行元と改ざんの有無です。ソフトウェアに脆弱性や悪意ある機能がないことまでは保証しません。
SSL証明書とコードサイニング証明書は同じ用途である
どちらも発行元などの確認に証明書を使いますが、SSL証明書は主に通信相手や通信の保護、コードサイニング証明書はソフトウェアの署名に使われます。
デジタル署名は暗号化と同じである
デジタル署名は、署名者の確認や改ざん検知を目的とします。内容を第三者に読めなくする暗号化とは役割が異なります。

デジタル署名では、ソフトウェアの内容からハッシュ値を計算し、その値を署名者の秘密鍵で署名します。検証時には公開鍵を使って署名を確認し、ソフトウェアから再計算したハッシュ値と照合します。

そのため、署名後にソフトウェアが変更されていれば、ハッシュ値が一致せず、改ざんを検知できます。発行元の確認には、署名に使われた公開鍵と証明書の信頼性も関係します。

コードサイニング証明書で確認できるのは何ですか？
署名した発行元や、署名後にソフトウェアが改ざんされていないかを確認できます。

署名が有効なら、安心してインストールできますか？
発行元と改ざんの有無を判断する材料にはなりますが、安全性そのものを保証するものではありません。発行元の信頼性やソフトウェアの内容も確認してください。

サーバ証明書との違いは何ですか？
サーバ証明書は、サーバの認証や通信の暗号化に使われます。コードサイニング証明書は、ソフトウェアへの署名に使われます。

関連キーワード: デジタル署名、コードサイニング証明書、公開鍵証明書、ハッシュ値、改ざん検知

\ せっかくなら /

ITサービスマネージャを
クイズ形式で学習しませんか？

すぐに利用可能！