情報処理安全確保支援士 2021年 春期 午前2 問10

証明書発行制御【午前2解説】

正解の理由

解法ステップ

1. CAAの目的を思い出す：DNSでどのCAが証明書を発行できるかを指定するためのレコードである。
2. 各選択肢を機能で照らし合わせる：
   • ブラウザの鍵マーク（ア）はTLS接続の表示であり、CAAとは直接関係しない。
   • URL短縮（イ）は別技術でCAAと無関係。
   • 受信メールのスパム判定（ウ）はSPF/DKIM/DMARC等の領域。
   • 不正な証明書の発行防止（エ）はCAAの主要目的に合致する。
3. よって最も適合するのはエであると判断する。

選択肢別の誤答解説

• ア: ブラウザの「鍵マーク」はTLSにより通信が暗号化され、証明書が有効であることを示す表示です。だが「安全なサイトであること」を完全に保証するものではなく、フィッシングや悪意あるコンテンツには対応しません。CAAはこの表示の生成に直接関与しません。
• イ: URLの短縮はユーザビリティの話題であり、DNSのCAAとは無関係です。誤入力防止もCAAの機能ではありません。
• ウ: 電子メールのスパム判定はSPF、DKIM、DMARCなどのメール認証技術の役割であり、CAAは証明書発行制御のためのDNSレコードであってスパム対策には関係しません。
• エ: ドメイン所有者がどのCAに証明書発行を許可するかを定義でき、CAがこれを確認して発行を拒否することで不正な証明書発行を抑止できます。したがって本問の正答はエです。

よくある誤解

• CAAがあれば完全に安全になる：誤り。CAAは「どのCAに発行を許可するか」を示すが、CAがルールを守らない、あるいはCA自体が侵害（鍵流出等）された場合は防げない。
• CAAはDNSだけで完結して安全性を完全に担保する：誤り。CAA情報の信頼性はDNSの改ざん防止（DNSSECなど）に依存するため、DNSSECと併用するとより効果的。
• CAAは既に発行された証明書を無効化しない：正しい。CAAは発行の可否を制御するもので、既存証明書の取り消しや失効を自動的に行うものではない。

補足コラム

• CAAレコードの主なタグ：
  • issue: 指定したCAが通常の証明書を発行可能
  • issuewild: ワイルドカード証明書の発行を許可
  • iodef: 問題発生時のレポート先（メールやHTTP）
• 例（DNSレコードの記述例）：

example.com.  CAA 0 issue "letsencrypt.org"
example.com.  CAA 0 issuewild ";"
example.com.  CAA 0 iodef "mailto:security@example.com"

• 運用上のポイント：
  • 複数のCAを同時に許可することも可能（複数レコード）。
  • ワイルドカード証明書は別タグ（issuewild）で制御する。
  • DNSが改ざんされるとCAAも無効化され得るため、DNSSEC導入を検討する。
• 標準化と普及：RFC 6844で2013年に標準化され、2017年頃から多くのCAがCAA確認を実施するようになったため、実務上の効果が高まっています。

FAQ