情報処理安全確保支援士 2024年 春期 午前2 問15

証明書発行の制御【午前2解説】

正解の理由

解法ステップ

1. キーワード抽出：「DNS」「CAA」「Certification Authority Authorization」から、証明書発行制御に関するレコードだと判断する。
2. 設問と選択肢の照合：CAAはDNSに格納されるCA許可情報であり、発行の可否に関係することを想起する。
3. 選択肢の排除：ブラウザの鍵表示やURL短縮、メールスパム判定とは用途が異なると判断して除外する。
4. 残った選択肢がCAAの機能に合致するため、それを正解とする。

選択肢別の誤答解説

• ア: 「ブラウザの鍵マーク＝安全」という誤解が含まれます。鍵マークはHTTPS接続が確立され、証明書が有効であることを示しますが、サイトの中身（フィッシングや悪意のあるコンテンツ）の有無までは保証しません。CAAは証明書発行を制御するが、ブラウザ表示そのものを直接制御するものではありません。
• イ: URL短縮は別のサービス（短縮URLサービス）で行う処理であり、DNSのCAAレコードとは無関係です。
• ウ: 電子メールのスパム誤検知対策はSPF、DKIM、DMARCなどのメール認証技術が中心で、CAAは証明書発行の可否を示すDNSレコードでありメール判定には関係しません。
• エ: CAAはドメイン所有者が許可したCAでのみ証明書を発行させることを可能にするため、不正な証明書の発行リスクを低減します（これが正答）。

よくある誤解

• 鍵マークがあれば完全に安全：鍵マークは通信の機密性を示すに過ぎず、サイトの信頼性や正当性までは保証しません。
• CAAがあれば絶対に発行されない：CAAはCAがチェックすべきレコードですが、CAが無視した場合やDNSが改ざんされている場合には効果が薄れます。DNSSECと組み合わせるのが望ましいです。
• CAAは既存証明書を取り消す：CAAは新規発行時のチェック対象であり、既に発行済みの証明書を自動的に無効化する仕組みではありません。

補足コラム

• CAAの基本的なレコード例（DNSゾーンの記述例）：

example.com.  IN CAA 0 issue "letsencrypt.org"
example.com.  IN CAA 0 issuewild ";"
example.com.  IN CAA 0 iodef "mailto:security@example.com"

• タグの意味：
  • issue: 指定したCAに対してドメインの証明書発行を許可
  • issuewild: ワイルドカード証明書の発行を許可
  • iodef: インシデント通報先（レポート用）
• 実運用のポイント：
  • 複数CAを許可する場合は複数の issue レコードを置く。
  • サブドメインは親ドメインのCAAを継承する（サブドメイン専用に設定することも可能）。
  • DNSの改ざん対策としてDNSSECを導入するとより有効性が高まる。
• 規格と運用実績：
  • RFC 6844（CAAの仕様）は2013年に公開。実務上、CA/Browser Forumは2017年にCAに対してCAAのチェックを義務付けています。

FAQ