システム監査技術者 2021年 午前2 問17

コードサイニング証明書【午前2解説】

正解の理由

解法ステップ

1. 設問の目的が「ソフトウェアの発行元の確認」であることに注目します。
2. ソフトウェアに付けるディジタル署名に使う証明書を考えます。
3. ソフトウェアの署名に使用するコードサイニング証明書を選びます。

選択肢別の誤答解説

• ア：EV SSL証明書
  Webサイト運営者の実在性を厳格に確認するための証明書です。主にWebサイトの認証に使われ、ソフトウェアへの署名には使いません。
• イ：クライアント証明書
  利用者や端末を認証するための証明書です。たとえば、利用者がサーバに接続するときの本人確認に使われます。
• ウ：コードサイニング証明書
  ソフトウェアにディジタル署名を付け、発行元や改ざんの有無を確認するための証明書です。
• エ：サーバ証明書
  Webサーバなどの正当性を確認し、通信を暗号化するための証明書です。ソフトウェアの発行元を確認する用途とは異なります。

よくある誤解

• ディジタル署名があれば、そのソフトウェアが安全だと保証されるわけではありません。確認できるのは、主に署名者と署名後の改ざんの有無です。
• サーバ証明書も発行元を証明するものですが、対象はサーバです。ソフトウェアの署名にはコードサイニング証明書を使います。
• クライアント証明書とコードサイニング証明書は、どちらも証明書ですが、認証する対象が異なります。

補足コラム

FAQ