Question 1

公開鍵基盤(PKI)の主な目的として最も適切なものはどれか。

Accepted Answer

認証局が発行する証明書によって、公開鍵の持ち主が本人であることを保証する。。【解説】公開鍵暗号方式は、公開鍵さえあれば誰でも利用できる一方、その公開鍵が本当に正しい相手のものであるかを確認できなければ、なりすましの危険がある。公開鍵基盤(PKI)は、信頼できる第三者機関である認証局(CA)が電子証明書を発行することで、公開鍵とその持ち主(本人)を結び付けて保証する仕組みであり、これがPKIの主な目的である。【他の選択肢が不適切な理由】通信データの圧縮によるネットワーク帯域の削減は、データ圧縮技術の役割であり、PKIの目的ではない。共通鍵を全利用者間で共有する発想は、そもそも鍵配送問題を解決するために公開鍵暗号方式やPKIが用いられる背景と矛盾する。サーバの負荷分散による応答速度の向上は、負荷分散技術の役割であり、公開鍵の正当性を保証するPKIの目的とは異なる。

Question 2

認証局(CA)の役割として最も適切なものはどれか。

Accepted Answer

申請者の身元を確認したうえで、公開鍵と身元情報を結び付けた証明書を発行する。。【解説】認証局(CA)は、証明書の発行を申請してきた個人や組織の身元を確認したうえで、その申請者の公開鍵に身元情報を結び付けた電子証明書を発行する、信頼できる第三者機関である。認証局自身が電子証明書にデジタル署名を行うことで、証明書の内容が改ざんされていないこと及び認証局が発行したものであることを保証する。【他の選択肢が不適切な理由】実際の通信データの暗号化・復号は利用者側の端末やソフトウェアが行う処理であり、認証局が代行するものではない。不正なパケットの検知や遮断は、ファイアウォールや侵入検知システムなどネットワークセキュリティ機器の役割であり、認証局の役割ではない。パスワードの一括管理によるシングルサインオンは、IDプロバイダなど別の仕組みの役割であり、電子証明書の発行を担う認証局の説明としては不適切である。

Question 3

認証局(CA)の下で、証明書発行申請者の本人確認業務を分担して行う機関はどれか。

Accepted Answer

RA(登録局)。【解説】RA(登録局、Registration Authority)は、認証局(CA)の業務のうち、証明書発行を申請してきた者の身元確認や申請内容の審査を分担して行う機関である。CAと機能を分離することで、身元確認業務の負荷を分散したり、審査業務の専門性を高めたりすることができ、証明書発行の実際の署名処理はCAが担う。【他の選択肢が不適切な理由】IdP(アイデンティティプロバイダ)は、シングルサインオンなどの文脈で認証情報を提供する主体であり、証明書発行時の本人確認を担うRAとは役割が異なる。TSA(時刻認証局)はタイムスタンプの発行を担う機関であり、証明書発行時の身元確認業務とは別の役割を持つ。OCSPレスポンダは証明書の失効状態をオンラインで応答する仕組みであり、発行前の身元確認とは無関係である。

Question 4

X.509形式の電子証明書に一般的に含まれる情報として、誤っているものはどれか。

Accepted Answer

証明書の所有者が過去のパスワード履歴に関する情報。【解説】X.509形式の電子証明書には、証明書の有効期間、所有者の公開鍵、所有者や発行者(認証局)の識別情報、そして発行者である認証局によるデジタル署名などが含まれる。これらの情報により、公開鍵の正当性と証明書自体の非改ざん性を検証できる。パスワードの履歴のような機密性の高い認証情報は、証明書の性質上そもそも記載する必要がなく、実際にも含まれない。【他の選択肢が不適切な理由】有効期間、公開鍵、認証局のデジタル署名はいずれもX.509証明書の標準的な項目として実際に含まれる情報であり、誤った記述ではない。これらは公開鍵の正当性を検証するために不可欠な情報である。

Question 5

自己署名証明書(ルート証明書)について述べたものとして最も適切なものはどれか。

Accepted Answer

認証局自身が自らの秘密鍵で署名した証明書で、信頼の起点として利用される。。【解説】ルート証明書は、それより上位の認証局が存在しないため、認証局自身が自らの秘密鍵で自分の証明書に署名する自己署名証明書である。OSやWebブラウザにあらかじめ組み込まれることで、利用者の端末がこの証明書を無条件に信頼する起点となり、そこから発行される中間CA証明書やサーバ証明書の正当性を段階的にたどって検証できるようになる。【他の選択肢が不適切な理由】上位の認証局による署名を受けるのは中間CA証明書やサーバ証明書であり、上位が存在しないルート証明書自体の説明としては誤りである。利用者本人が発行するという説明も誤りで、ルート証明書は認証局が発行するものである。ルート証明書にも有効期限は設定されており、必要であれば失効させることも制度上可能である。

Question 6

ルート証明書、中間CA証明書、サーバ証明書がつながって構成される、証明書の正当性を段階的にたどれる仕組みを何と呼ぶか。

Accepted Answer

証明書チェーン。【解説】証明書チェーンとは、信頼の起点であるルート証明書から中間CA証明書、そして実際に通信相手を識別するサーバ証明書へと、それぞれの証明書が上位の証明書によって署名されている関係でつながった構造である。Webブラウザなどは、サーバ証明書から順にたどってルート証明書まで検証を行うことで、途中のいずれか一つでも不正がなければ証明書全体を信頼できると判断する。【他の選択肢が不適切な理由】ブロックチェーンは取引履歴などを分散台帳で管理する別の技術であり、証明書の階層構造とは異なる仕組みである。サプライチェーンは製品や部品の調達から供給までの流れを指す用語であり、電子証明書の話とは無関係である。バリューチェーンは企業活動における価値創出の連鎖を表す経営学の用語であり、証明書の検証構造とは異なる分野の用語である。

Question 7

有効期限内であっても、秘密鍵の漏えいなどの理由で失効した証明書の一覧を、認証局が定期的に公開する仕組みはどれか。

Accepted Answer

CRL(証明書失効リスト)。【解説】CRL(証明書失効リスト)は、有効期限が切れていなくても、秘密鍵の漏えいや記載内容の変更などの理由で失効させた証明書の一覧を、発行した認証局が定期的に更新して公開する仕組みである。証明書を検証する側は、このCRLを参照することで、有効期限内であっても既に失効している証明書を誤って信頼してしまう事態を防ぐことができる。【他の選択肢が不適切な理由】ACL(アクセス制御リスト)は、ファイルやネットワーク機器へのアクセス権限を定義する仕組みであり、証明書の失効状態を扱うものではない。DNSブラックリストは、迷惑メール送信元などの不正なIPアドレスやドメインを列挙する仕組みであり、証明書失効とは異なる用途である。ホワイトリストは許可する対象を列挙する仕組みであり、失効した証明書を列挙するCRLとは目的が逆である。

Question 8

証明書が失効しているかどうかを、CRLをダウンロードせずにその都度リアルタイムに問い合わせて確認できる仕組みはどれか。

Accepted Answer

OCSP(オンライン証明書状態プロトコル)。【解説】OCSP(オンライン証明書状態プロトコル)は、証明書のシリアル番号などをOCSPレスポンダと呼ばれるサーバへ問い合わせることで、その証明書が有効か失効しているかをリアルタイムに確認できる仕組みである。サイズの大きなCRL全体をダウンロードする必要がなく、最新の失効状態を効率よく確認できるため、CRLを補完する仕組みとして広く利用されている。【他の選択肢が不適切な理由】LDAP(軽量ディレクトリアクセスプロトコル)は、組織内のユーザー情報などを管理するディレクトリサービスへアクセスするためのプロトコルであり、証明書の失効確認を目的とするものではない。SNMP(簡易ネットワーク管理プロトコル)はネットワーク機器の状態を監視・管理するためのプロトコルであり、証明書の失効確認とは異なる用途である。NTP(ネットワークタイムプロトコル)は機器の時刻を同期するためのプロトコルであり、証明書の失効状態の確認とは無関係である。

Question 9

SSL/TLSサーバ証明書の種類のうち、実在する組織の存在まで審査したうえで発行され、他の種類より高い信頼性の審査水準を持つものはどれか。

Accepted Answer

EV証明書。【解説】EV(Extended Validation)証明書は、ドメインの利用権限に加えて、申請組織が法的に実在することまで厳格に審査したうえで発行されるサーバ証明書であり、DV証明書やOV証明書と比べて最も高い水準の審査を経ている。組織の実在性が確認されている分、フィッシングサイトなどへの悪用がされにくいという特長がある。【他の選択肢が不適切な理由】DV証明書はドメインの利用権限のみを審査して発行される、最も簡易な水準の証明書であり、組織の実在性までは確認しない。OV証明書はドメインに加えて組織の実在性もある程度審査するが、EV証明書ほど厳格な審査ではない。自己署名証明書は認証局を介さず自身で発行する証明書であり、第三者による組織の審査を経ていないため、公開のWebサイトの信頼性証明には適さない。

Question 10

WebブラウザがWebサイトのサーバ証明書を検証する際に確認する項目として、適切でないものはどれか。

Accepted Answer

サーバソフトウェアのバージョンが最新かどうかということ。【解説】Webブラウザはサーバ証明書を検証する際、有効期限内かどうか、証明書チェーンをたどって信頼できる認証局のデジタル署名によるものかどうか、そしてアクセス先のドメイン名と証明書に記載されたドメイン名が一致しているかどうかなどを確認する。これらはいずれも証明書の正当性やなりすましの有無を判断するために必要な項目である。【他の選択肢が不適切な理由】有効期限、認証局の署名、ドメイン名の一致は、いずれも実際にブラウザが行う標準的な証明書検証の項目であり、適切な確認内容である。一方、サーバソフトウェアのバージョンはサーバの脆弱性対策として重要な運用上の観点ではあるが、ブラウザが行うサーバ証明書自体の検証項目(有効期限・発行者の署名・ドメイン名の一致)には含まれない。

公開鍵基盤(PKI)と電子証明書の一問一答