デジタル証明書とは？でじたるしょうめいしょ
デジタル証明書とは、通信相手が名乗る名前と、提示された公開鍵が確かに結び付いていることを、認証局（CA）の署名によって第三者が保証する仕組み。受け取った側は署名の連鎖をルート証明書までたどれるかどうかで真正性を判断し、用途によりサーバ証明書・クライアント証明書・コードサイニング証明書に分かれる。
最終更新：2026-10-06
この語が出る過去問を解く →背景
公開鍵暗号は鍵を公開してよいのが利点だが、その公開鍵が本当に相手のものかは鍵自体からは判断できない。偽の公開鍵をつかまされれば、暗号化していても攻撃者に読まれる。そこで信頼できる第三者の署名を鍵へ添え、ルート証明書を信頼の基点とする階層（PKI）を作った。書式はX.509として標準化され、有効期間や失効の確認先（CRL配布点・AIA）、用途を示す拡張領域まで証明書自体に書き込まれている。
具体例
HTTPSへ接続したブラウザは、サーバが提示した証明書の署名連鎖をルート証明書までたどり、有効期限、CRLやOCSPによる失効状態、SANとホスト名の一致を検証する。Let's Encryptは自動発行と90日の短い有効期間により、この検証をWeb全体へ広げた。
試験での引っ掛け
証明書に秘密鍵は含まれない——入っているのは公開鍵だけで、秘密鍵は所有者だけが保持する。ホスト名の照合は現在のブラウザではCommon NameではなくSAN（Subject Alternative Name）で行う。有効期限内でも失効していれば無効であり、その確認はCRLかOCSPで別途行う。
関連用語
出た過去問
出典：令和4年度 秋期 応用情報技術者試験 午前 問38（IPA）
デジタル証明書が失効しているかどうかをオンラインで確認するためのプロトコルはどれか。
正解：OCSP
要点：OCSPは証明書の失効状態をオンラインで問い合わせる
OCSP（Online Certificate Status Protocol）は、デジタル証明書の失効状態をレスポンダに問い合わせてリアルタイムに確認するプロトコルです。CRL（証明書失効リスト）を丸ごと取得する方式に比べ、確認が即時で通信量も小さく済みます。
出典：令和7年度 秋期 応用情報技術者試験 午前 問39（IPA）
CRLに関する記述のうち、適切なものはどれか。
正解：認証局は、有効期限内のデジタル証明書が失効されたとき、そのシリアル番号をCRLに記載する。
要点：CRLは有効期限内に失効した証明書のシリアル番号の一覧
CRL（証明書失効リスト）は、有効期限内であるにもかかわらず鍵の危殆化などの理由で失効させられた証明書のシリアル番号と失効日時を、認証局が署名して公開する一覧である。有効期限が切れた証明書はそもそも無効なのでCRLに載せ続ける必要はない。
出典：令和7年度 春期 応用情報技術者試験 午前 問38（IPA）
PKIを構成するOCSPを利用する目的はどれか。
正解：デジタル証明書が失効しているかどうかの状態を問い合わせる。
要点：OCSPは証明書の失効状態をオンラインで個別照会する仕組み
OCSP（Online Certificate Status Protocol）は、デジタル証明書が失効していないかをオンラインで問い合わせるプロトコルである。CRL（証明書失効リスト）を丸ごと取得して調べる方式に比べ、対象の証明書だけをレスポンダーに照会するので、通信量が小さく最新の状態を得やすい。
出典・参考
公式シラバスの3 技術要素 ＞ 1. 情報セキュリティ ＞ (8) 情報セキュリティに関する技術に掲載されている用語です。
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。