認証局（CA）とは？にんしょうきょく
認証局（CA）とは、公開鍵とその持ち主の対応を審査したうえでディジタル証明書を発行し、自らの署名で保証する第三者機関。PKIにおける信頼の起点であり、失効した証明書をCRLやOCSPで公表する役割も担う。申請受付と本人確認だけを分担する登録局（RA）とは機能が分かれている。
最終更新：2026-10-06
この語が出る過去問を解く →背景
公開鍵は公開してよいが、「その鍵が本当に相手のものか」は暗号技術だけでは決められない。偽の公開鍵をつかまされれば中間者攻撃が成立してしまう。そこで当事者どうしではなく、双方が信頼する第三者に対応関係を保証させる仕組みが作られた。ブラウザやOSにあらかじめ組み込まれたルート証明書が、この信頼の連鎖の根にあたる。
具体例
WebサイトのHTTPS証明書は、DigiCertのような商用CAや無償のLet's Encryptが発行する。ブラウザはサーバ証明書から中間CA証明書をたどり、内蔵のルート証明書へ到達できるかどうかで正当性を確かめている。
試験での引っ掛け
CAが扱うのは公開鍵であって、利用者の秘密鍵を預かって管理する機関ではない。発行はCA、申請受付と本人確認はRAと役割が分かれる。有効期限内でも失効している証明書があり、CRLやOCSPで確認しない限り正当性は担保されない。
関連用語
出た過去問
出典：平成29年度 秋期 応用情報技術者試験 午前 問36（IPA）
認証局が発行するCRLに関する記述のうち、適切なものはどれか。
正解：CRLには、有効期限内のディジタル証明書のうち失効したディジタル証明書と失効した日時の対応が提示される。
要点：CRLは有効期限内に失効した証明書の一覧である
CRLは認証局が発行する証明書失効リストで、有効期限内であるにもかかわらず、秘密鍵の漏えいや所属変更などの理由で失効させたディジタル証明書のシリアル番号と、失効した日時が登録される。検証側はCRLを取得して、対象の証明書が失効していないかを確認する。
出典：平成29年度 春期 応用情報技術者試験 午前 問37（IPA）
A社のWebサーバは，サーバ証明書を使ってTLS通信を行っている。PCからA社のWebサーバへのTLSを用いたアクセスにおいて，当該PCがサーバ証明書を入手した…
正解：サーバ証明書の正当性を，認証局の公開鍵を使って検証する。
要点：認証局の公開鍵はサーバ証明書の署名検証に使う
サーバ証明書には認証局が自身の秘密鍵で付けた署名が含まれている。PCは、あらかじめ持っている認証局の公開鍵でこの署名を検証し、証明書が改ざんされておらず正当な認証局が発行したものであることを確かめる。共通鍵のやり取りには証明書に入っているサーバの公開鍵を使う。
出典：令和2年度 10月試験 応用情報技術者試験 午前 問36（IPA）
認証局が発行するCRLに関する記述のうち、適切なものはどれか。
正解：CRLには、有効期限内のディジタル証明書のうち失効したディジタル証明書のシリアル番号と失効した日時の対応が提示される。
要点：CRLは有効期限内に失効した証明書の番号と日時の一覧
CRL（証明書失効リスト）は認証局が定期的に発行するリストで、有効期限内でありながら失効させられた証明書のシリアル番号と失効日時が載る。秘密鍵そのものは載らず、有効期限切れの証明書は自然に無効になるため登録の対象外である。
出典・参考
公式シラバスの3 技術要素 ＞ 1. 情報セキュリティ ＞ (8) 情報セキュリティに関する技術に掲載されている用語です。
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。