デジタル証明書とは？

デジタル証明書の意味

公開鍵とその所有者の識別名を結び付け、CAが秘密鍵で署名したデータ。X.509形式では、バージョン、シリアル番号、発行者名、有効期間、主体者名、主体者の公開鍵、拡張領域（SAN、鍵用途、CRL配布点、AIA等）、CAの署名が含まれる。

デジタル証明書の具体例

TLSでは、サーバがこの証明書を提示し、クライアントが署名の連鎖・有効期限・失効状態・ホスト名（SAN）の一致を検証する。

デジタル証明書は試験でどう引っ掛けられる？

証明書に秘密鍵は含まれない。また現在のブラウザはCommon NameではなくSAN（Subject Alternative Name）でホスト名を照合する。

デジタル証明書と関連する用語

• 認証局
• ストレージ接続形態（DAS・NAS・SAN）
• 証明書失効リスト（CRL）とOCSP

デジタル証明書が出た過去問

• AさんがBさんに暗号化メールを送信したい。S/MIME（Secure/Multipurpose Internet Mail Extensions）を利用して暗号…

  正解：Bさんはあらかじめ、自身の公開鍵証明書の発行を受けておく必要があるが、Aさんはその必要はない。

  要点：暗号化は受信者の公開鍵で行う。署名を付けるときは送信者にも証明書が要る

  S/MIMEでは、送信者は受信者の公開鍵でメールを暗号化し、受信者が自分の秘密鍵で復号する。したがって暗号化して送るだけであれば、必要なのは受信者側の公開鍵証明書であり、送信者が自分の証明書を持っている必要はない。なお送信者が電子署名も付ける場合には、送信者側にも証明書が必要になる。

  出典：平成24年度 秋期 ITパスポート試験 問56（IPA）

• AさんがBさんに署名付きメールを送信したい。S/MIME（Secure/Multipurpose Internet Mail Extensions）を利用して署…

  正解：Aさんはあらかじめ、自身の公開鍵証明書の発行を受けておく必要があるが、Bさんはその必要はない。

  要点：署名は送信者の秘密鍵で生成し、受信者は公開鍵で検証する

  デジタル署名は送信者が自分の秘密鍵で生成し、受信者は送信者の公開鍵（公開鍵証明書）で検証する。したがって署名を付けて送る側であるAさんは自分の公開鍵証明書を用意しておく必要があるが、検証するだけのBさんは自身の証明書を持つ必要がない。S/MIMEはメールソフト側の機能であり、特定のISPに属していることや、ISPの対応は条件にならない。

  出典：平成25年度 秋期 ITパスポート試験 問60（IPA）

• PKIにおけるCA（Certificate Authority）の役割に関する記述として、適切なものはどれか。

  正解：利用者の公開鍵に対する公開鍵証明書の発行や失効を行い、鍵の正当性を保証する。

  要点：CAは公開鍵証明書を発行・失効し鍵の正当性を保証する

  PKIにおける認証局（CA）は、利用者の公開鍵が本人のものであることを確認したうえでディジタル証明書を発行し、必要に応じて失効させる機関です。第三者としてこの手続を担うことで、公開鍵の正当性が保証されます。

  出典：令和6年度 秋期 ITパスポート試験 問66（IPA）

• PKIにおいて、ある条件に当てはまるデジタル証明書の情報が公開されているリストとしてCRLがある。このリストに掲載される条件として、適切なものはどれか。

  正解：有効期間内に失効している。

  要点：CRLは有効期間内に失効した証明書の一覧

  CRL（証明書失効リスト）は、有効期間がまだ残っているにもかかわらず、秘密鍵の漏えいや所属の変更などの理由で無効とされた証明書を一覧にしたものです。有効期間が満了した証明書は期限で自然に無効となるため、原則として掲載対象になりません。

  出典：令和7年度 秋期 ITパスポート試験 問87（IPA）