コードサイニング証明書とは？

コードサイニング証明書の意味

配布するソフトウェアに署名を付すための証明書。利用者は、そのソフトウェアの発行元が誰であるかと、配布後に改ざんされていないことを確認できる。

コードサイニング証明書の具体例

インストーラに署名し、OSが「発行元不明」の警告を出さないようにする。

コードサイニング証明書は試験でどう引っ掛けられる？

TLSのサーバ証明書と取り違えやすい。証明書の用途（拡張キー用途）が異なり、サーバ証明書でコード署名はできない。また署名で分かるのは発行元と改ざんの有無だけで、そのソフトウェアが安全・無害であることの保証にはならない。署名時にタイムスタンプを付けておけば、証明書の有効期限が切れた後も署名時点の有効性を示せる。

コードサイニング証明書と関連する用語

• デジタル署名
• 公開鍵基盤（PKI）

コードサイニング証明書が出た過去問

• 署名されたソフトウェアを導入する前に、そのソフトウェアの開発元又は発行元を確認するために使用する証明書はどれか。

  正解：コードサイニング証明書

  要点：ソフトの発行元と改ざん有無の確認はコードサイニング証明書

  コードサイニング証明書は、ソフトウェアの配布者が実行ファイルやドライバに署名するための証明書で、導入前に開発元・発行元が誰かと、配布後に改ざんされていないかを利用者が検証できる。サーバ証明書やクライアント証明書は通信相手の認証が目的であり、ソフトウェア本体の出所証明には用いない。

  出典：平成29年度 秋期 システムアーキテクト試験 am2 問23（IPA）

• ディジタル署名のあるソフトウェアをインストールするときに、そのソフトウェアの開発元又は発行元を確認するために使用する証明書はどれか。

  正解：コードサイニング証明書

  要点：ソフトの発行元と改ざん有無の確認はコードサイニング証明書

  コードサイニング証明書は、ソフトウェアの配布者が実行ファイルなどに署名するための証明書で、導入前に開発元・発行元が誰であるかと、配布途中で改ざんされていないことを利用者が検証できる。サーバ証明書やクライアント証明書は通信相手の認証が目的であり、用途が異なる。

  出典：令和1年度 秋期 システムアーキテクト試験 am2 問23（IPA）

• デジタル署名のあるソフトウェアをインストールするときに、そのソフトウェアの発行元を確認するために使用する証明書はどれか。

  正解：コードサイニング証明書

  要点：ソフトウェアの発行元を示す署名用証明書がコードサイニング証明書

  コードサイニング証明書は、実行形式のソフトウェアやドライバに対する署名に用いる証明書で、配布物の発行元が確かにその組織であることと、配布後に改変されていないことを利用者が確認できるようにする。インストール時に警告なく発行元名が示されるのは、この証明書による署名が検証された結果である。

  出典：令和6年度 春期 システムアーキテクト試験 am2 問17（IPA）