クロス認証（相互認証）とは？

クロス認証（相互認証）の意味

別々のトラストアンカーを持つPKI同士が互いのCA証明書に署名し合い、一方の配下で発行された証明書を他方でも検証できるようにする仕組み。組織統合や、政府認証基盤とブリッジCAを介した接続などで使われる。

クロス認証（相互認証）の具体例

ブリッジCAを経由して、企業のプライベートCAが発行した証明書を官公庁側で検証できるようにする。信頼を無制限に広げないよう、名前制約やポリシー制約を付けて対象ドメインと用途を絞るのが定石になる。

クロス認証（相互認証）は試験でどう引っ掛けられる？

「相互認証」という語は、クライアント証明書とサーバ証明書を双方が提示するTLSの相互認証（mTLS）と紛らわしい。クロス認証はCA同士の信頼関係の話であって、通信時の認証手順ではない。

クロス認証（相互認証）と関連する用語

• PKI
• 認証局（CA）
• ルート証明書／トラストアンカー

クロス認証（相互認証）が出た過去問

• IEEE 802.1Xで使われるEAP-TLSによって実現される認証はどれか。

  正解：ディジタル証明書による認証サーバとクライアントの相互認証

  要点：EAP-TLSは証明書によるサーバと端末の相互認証

  EAP-TLSは、サーバとクライアントの双方がディジタル証明書を提示し合って相互に認証する方式です。利用者にパスワードを持たせず、クライアント証明書で本人性を確認するため強固ですが、全端末への証明書配布が必要になります。

  出典：平成28年度 秋期 情報処理安全確保支援士試験 am2 問14（IPA）

• 認証にクライアント証明書を用いるプロトコルはどれか。

  正解：EAP-TLS

  要点：クライアント証明書を必須とするのはEAP-TLS

  EAP-TLSは、サーバ証明書とクライアント証明書の双方を用いて相互認証を行う方式です。パスワードを使わないため、辞書攻撃や漏えいの影響を受けにくい反面、全クライアントへの証明書配布と管理が必要です。

  出典：平成28年度 春期 情報処理安全確保支援士試験 am2 問16（IPA）

• コンテンツの不正な複製を防止する方式の一つであるDTCP-IPの説明として，適切なものはどれか。

  正解：DLNAとともに用いられ，接続する機器間で相互認証し，コンテンツ保護が行えると認識して初めて録画再生を可能にする方式

  要点：DTCP-IPは家庭内IP伝送を相互認証で保護する

  DTCP-IPは、家庭内のIPネットワーク上でコンテンツを保護するための方式で、DLNA対応機器と組み合わせて用いられます。機器同士が相互認証を行い、正しく保護できると確認できた場合にだけ伝送と再生を許します。

  出典：平成29年度 春期 情報処理安全確保支援士試験 am2 問23（IPA）

• IEEE 802.1Xで使われるEAP-TLSが行う認証はどれか。

  正解：ディジタル証明書による認証サーバとクライアントの相互認証

  要点：EAP-TLSは証明書によるサーバ・クライアントの相互認証

  EAP-TLSは、IEEE 802.1XのEAP方式のうち、認証サーバとクライアントの双方がディジタル証明書を提示して相互に認証する方式である。パスワードを用いないため辞書攻撃やフィッシングに強い一方、全クライアントに証明書を配布・管理する運用負荷が生じる。

  出典：令和1年度 秋期 情報処理安全確保支援士試験 am2 問16（IPA）

• IEEE 802.1Xで使われるEAP-TLSが行う認証はどれか。

  正解：ディジタル証明書による認証サーバとクライアントの相互認証

  要点：EAP-TLSは証明書によるサーバとクライアントの相互認証

  EAP-TLSは、認証サーバとクライアントの双方がディジタル証明書を提示し、TLSのハンドシェイクによって互いを検証する相互認証方式である。パスワードを用いないため、盗聴や推測、フィッシングによる資格情報の窃取に強い。半面、クライアント証明書を全端末へ配布・更新するPKIの運用負荷が伴う点が導入時の課題となる。

  出典：令和3年度 秋期 情報処理安全確保支援士試験 am2 問16（IPA）