トラストアンカーとは？とらすとあんかー
トラストアンカーとは、証明書パス検証の終点として、それ以上署名をたどらずに無条件で信頼する公開鍵または証明書のこと。通常はOS・ブラウザ・Javaランタイムなどが持つルート証明書ストアがこれにあたり、サーバ証明書の検証は署名の連鎖がこの起点に到達したときだけ成功する。信頼ストアに不正な証明書が1枚入るだけで、その鍵で署名された偽サーバ証明書がすべて正当と判定されるため、ストアへの追加は最も厳しく統制すべき操作になる。
最終更新：2026-10-06
情報処理安全確保支援士を最短で暗記・合格する →背景
公開鍵暗号は「この公開鍵が本当にその相手のものか」を暗号だけでは証明できず、誰かの署名による保証を信じるしかない。その保証を無限にさかのぼることはできないので、どこかで「ここは信じる」と決めた起点が要る。それがトラストアンカーである。支援士では、TLS復号プロキシや社内CAの証明書を端末に配る場面で、起点を増やすことのリスクをどう統制するかが問われる。
具体例
社内のTLS復号プロキシ（FortiGateやPalo Alto NetworksのSSLインスペクション）を入れると、その装置のCA証明書をActive Directoryのグループポリシーで全端末の信頼ストアへ配布する。装置の秘密鍵が漏れれば社内から見る全サイトを偽装できるので、HSMでの鍵保護と管理者権限の分離が導入要件になる。
試験での引っ掛け
「自己署名だから危険」ではなく「自己署名証明書を信頼ストアに入れる判断」が危険度を決める。ルート証明書も自己署名だが、信頼ストアにあるから信頼される。またトラストアンカーは検証側の設定であり、サーバがルート証明書をチェーンに含めて送っても検証側の判断は変わらない。
関連用語
出典・参考
公式シラバスの3 技術要素 ＞ 1. 情報セキュリティ ＞ (8) 情報セキュリティに関する技術に掲載されている用語です。
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。