ルート証明書／トラストアンカーとは？るーとしょうめいしょとらすとあんかー
ルート証明書／トラストアンカーとは、証明書パス検証の起点として、それ以上さかのぼらずに信頼すると決めた自己署名の認証局証明書。OSやブラウザのトラストストアにあらかじめ組み込まれ、サーバ証明書から中間CA証明書を経てこのルートまで署名の連鎖がつながったときだけ、相手の証明書は正当と判断される。信頼はここから始まるので、ルートの保護がPKI全体の前提になる。
最終更新：2026-10-06
情報処理安全確保支援士を最短で暗記・合格する →背景
公開鍵で相手を検証するには「その公開鍵が本当に相手のものか」を誰かが保証する必要があり、その保証をさらに保証していくとどこかで止めなければ無限にさかのぼる。止める場所として「配布の時点で信じる」と決めた鍵がトラストアンカーで、暗号ではなく運用で担保する信頼である。支援士では証明書パス検証の起点として、社内CAの配布やルートの不正追加と絡めて問われる。
具体例
Windowsの証明書ストアやmacOSのキーチェーンには、DigiCertやGlobalSignのルート証明書が最初から入っている。社内システム用にActive Directory証明書サービスでプライベートCAを立てるなら、そのルート証明書をグループポリシーで全端末へ配布して初めて、社内発行のサーバ証明書が警告なしで通る。
試験での引っ掛け
ルートが信頼されるのは暗号的に証明されたからではなく、配布時に「信頼する」と決めたからにすぎない。攻撃者が端末へ不正なルートを追加できれば任意サイトの偽証明書が正当に見えるため、ルートストアの改変検知も対策に含める。旧ルートしか持たない古い機器は、新ルートへの移行後に検証に失敗する点も落としやすい。
関連用語
出典・参考
公式シラバスの3 技術要素 ＞ 1. 情報セキュリティ ＞ (8) 情報セキュリティに関する技術に掲載されている用語です。
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。