証明書チェーンと中間CAとは？しょうめいしょちぇーんとちゅうかんしーえー
証明書チェーンと中間CAとは、サーバ証明書から、それに署名した中間CA証明書、さらにその発行元のルート証明書へと署名をさかのぼって信頼をつなぐ並びが証明書チェーンで、ルートとサーバ証明書の間に挟まる認証局が中間CAである。ルートCAの秘密鍵はオフラインで厳重に保管して中間CAへの署名にしか使わず、日々の発行は中間CAに任せる。検証側は1段ずつ署名・有効期間・失効状態・用途を確かめる（証明書パス検証）。
最終更新：2026-10-06
情報処理安全確保支援士を最短で暗記・合格する →背景
ブラウザやOSに組み込まれたルート証明書は差し替えに何年もかかる。その秘密鍵で毎日サーバ証明書を発行していたら、1度の漏えいで世界中の信頼を作り直すことになる。そこでルートは中間CAに署名するだけの存在にして常時オフラインに置き、発行業務と事故時の切り離しを中間CAの層に寄せた。中間CAの鍵が危殆化しても、その中間CA証明書だけを失効させればルートは守れる。支援士では、パス検証の手順と中間証明書の配布漏れによる障害の切り分けが問われる。
具体例
Let's Encryptはルート「ISRG Root X1」で直接発行せず、中間CA「R10」「R11」などでサーバ証明書を発行する。certbotが出力するfullchain.pemはサーバ証明書と中間証明書を連結したもので、社内Webサーバにcert.pemだけを設定すると、ルートしか持たない一部のスマートフォンで警告が出る。
試験での引っ掛け
サーバが送るべきなのはサーバ証明書と中間CA証明書までで、ルート証明書は検証側の信頼ストアにあるので送らなくてよい（送っても無視される）。「一部の端末だけ警告が出る」原因の多くは中間証明書の配布漏れである。また中間CAが失効すれば配下の証明書はすべて無効になるため、失効確認はサーバ証明書1枚ではなくチェーンの各段で要る。
関連用語
出典・参考
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。