証明書署名要求（CSR）とは？しょうめいしょしょめいようきゅう
証明書署名要求（CSR）とは、認証局へ証明書の発行を申請するときに送る、公開鍵と主体者情報（コモンネームや組織名など）をひとまとめにし、申請者自身の秘密鍵で署名したデータ。認証局は署名を検証するだけで、申請者がその公開鍵に対応する秘密鍵を確かに保持していること、すなわち鍵の所有を確かめられる。
最終更新：2026-10-06
情報処理安全確保支援士を最短で暗記・合格する →背景
認証局が「この公開鍵はこの組織のものだ」と保証するには、鍵の持ち主が申請者本人かを確かめる必要がある。かといって秘密鍵を送らせれば、その時点で秘密鍵の意味が失われる。秘密鍵を渡さずに所有だけを示す方法として、自らの秘密鍵で署名した申請データを送る形が採られた。試験ではPKIの手続きの順序を問う設問で登場する。
具体例
形式はPKCS #10として標準化され、OpenSSLの openssl req コマンドで生成するのが一般的。Let's EncryptのACMEでは、certbotなどのクライアントが鍵ペアの生成からCSRの作成、ドメイン管理権限の確認、証明書の取得までを自動で行い、秘密鍵はサーバの外に出ない。
試験での引っ掛け
CSRに秘密鍵が入っていると読むのが誤りで、含まれるのは公開鍵と申請情報。署名が示すのは鍵の所有だけで、その組織が実在するか、そのドメインを管理しているかの審査は認証局が別の手段（ドメイン検証・組織実在確認）で行う。同じCSRで再発行すれば鍵は変わらないため、鍵の漏えいが疑われる場面では鍵ペアから作り直す。
関連用語
出典・参考
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。