PKIとは？

PKIの意味

公開鍵とその持ち主の対応関係を、信頼できる第三者（認証局）の署名によって保証する仕組みの総体。認証局（CA）、登録局（RA）、検証局（VA）、リポジトリ、証明書ポリシー（CP）と認証局運用規程（CPS）から構成される。

PKIの具体例

WebサーバのTLS証明書、社員のクライアント証明書、コード署名証明書がいずれもPKIの上で発行・失効・検証される。

PKIは試験でどう引っ掛けられる？

登場人物の役割を取り違えやすい。申請者の本人確認・受付はRA（登録局）、証明書への署名・発行はCA（認証局）、失効状態の応答はVA（検証局）。またCPとCPSも向きが逆になりがちで、CP＝満たすべき要件（何を）、CPS＝その実現手順（どうやって）。

PKIと関連する用語

• 認証局
• デジタル証明書
• CRL
• OCSP

PKIが出た過去問

• PKIを構成するOCSPを利用する目的はどれか。

  正解：ディジタル証明書の失効情報を問い合わせる。

  要点：OCSPは証明書の失効状態をオンラインで確認する

  OCSPは、証明書が失効していないかをレスポンダにオンラインで問い合わせるプロトコルです。CRL全体を取得して調べる方式に比べ、必要な証明書の状態だけを即時に確認でき、失効情報の鮮度も高くなります。

  出典：平成28年度 春期 情報処理安全確保支援士試験 am2 問3（IPA）

• PKIを構成するOCSPを利用する目的はどれか。

  正解：ディジタル証明書の失効情報を問い合わせる。

  要点：OCSPは証明書の失効状態をオンラインで即時照会する

  OCSPは、証明書の失効状態をオンラインでリアルタイムに問い合わせるためのプロトコルである。クライアントが対象証明書の識別情報をOCSPレスポンダに送ると、レスポンダはgood／revoked／unknownの状態を署名付きで返す。CRLを丸ごとダウンロードする方式に比べ、通信量が小さく最新性が高いという利点がある。

  出典：平成29年度 秋期 情報処理安全確保支援士試験 am2 問2（IPA）

• VA（Validation Authority）の役割はどれか。

  正解：ディジタル証明書の失効状態についての問合せに応答する。

  要点：VAは証明書の失効状態の問合せに応答する機関

  VA（Validation Authority）は、PKIにおいてディジタル証明書の失効状態の確認だけを専門に担う機関である。CAが発行するCRLを集約して保持し、利用者からのOCSPなどによる問合せに対して、その証明書が有効か失効済みかを即時に応答する。証明書の発行や本人確認を行うCA・RAとは役割が分かれている点を押さえたい。

  出典：令和1年度 秋期 情報処理安全確保支援士試験 am2 問3（IPA）

• PKIを構成するOCSPを利用する目的はどれか。

  正解：ディジタル証明書の失効情報を問い合わせる。

  要点：OCSPは証明書の失効状態をオンラインで照会する

  OCSPは、ディジタル証明書が失効していないかを個別に問い合わせるためのプロトコルである。CRLをまとめて取得して検索する方式に比べ、必要な証明書の状態だけをOCSPレスポンダに尋ねて即座に応答を得られるため、通信量が小さく、より新しい失効情報を反映できる。

  出典：令和1年度 春期 情報処理安全確保支援士試験 am2 問2（IPA）

• IEEE 802.1Xで使われるEAP-TLSが行う認証はどれか。

  正解：ディジタル証明書による認証サーバとクライアントの相互認証

  要点：EAP-TLSは証明書によるサーバとクライアントの相互認証

  EAP-TLSは、認証サーバとクライアントの双方がディジタル証明書を提示し、TLSのハンドシェイクによって互いを検証する相互認証方式である。パスワードを用いないため、盗聴や推測、フィッシングによる資格情報の窃取に強い。半面、クライアント証明書を全端末へ配布・更新するPKIの運用負荷が伴う点が導入時の課題となる。

  出典：令和3年度 秋期 情報処理安全確保支援士試験 am2 問16（IPA）