認証局（CA）とは？

認証局（CA）の意味

ディジタル証明書を発行し、公開鍵とその持ち主の対応関係を保証する第三者機関。利用者や組織の身元を確認したうえで証明書に自らの署名を付与し、信頼の起点となる。

認証局（CA）の具体例

企業がWebサーバの証明書を取得する際、認証局に申請書類を提出し、審査を経て証明書が発行される。

認証局（CA）は試験でどう引っ掛けられる？

認証局が発行するのは証明書であって、利用者の秘密鍵を預かって管理する機関ではない。また申請の受付・本人確認を担う登録局（RA）と、証明書を発行する認証局（CA）は役割が分かれている点も問われる。

認証局（CA）と関連する用語

• ディジタル証明書
• ルート証明書
• PKI

認証局（CA）が出た過去問

• なりすましメールでなく、EC（電子商取引）サイトから届いたものであることを確認できる電子メールはどれか。

  正解：ディジタル署名の署名者のメールアドレスのドメインがECサイトのものであり、署名者のディジタル証明書の発行元が信頼できる組織のものである。

  要点：送信者の正当性は認証局が裏付けた電子署名で確認する

  送信元メールアドレスは容易に詐称できるため、アドレスやドメイン、本文末尾の署名を見ても送信者の正当性は確認できない。信頼できる認証局が発行したディジタル証明書に基づくディジタル署名が検証できて初めて、送信者が名乗るとおりの主体であり、内容も改ざんされていないことを確認できる。公開鍵の正当性を第三者である認証局が保証する仕組みが要点である。

  出典：平成28年度 秋期 情報セキュリティマネジメント試験 午前 問28（IPA）

• PKI（公開鍵基盤）における認証局が果たす役割はどれか。

  正解：失効したディジタル証明書の一覧を発行する。

  要点：認証局は証明書の発行と失効リストの公開を担う

  認証局（CA）は、公開鍵が確かに本人のものであることを保証するディジタル証明書を発行し、また鍵の危殆化や失効事由が生じた証明書を失効リスト（CRL）として公開する役割を担う。利用者は証明書を検証する際にCRLやOCSPで失効状況を確認する必要があり、この失効管理までを含めてPKIの信頼が成り立っている。暗号化や署名検証そのものを行うのは利用者側である。

  出典：平成28年度 秋期 情報セキュリティマネジメント試験 午前 問29（IPA）

• 公開鍵暗号を利用した電子商取引において、認証局（CA）の役割はどれか。

  正解：取引当事者の公開鍵に対するディジタル証明書を発行する。

  要点：認証局は公開鍵の持ち主を保証する証明書を発行する

  認証局（CA）は、公開鍵とその持ち主の対応が正しいことを審査したうえで、自らの署名を付したディジタル証明書を発行する。これにより、受け取った公開鍵が本当に相手のものかを第三者機関の保証によって確認できる。

  出典：平成28年度 春期 情報セキュリティマネジメント試験 午前 問24（IPA）

• ルート認証局についての記述はどれか。

  正解：信頼される第三者機関として，認証局運用規程を公開している。

  要点：ルート認証局は自己署名の信頼の起点で運用規程を公開する

  ルート認証局は認証局の階層構造の頂点に位置し、自らの証明書を自分で署名する自己署名証明書をもつ。上位が存在しないため、信頼される第三者機関として認証局運用規程（CPS）を公開し、運用の適切さを示すことで信頼を得る。

  出典：平成29年度 秋期 情報セキュリティマネジメント試験 午前 問26（IPA）

• 情報セキュリティにおけるタイムスタンプサービスの説明はどれか。

  正解：電子データが、ある日時に確かに存在していたこと、及びその日時以降に改ざんされていないことを証明するサービス

  要点：タイムスタンプは存在証明と以後の非改ざんを証明する

  タイムスタンプサービスは、電子データのハッシュ値に信頼できる第三者（時刻認証局）が時刻情報を結び付けて署名することで、そのデータが指定時刻に存在していたこと（存在証明）と、それ以降改ざんされていないこと（完全性）を証明する。時刻同期を目的とするNTPとは役割が異なる。

  出典：平成29年度 春期 情報セキュリティマネジメント試験 午前 問10（IPA）