PKIの認証局CAは何をする？DNSなどとの区別を整理
ITパスポート試験 令和6年度 問66 ／ セキュリティ › 情報セキュリティ対策・実装技術
過去問にチャレンジ
PKIにおけるCA(Certificate Authority)の役割に関する記述として，適切なものはどれか。
- ア
インターネットと内部ネットワークの間にあって，内部ネットワーク上のコンピュータに代わってインターネットにアクセスする。
- イ
インターネットと内部ネットワークの間にあって，パケットフィルタリング機能などを用いてインターネットから内部ネットワークへの不正アクセスを防ぐ。
- ウ
利用者に指定されたドメイン名を基にIPアドレスとドメイン名の対応付けを行い，利用者を目的のサーバにアクセスさせる。
- エ
利用者の公開鍵に対する公開鍵証明書の発行や失効を行い，鍵の正当性を保証する。
会話形式の解説
講師今回はPKIの中で、CAがどんな役割を担っているかを問う問題です。選択肢にはネットワークやセキュリティに関わるほかの仕組みの説明が混ざっているので、それぞれ何の説明なのかを見分けるのがポイントです。
受験者PKIもCAも略語なので、正直どちらが何なのか混ざってしまいます。どれも「インターネット」や「アクセス」の話に見えて迷いました。
講師まず言葉を整理しましょう。PKIは公開鍵基盤のことで、公開鍵暗号方式を安全に使うための基盤です。CAは認証局のことで、その中で公開鍵証明書を発行する第三者機関です。
受験者そうすると、公開鍵と証明書について書かれている選択肢がCAの説明になりそうですね。証明書の発行や失効を行って鍵の正当性を保証するという内容が当てはまると思います。
講師そのとおりです。CAは、所有者の情報と公開鍵を結び付けた証明書に、CA自身の電子署名を付けて発行します。秘密鍵が漏えいした場合などは、その証明書を失効させます。発行だけでなく失効も役割に含まれる点が大切です。
受験者内部ネットワークのコンピュータに代わってインターネットにアクセスするという説明は、CAではなく別の仕組みですよね。
講師はい、それはプロキシの役割です。代理でアクセスする仕組みですね。パケットフィルタリングなどで外部からの不正アクセスを防ぐという説明はファイアウォールで、内部と外部の境界で通信を制御するものです。
受験者ドメイン名とIPアドレスを対応付けて目的のサーバにアクセスさせるという説明は、DNSの名前解決のことでしょうか。
講師そうです。DNSは名前解決の仕組みなので、証明書の発行や失効とは関係がありません。CAは通信を中継したり制御したりする装置ではなく、証明書を扱う機関だと考えると区別しやすくなります。
受験者整理すると、プロキシは代理アクセス、ファイアウォールは不正アクセスの防止、DNSは名前解決、CAは公開鍵証明書の発行と失効で鍵の正当性を保証する、ということですね。
講師よくまとまっています。補足すると、証明書が失効しているかどうかは、失効した証明書の一覧であるCRL（証明書失効リスト）や、失効状況をオンラインで問い合わせるOCSPで確認できます。失効の確認にはCRLやOCSPが使われるので、CAとセットで覚えておきましょう。
まとめ
PKI（公開鍵基盤）は公開鍵暗号方式を安全に使うための基盤で、CA（認証局）はその中で公開鍵証明書を発行する第三者機関です。CAは所有者の情報と公開鍵を結び付けた証明書に自らの電子署名を付けて発行し、秘密鍵の漏えいなどがあれば証明書を失効させます。代理アクセスはプロキシ、不正アクセスの防止はファイアウォール、名前解決はDNSの役割なので、CAとは区別します。証明書の失効状況はCRLやOCSPで確認できます。
解答・解説
正解はエです
この問題のテーマ
PKI（公開鍵基盤）で、CA（認証局）がどんな役割を担うのかを問う問題です。ネットワークやセキュリティに関わるほかの仕組みの説明と区別できるかが問われます。
解き方の考え方
まず、PKIは公開鍵暗号方式を安全に使うための基盤で、CAはその中で公開鍵証明書を発行する第三者機関だと押さえます。次に、各選択肢がどの仕組みの説明なのかを考えます。プロキシ、ファイアウォール、DNSの説明を除いていくと、証明書と公開鍵について述べた選択肢だけが残ります。
選択肢ごとの解説
- ×ア インターネットと内部ネットワークの間にあって，内部ネットワーク上のコンピュータに代わってインターネットにアクセスする。アの、内部ネットワークのコンピュータに代わってインターネットにアクセスするという説明は、プロキシの役割です。CAは通信を中継する装置やサーバではなく、公開鍵証明書を扱う機関なので当てはまりません。
- ×イ インターネットと内部ネットワークの間にあって，パケットフィルタリング機能などを用いてインターネットから内部ネットワークへの不正アクセスを防ぐ。イの、パケットフィルタリングなどで外部からの不正アクセスを防ぐという説明は、ファイアウォールの役割です。ファイアウォールは内部と外部の境界で通信を制御するもので、鍵の正当性を保証するCAの役割とは異なります。
- ×ウ 利用者に指定されたドメイン名を基にIPアドレスとドメイン名の対応付けを行い，利用者を目的のサーバにアクセスさせる。ウの、ドメイン名とIPアドレスを対応付けて目的のサーバにアクセスさせるという説明は、DNSの役割です。名前解決の仕組みであり、証明書の発行や失効とは関係がありません。
- ○エ 利用者の公開鍵に対する公開鍵証明書の発行や失効を行い，鍵の正当性を保証する。エの、公開鍵証明書の発行や失効を行って鍵の正当性を保証するという説明が、CAの役割です。CAは所有者の情報と公開鍵を結び付けた証明書に自らの電子署名を付けて発行します。秘密鍵の漏えいなどがあった場合には、その証明書を失効させます。
補足
CAの役割には、証明書の発行だけでなく失効も含まれます。CRL（証明書失効リスト）は失効した証明書の一覧で、OCSPは証明書の失効状況をオンラインで問い合わせる仕組みです。なお、CAは証明書の検証に使う自らの公開鍵や運用規定（CPS）を公開するのが一般的です。
POINT
- PKIは、公開鍵暗号方式を安全に利用するための基盤（公開鍵基盤）です。
- CA（認証局）は、公開鍵証明書を発行する第三者機関です。
- CAは、所有者の情報と公開鍵を結び付けた証明書に、CA自身の電子署名を付けます。
- 秘密鍵の漏えいなどがあると、CAは証明書を失効させます。失効しているかどうかはCRLやOCSPで確認できます。
- プロキシは代理アクセス、ファイアウォールは不正アクセスの防止、DNSは名前解決を担う仕組みとして区別しておきましょう。