(Translated by https://www.hiragana.jp/)
公開鍵証明書 - Wikipedia コンテンツにスキップ

公開こうかいかぎ証明しょうめいしょ

出典しゅってん: フリー百科ひゃっか事典じてん『ウィキペディア(Wikipedia)』
デジタル証明しょうめいしょから転送てんそう
公開こうかいかぎ証明しょうめいしょ発行はっこうプロセス

暗号あんごう技術ぎじゅつにおいて、公開こうかいかぎ証明しょうめいしょ(こうかいかぎしょうめいしょ、public key certificate)とは、公開こうかいかぎと、その所有しょゆうしゃ同定どうてい情報じょうほう(その有効ゆうこう期間きかん発行はっこうしゃ署名しょめいアルゴリズムなどの情報じょうほうふくむ)をむすびつける証明しょうめいしょである。デジタル証明しょうめいしょともばれる。 公開こうかいかぎたんにバイナリデータであるため、公開こうかいかぎ所有しょゆうしゃ本人ほんにんものであることを確認かくにんするために証明しょうめいしょ必要ひつようとなる。 通常つうじょう公開こうかいかぎ証明しょうめいしょ」とばれるものには、公開こうかいかぎそのもののデータもふくまれている。

概要がいよう[編集へんしゅう]

公開こうかいかぎ証明しょうめいしょは、公開こうかいかぎ暗号あんごうひろ範囲はんい使用しようする場合ばあいもちいられる。ユーザー同士どうし暗号あんごうかぎ直接ちょくせつやりとりするのは、よほどちいさなネットワークでないかぎ実用じつようてきではない。公開こうかいかぎ暗号あんごうはこのかぎ配送はいそう問題もんだい回避かいひする手段しゅだん提供ていきょうする。

たとえばある通信つうしん当事とうじしゃ (ここではアリスぶことにする) にたいして通信つうしん当事とうじしゃたち (たとえばボブなど) が秘密ひみつのメッセージをおくりたいとき、アリスは公開こうかいかぎ作成さくせいしてボブらに公開こうかいすれば、ボブや公開こうかいかぎ入手にゅうしゅしただれでもアリスてのメッセージを暗号あんごうでき、アリスはそれを復号ふくごうすることができる。だが、盗聴とうちょうしゃ (ここではかりイブぶことにする) が作成さくせいした公開こうかいかぎでも、それをアリスの公開こうかいかぎであるとして配布はいふできてしまうため、このにせ公開こうかいかぎったひとのメッセージはイブに復号ふくごうされてしまう。これを回避かいひするために、ユーザー同士どうし直接ちょくせつ公開こうかいかぎをやりとりするのでは、かぎ配送はいそう問題もんだい解決かいけつされない。

そこで、信頼しんらいできる第三者だいさんしゃ機関きかんTrusted Third PartyTTP)としてひと (ここではかりトレントぶことにする) が、アリスの公開こうかいかぎ証明しょうめいしょ作成さくせいすると、トレントを信頼しんらいするだれもが、「証明しょうめいしょ記載きさいされている公開こうかいかぎがアリスのものである」ということを証明しょうめいしょ署名しょめい確認かくにんするだけでよくなる。このように、公開こうかいかぎとその正当せいとう所持しょじしゃ関係かんけい証明しょうめいするために公開こうかいかぎ証明しょうめいしょもちいられる。

典型てんけいてき公開こうかいかぎ基盤きばんPublic Key InfrastructurePKI)では、認証にんしょうきょくCertificate AuthorityCA)がこのTTPに相当そうとうする。信頼しんらい(Web of Trust)では、トレントにはどんなユーザーでもなることができ、公開こうかいかぎがアリスのものであるというユーザーのもうてを信用しんようするかどうかは、アリスにメッセージをおくりたいひと次第しだいとなる。

証明しょうめいしょ発行はっこう[編集へんしゅう]

公開こうかいかぎ証明しょうめいしょ偽造ぎぞうされないように通常つうじょうデジタル署名しょめい使用しようされる。典型てんけいてき公開こうかいかぎ基盤きばん(PKI)体系たいけいにおいては、認証にんしょうきょく(CA)がこの署名しょめいおこなう。信頼しんらい(Web of Trust)体系たいけいにおいては、自分じぶん自身じしん自己じこ署名しょめい証明しょうめいしょ)もしくはのユーザーが署名しょめいおこなう。どちらの場合ばあいでも、証明しょうめいしょ署名しょめいをしたもの公開こうかいかぎ所有しょゆうしゃ情報じょうほうとのむすびつきを証明しょうめいし、証明しょうめいしょ正当せいとうせい保証ほしょうすることになる。

だい規模きぼ展開てんかいになるとアリスはボブの認証にんしょうきょくのことをらないということもありるので(アリスとボブがことなる認証にんしょうきょくっているかもしれず、それぞれが自分じぶん認証にんしょうきょく使用しようしている場合ばあいはこのような結果けっかとなってしまう)、ボブの証明しょうめいしょはアリスでも認識にんしきできるかもしれない「より階層かいそうたかい」認証にんしょうきょく署名しょめいしたボブの認証にんしょうきょく公開こうかいかぎ場合ばあいがある。このプロセスは証明しょうめいしょ階層かいそう構造こうぞう、そして複雑ふくざつ信頼しんらい関係かんけいたっする。公開こうかいかぎ基盤きばんだい規模きぼ設定せってい証明しょうめいしょ管理かんりするソフトウェア対象たいしょうとする。X.509では証明しょうめいしょ階層かいそう構造こうぞうはトップダウンのツリー構造こうぞうであり、認証にんしょうきょく複数ふくすう第三者だいさんしゃ機関きかんによって信頼しんらいするという必要ひつようをなくすために体系たいけい中心ちゅうしんとして認証にんしょうきょく代表だいひょうするルート証明しょうめいしょがツリーの先端せんたんとなる。

かつて、ブラウザの互換ごかんせい問題もんだい必要ひつようぶん固定こていIPアドレス使用しようしなければならず、認証にんしょうきょく(CA)発行はっこう証明しょうめいしょは1年間ねんかん有効ゆうこうのもので3まんえん程度ていど導入どうにゅうコストは高価こうかだったが、近年きんねんレンタルサーバー業者ぎょうしゃSNI SSLに対応たいおうしたり、大手おおてCA発行はっこう証明しょうめいしょも1せんえん程度ていど大変たいへん安価あんか発行はっこうできるようになった。また、無料むりょう証明しょうめいしょ取得しゅとくができるサービス(Let's Encrypt)もあり、導入どうにゅうコストはがってきている。

正当せいとうせい失効しっこう[編集へんしゅう]

秘密ひみつかぎ[注釈ちゅうしゃく 1]信頼しんらいせいがなくなったり、証明しょうめいしょまれた公開こうかいかぎ所有しょゆうしゃ情報じょうほう関係かんけい変更へんこう改名かいめい転職てんしょくなどで)されたり、あやまっていることが発覚はっかくしたりした場合ばあいは、証明しょうめいしょ失効しっこうする場合ばあいがある。失効しっこうはごくまれな事象じしょうではあるが、証明しょうめいしょ失効しっこう可能かのうせいは、証明しょうめいしょ信頼しんらいするさいにユーザーがいつもその正当せいとうせいをチェックすべき(できるべき)であるということを意味いみする。これは電子でんし証明しょうめいしょ失効しっこうリスト(CRL - 失効しっこうした証明しょうめいしょのリスト)と比較ひかくすることで可能かのうとなる。CRLが確実かくじつ最新さいしん正確せいかくになるようにするのは集中しゅうちゅうてきPKIのコア機能きのうによるもので、それにはスタッフ、予算よさんとも必要ひつようになるため、ときには適切てきせつおこなわれないこともある。この機能きのう有効ゆうこうにするためには、必要ひつようになったときにはいつでもだれでもすぐに利用りようでき、頻繁ひんぱんにアップデートされなければならない。証明しょうめいしょ正当せいとうせいをチェックするべつ方法ほうほうとして、OCSP(Online Certificate Status Protocol)をもちいて証明しょうめいしょ状態じょうたい認証にんしょうきょくわせる方法ほうほうがある。

規格きかく[編集へんしゅう]

現在げんざいもっとも一般いっぱんてき証明しょうめいしょ規格きかくは、ITU-T X.509である。インターネットでX.509もちいるための標準ひょうじゅんは、2013ねん10がつまつ解散かいさん[1]したIETFのPKIXワーキンググループが、策定さくてい作業さぎょうをしていた。

証明しょうめいしょふくまれる情報じょうほう[編集へんしゅう]

証明しょうめいしょ通常つうじょう以下いか情報じょうほうふくむ。

  • 証明しょうめいしょ同定どうてい情報じょうほう (おな発行はっこうしゃしたほかの証明しょうめいしょから区別くべつするため)
  • 末尾まつび署名しょめいのアルゴリズム
  • 発行はっこうしゃ識別しきべつする情報じょうほう
  • 有効ゆうこう期間きかん開始かいし満了まんりょう
  • 主体しゅたいしゃ (ひと、コンピュータ、組織そしきなど) を識別しきべつする情報じょうほう
  • (主体しゅたいしゃの) 公開こうかいかぎ情報じょうほう
    • 公開こうかいかぎのアルゴリズム
    • 公開こうかいかぎそれ自体じたい
  • そのほかの情報じょうほう (たとえば、失効しっこうセンタのURL)
  • 以上いじょうたいする署名しょめい

おも認証にんしょう方式ほうしき[編集へんしゅう]

ドメイン認証にんしょう(DV)[編集へんしゅう]

ドメインの存在そんざい確認かくにんのみの簡易かんい認証にんしょうしき

組織そしき認証にんしょう(OV)[編集へんしゅう]

証明しょうめいしょ取得しゅとくさい法人ほうじん存在そんざい確認かくにんする認証にんしょうしきでEV証明しょうめいしょ(後述こうじゅつ)のようにアドレスバーが緑色みどりいろになることはないが、証明しょうめいしょ法人ほうじんめい記述きじゅつされている。

実在じつざい認証にんしょう(EV)[編集へんしゅう]

脚注きゃくちゅう[編集へんしゅう]

注釈ちゅうしゃく[編集へんしゅう]

  1. ^ ここで秘密ひみつかぎとは、対称たいしょうかぎのことではなく、公開こうかいかぎたいする私有しゆうかぎのこと。

出典しゅってん[編集へんしゅう]

  1. ^ Public-Key Infrastructure (X.509) (pkix) - History”. 2014ねん3がつ7にち閲覧えつらん

関連かんれん項目こうもく[編集へんしゅう]

外部がいぶリンク[編集へんしゅう]