Skip to content

MS_PKI

Jump to bottom
nishi_74322014 edited this page Aug 4, 2026 · 1 revision

PKI（公開鍵暗号基盤）

概要

  • PKI : Public Key Infrastructure（公開鍵暗号基盤）

  • 公開鍵暗号を利用し、安全に情報のやりとりを行うセキュリティのインフラ（基盤）。

  • その 1 つに、インターネット上の身分証明書の役割を担っている「電子証明書」がある。

  • 認証や署名により、公開鍵の正当性を保証する。

  • 証明書の認証局、証明機関などは、
    証明書の PKI（公開鍵暗号基盤）の構成要素。

認証局（CA）

  • CA：Certification Authority
  • 認証局、証明機関などと呼ばれる。

要件

以下の要件を満たす必要がある。

  • 鍵の保管・管理の徹底
  • 発行申請者の認証による発行ミス防止
  • 各種セキュリティ対策の徹底
    • 物理的侵入
    • 不正アクセス
    • 災害
    • 障害
  • 保守／運用体制の確立
    • メンテナンス体制の整備
      • 証明書の変更
      • 証明書の取消
  • 不測の事態発生時の対応
    • 対応の体制
    • 手順の整備

役割

その他、以下の様な役割を持つ。

  • 認証局運用規定（CPS）の公開
  • CA 自身の証明書の公開（主要 OS などに事前インストール）
  • CA 自身の秘密鍵を厳重に保管・管理する。

機能

認証局の中には以下の機能がある。

※ RA のみを企業で管理し、他はアウトソースする形態が増えてきている。

登録局（RA：Registration Authority）

審査により証明書申請者の身元を保証する、申請の窓口となる機関。

  • 申請書、証明書中に列記される情報が正確であることの確認
  • 申請書中で特定された人物と同一であることの確認
  • 証明書に含まれる公開鍵に対応する秘密鍵の所持を確認
  • 法人申し込みなどの代理申請で、代理人の権限を確認

発行局（IA：Issuing Authority）

秘密鍵を保管・管理し、証明書の発行・失効を行う。

移行メモ（正誤）: 元 Wiki には発行局の役割として 「発行：証明書失効リスト (CRL) / 失効：証明書信頼リスト (CTL)」と記載されていたが、これは誤りである。

  • 失効させた証明書を列挙するのが CRL（発行局が発行する）。
  • CTL は「信頼するルート CA の一覧」であり、 個々の証明書を失効させるものではない（発行局の機能でもない）。

従って、発行局が発行するのは証明書と CRL である。

検証局 (VA：Validation Authority)

CA 自身や、CRL を集中管理する VA が運営する。

  • 証明書失効リスト (CRL)を集中管理し、
    証明書の有効性をチェックする機関・システム
  • CA とは異なり、デジタル証明書の発行は行わずに検証機能に特化している。
  • CA の公開鍵で署名の正当性を検証したり、証明書の有効期限を確認したりする。

補足: 実装としては、CRL の配布のほかに OCSP（Online Certificate Status Protocol）レスポンダが VA に相当する。 Windows では証明書サービス (AD CS)の 「オンライン レスポンダー」がこれを担う。

階層

ルート認証局（root CA）

  • 最上位の CA（上位なのにルートとか解り難いな）
  • 証明書チェーンのルートに居る。
  • 自身の証明書は自己署名されており、
    「信頼されたルート証明機関」ストアに事前配布されることで信頼の起点となる。

中間認証局（intermediate CA）

  • ルート CA から証明書を発行された下位の CA。
  • ルート CA の秘密鍵をオフラインに保つため、
    実際のエンド エンティティ証明書の発行は中間 CA が行う。

商用 or 自営

商用

パブリック CA（DigiCert、Sectigo、Let's Encrypt 等）。
ルート証明書が主要 OS / ブラウザに事前インストールされているため、
インターネット向けのサーバ証明書はこちらを使う。

自営

プライベート CA。
Active Directory の証明書サービス的な。
社内向け（デバイス認証、IPsec、コード署名など）に用いる。

CP と CPS

証明書ポリシ（CP）

  • CA が証明書を発行するときのポリシ。
  • X.509 v3 の拡張領域で規定する（certificatePolicies 拡張）。
  • 下記のようなケース毎、共通のセキュリティ要件によって決定する。
    • 特定のコミュニティ
    • 特定のアプリケーション
    • 特定の, etc.

認証局運用規定（CPS）

  • 他者が CA の

    • 下記項目を評価できるように、
      • 信頼性
      • 安全性
      • 経済性
    • 以下の詳細を規定した文書
      • セキュリティ ポリシ
      • 責任と義務
      • 約款
      • 外部との信頼関係

  • と言う事で、当然、

    • 助言型監査
    • 保証型監査

    などで利用される。

補足: CP と CPS の関係は 「CP = 何を守るか（要件）、CPS = どう守るか（実装・運用手順）」である。 記述形式は RFC 3647 で標準化されている。

参考

Tags: セキュリティ, 暗号化, 証明書

このWikiは「Open棟梁Project」,「OSSコンソーシアム 開発基盤部会」によって運営されています。

NetDevInfraWiki

マイクロソフト系技術情報 Wiki
Open 棟梁 Wiki

（未着手）

開発基盤部会 Wiki

移行管理: DONE ／ TODO

Clone this wiki locally