公開鍵基盤

公開鍵基盤（PKI）とは、デジタル証明書を作成、管理、検証するためのポリシー、役割、ハードウェア、ソフトウェアの仕組みです。

その中心的な役割は、検証済みのアイデンティティ（Webサイト、人、サーバー）に公開鍵を結び付け、他者が信頼できるようにすることです。

公開鍵暗号では、誰でも公開鍵を公開できます。しかし、その鍵が本当にbank.comのものなのか、それとも攻撃者のものなのか、どうすれば確認できるでしょうか？

PKIは、信頼できる第三者が証明書に署名して鍵を保証することで、この問題を解決します。

デジタル証明書は、公開鍵をアイデンティティに結び付けます。次の情報が含まれます：

• サブジェクトの名前（例：ドメイン）
• サブジェクトの公開鍵
• 発行者（署名した認証局）
• 有効期間
• 発行者のデジタル署名

ほとんどの証明書はX.509標準に従っています。OpenSSLを使って証明書を確認できます。

すべての証明書は非対称鍵ペアに基づいています：

• 秘密鍵はサーバー上で秘密に保管されます。
• 公開鍵は証明書内で共有されます。

秘密鍵で署名されたデータは公開鍵で検証でき、その逆も同様です。

認証局は証明書データをハッシュ化し、そのハッシュ値を自身の秘密鍵で暗号化します。これが署名です。

認証局の公開鍵を持つ誰もが署名を検証でき、証明書が改ざんされていないことを確認できます。

PKIには、いくつかの役割があります：

• 認証局（CA）は証明書を発行して署名します。
• 登録局（RA）は発行前にアイデンティティを検証します。
• 証明書リポジトリは証明書を保管して配布します。
• 依拠当事者は証明書を信頼して使用する人や組織です。

信頼は、オペレーティングシステムやブラウザーにあらかじめインストールされた、自己署名のルート証明書から始まります。

このルート証明書がトラストアンカーです。ルートを信頼すれば、ルートが正しく署名したものをすべて信頼できます。

証明書を取得するには、公開鍵とアイデンティティを含む証明書署名要求（CSR）を生成し、CAに送信します。

PKIは、さまざまな場面で使われています：

• 安全なWeb通信のためのHTTPS / TLS
• ソフトウェアの真正性を証明するコード署名
• S/MIMEによるメールセキュリティ
• VPNとデバイス認証

証明書には、申請、発行、配備、更新、失効という一連のライフサイクルがあります。

適切なPKI運用では、有効期限を追跡し、侵害された鍵を迅速に失効させます。放置された証明書はセキュリティリスクになります。

PKIの主な目的は何ですか？

PKIは、デジタル証明書を使って公開鍵とアイデンティティを結び付ける仕組みだと学びました。

• 信頼は、あらかじめインストールされたルート証明書から始まります。
• CAが証明書に署名し、依拠当事者が署名を検証します。
• 証明書はX.509標準に従い、一連のライフサイクルを持ちます。

次は、これらの証明書を発行する認証局について見ていきます。