PKI (Public Key Infrastructure)

鍵と証明書のライフサイクル管理を行なうシステム。信頼できる認証局を介した第3者認証により、公開鍵の正当性を保証する。公開鍵暗号を使った

• 通信の暗号化
• 相互認証
• 否認防止
• 完全性保証

なんかを実現するための基盤として必要。覚えておくべきキーワードは以下。

CA (Certificate Authority)

認証局。公開鍵に署名を行い、鍵の公開鍵証明書を発行するのが仕事。

RA (Registration Authority)

鍵の登録と登録時の身元確認、鍵の有効性チェックを行う。

CRL

証明書失効リスト。秘密鍵が漏洩した公開鍵など、何らかの理由で使用不能になった公開鍵(の証明書)が追加される。検証時にはこの一覧も参照することにより、失効した鍵を検知できる。ただし、更新にはタイムラグがあるため、即座に失効にできる訳ではない。

OCSP

失効情報の確認時に使われるプロトコル。RFC2526で規定されている。Windows Vista + IE7だと使えるらしい。

X.509

証明書の形式。

公開鍵証明書の中身

• 署名前証明書
  • シリアル番号
    • 証明書ごとに割り振られるID。OCSPでの失効確認はこれで行われる。
  • 発行者(CA)
  • 有効期間
  • 公開鍵の対象者
  • 公開鍵情報
• 署名アルゴリズム
• 署名
  • 署名前証明書を認証局の秘密鍵で署名したもの。

自己署名証明書

自己の公開鍵を自己の秘密鍵で署名した公開鍵証明書。上位認証局を持たないルートCAの証明書などで使われる。第三者認証が効かないので、フィンガープリント(公開鍵のハッシュ値を秘密鍵で変換したもの)が、発行者のWebサイト等で公開されている値と同じかどうかチェックすることで正当性を確認する必要がある。