Webサイトにブラウザで接続すると、そのサイトのサーバ証明書が示される。 この証明書を発行する認証局（CA）が果たしている役割として、 最も適切なものはどれか。
正解：イ
ア利用者が入力したIDとパスワードを預かり、本人かどうかを判定する。
誤り。これは利用者認証を担うサーバの役割です。認証局が保証するのは「その鍵が 誰のものか」であって、サイトを使う一人ひとりが本人かどうかではありません。 保証する相手が、サイト側か利用者側かで区別できます。
イ公開鍵がその持ち主のものであることを、第三者の立場で保証する。
正解。公開鍵は誰でも作れてしまうため、それだけでは名乗りが本当か分かりません。 信頼できる第三者である認証局が持ち主の情報と結び付けて証明書を発行することで、 なりすましを見破れるようになります。
ウ通信の内容を暗号化して、経路の途中で盗み見られないようにする。
誤り。暗号化を実際に行うのはブラウザとサーバであり、認証局ではありません。 認証局は、その暗号化に使う公開鍵が正しい相手のものだと保証する立場です。 鍵を保証する役と、鍵を使う役は別だと押さえてください。
エ受け取った証明書を検証し、問題があれば利用者に警告を表示する。
誤り。これは証明書を受け取る側、つまりブラウザの動作です。有効期限切れや 失効した証明書を見つけて警告を出しますが、それは発行された証明書を確かめる 側の仕事であり、発行して保証する認証局の役割ではありません。
公開鍵に付ける「身分証」
公開鍵は誰でも作れます。だから、届いた鍵に「○○銀行の公開鍵です」と書いてあっても、 それだけでは本物か分かりません。そこで、信頼できる第三者が「この鍵は確かに ○○銀行のものです」と裏書きした身分証を添えます。これがデジタル証明書で、 発行する第三者が**認証局（CA）**です。
証明書には、公開鍵と持ち主の情報、有効期限などが入っており、そこに認証局が 自らの署名を付けています。この仕組み全体を公開鍵基盤（PKI）と呼びます。
役割の分かれ方
- 認証局：申請者の実在を確認し、証明書を発行する。有効期限内でも信用できなく なった証明書は、証明書失効リスト（CRL）に載せて無効だと知らせる
- ブラウザなど利用する側：受け取った証明書の発行元・有効期限・失効の有無を 確かめ、問題があれば警告を出す
証明書の正しさは、その証明書を発行した認証局の証明書をたどることで確かめられます。 たどり着く先が、あらかじめ機器に組み込まれているルート証明書です。
混同しやすいものとの違い
| 用語 | 役割 |
|---|---|
| 認証局（CA） | 公開鍵の持ち主を第三者として保証し、証明書を発行する |
| デジタル証明書 | 公開鍵と持ち主の情報をひとまとめにした、保証の中身 |
| ルート証明書 | 信頼の出発点として、機器にあらかじめ組み込まれた証明書 |
| 証明書失効リスト（CRL） | 期限前に無効になった証明書の一覧 |
試験では「発行する側か、確かめる側か」で選択肢を切ると迷いません。 認証局は発行する側です。