正解：ア
各選択肢の解説
ア業務用PCにクライアント証明書を導入し、接続元の端末が正当だとサーバ側で確かめる。
正解。クライアント証明書は認証局が端末や利用者に対して発行し、接続してきた側の 身元をサーバに示すものです。証明書を入れた業務用PCだけが接続でき、私物PCは IDとパスワードを知っていても入れません。
イ業務用PCにサーバ証明書を導入し、接続先のサーバが本物だと利用者側に示させる。
誤り。これはサーバ証明書の役割で、身元を示す向きが逆です。サーバ証明書は アクセスされる側のWebサーバが本物だと利用者に示すもので、接続してくる端末を 絞り込む働きはありません。証明するのがサーバ側か接続元側かで区別します。
ウ業務用PCにルート証明書を追加し、認証局までの証明書の連鎖をたどれるようにする。
誤り。ルート証明書は証明書を検証する側が信頼の起点として持つもので、多くは ブラウザやOSにあらかじめ組み込まれています。追加しても検証の材料が増えるだけで、 接続してくる端末を業務用PCに限定する効果はありません。
エ業務用PCにワンタイムパスワードを導入し、一定時間だけ有効な数字で本人を確かめる。
誤り。ワンタイムパスワードが確かめているのは人であって、端末ではありません。 表示された数字は私物PCの画面にも入力できてしまうため、接続してよい機器を 会社の管理下にあるPCへ限定する目的は果たせません。
理解を深めるために
証明書は「どちらの身元」を示すのか
デジタル証明書は、公開鍵の持ち主を認証局が保証した身分証です。同じ身分証でも、 誰が誰に見せるかで名前が変わります。
- サーバ証明書：Webサーバが自分の身元を、訪ねてきた利用者に示す。 ブラウザの鍵マークは、これが正しく検証できた印
- クライアント証明書：接続してきた端末や利用者が自分の身元を、サーバに示す。 あらかじめ配った端末以外を入口で断れる
今回の場面で絞り込みたいのは「接続してくる側」です。だからサーバではなく、 業務用PCの側に証明書を入れます。
パスワードだけでは端末を選べない
IDとパスワードやワンタイムパスワードは、人が本人かどうかを確かめる仕組みです。 正しい人であれば、どの機器からでも入れてしまいます。使う機器そのものを限定したい ときは、機器側に証明書を入れて端末を確かめる方法が適します。多要素認証の 「所有しているもの」を、端末の中の証明書で担わせる形と考えると分かりやすいです。
混同しやすいものとの違い
| 用語 | 何の身元を、誰に示すか |
|---|---|
| クライアント証明書 | 接続元の端末や利用者の身元を、サーバに示す |
| サーバ証明書 | Webサーバの身元を、接続してきた利用者に示す |
| ルート証明書 | 検証する側が持つ信頼の起点。身元を示すものではない |
| ワンタイムパスワード | 人が本人であることを示す。端末は限定できない |
試験では「証明されるのはサーバか、接続してきた側か」で切ると迷いません。 社外からのアクセスを会社の端末に限る話が出てきたら、クライアント証明書です。