ディジタル署名と公開鍵基盤

要点と定義

ディジタル署名は、署名者が自分の秘密鍵で作成し、対応する公開鍵で検証します。署名の検証によって、署名対象のデータが署名後に改ざんされていないことを確認できます。また、秘密鍵を本人だけが使える状態に保ち、公開鍵と本人の結び付きも確かめられる場合は、誰が署名したかの確認にも役立ちます。

署名はデータを読めなくする仕組みではなく、配送を保証するものでもありません。注文内容の秘匿には別途暗号化が必要です。署名があるだけで著作権の帰属や販売の許可まで証明できるわけではありません。

公開鍵証明書は、公開鍵とその所有者などの情報を結び付けるものです。認証局は証明書を発行し、失効した証明書を確認するための証明書失効リストも発行します。証明書失効リストは、証明書の有効期間が残っていても失効した証明書を示します。

サーバ証明書を受け取った端末は、信頼する認証局の公開鍵で証明書の署名を検証し、発行元や内容の改ざんを確かめます。認証局の公開鍵は、通信データを暗号化する鍵として使うのではありません。

適用条件と例

たとえば、ミナが見積書に署名し、取引先がミナの公開鍵で検証します。検証に成功すれば、署名対象が署名後に変わっていないことを確認できます。署名者の確認には、秘密鍵をミナだけが使えることと、検証に使う公開鍵がミナのものだと確かめられることが前提です。

証明書を使うときは、用途に合った証明書か、有効期間内か、失効していないか、信頼できる発行元につながるかを確認します。期間の判定では、問題で示された有効期間の長さを発行日から数え、署名時と検証時の両方が期間内かを確認します。たとえば、2022年6月10日発行で「4年間有効」とする条件なら、2023年1月5日の署名と2025年3月1日の検証はいずれも期間内です。実際の証明書では、更新や失効なども確認対象になります。

公開鍵基盤では、認証局が証明書の発行や失効情報の提供を担います。署名の検証、通信の暗号化、失効リストの発行は役割が異なります。

XML署名は、XML文書全体だけでなく一部を署名対象にしたり、複数の署名を扱ったりできます。どの範囲が署名対象かを確認して検証します。XML署名自体が通信経路の盗聴を防ぐわけではありません。

IPAシラバスVer.4.1では、これらは「情報セキュリティ技術（認証技術）」および「情報セキュリティ技術（公開鍵基盤）」に位置付けられています（物理ページ4～5）。