公開鍵の持主を確かめる

1受け取った公開鍵の持主を確かめる

公開鍵は他の人へ配れます。しかし、相手のものだと思った鍵が、途中で偽物に置き換わっていたら困ります。そこで、公開鍵と持主の対応をデジタル証明書などで確かめる仕組みがPKI（公開鍵基盤）です。

認証局（CA）は確認を行い、公開鍵を含む証明書に署名して発行します。受け取る側は、その証明書を確かめて、利用しようとしている相手の鍵かを判断します。証明書の検証と信頼のたどり方は、次の節で学びます。

認証局は、名前をIP（ネットワークを越えて宛先へデータを届けるための通信の約束）アドレスへ変えるDNS（ドメイン名とIPアドレスなどの対応を調べる仕組み）、代理通信するプロキシ、通信を制限するファイアウォールとは役割が異なります。また、秘密鍵をみんなへ公開する制度ではありません。

PKIはPublic Key Infrastructure、CAはCertification AuthorityまたはCertificate Authorityの略です。覚える中心は、鍵の持主とその鍵を結び付ける役割です。

2信頼をたどる出発点

ルート証明書は信頼の出発点となる認証局などの証明書です。あらかじめ信頼している情報をトラストアンカー（信頼の基点）とし、証明書の連なりの署名などを検証します。自己署名というだけで、どの証明書でも自動的に信頼するわけではありません。

サーバ証明書は接続先サーバ、クライアント証明書は接続する利用者や端末側の認証に使います。証明書の用途、対象名、有効期間、信頼できる発行元などを確かめます。

3期限内でも使ってはいけない鍵がある

秘密鍵の漏えいなどで、有効期間が残っていても証明書を失効させる場合があります。CRL（Certificate Revocation List：証明書失効リスト）は失効した証明書の情報を示す一覧です。単なる期限切れ一覧や、有効期間を延長する一覧ではありません。

署名が数学的に合っているだけでなく、証明書が信頼できるか、有効期間や失効の状態が適切かも確認します。鍵と証明書は発行して終わりではなく、更新・失効を含めて管理します。

4漏れた鍵の証明書は、期限内でも確認する

サーバの秘密鍵が漏れた疑いが出た場面を考えます。証明書の有効期限が来年だからといって、そのまま使い続けてよいとは判断できません。

認証局が発行する証明書は、公開鍵と持主の対応を確かめるためのものです。秘密鍵を全員へ公開する仕組みではなく、秘密鍵は守る必要があります。漏えいなどにより証明書を失効させた場合は、CRL（証明書失効リスト）などでその状態を確認します。

CRLは、期限を延長した証明書の一覧でも、無期限の証明書の一覧でも、単なる期限切れ一覧でもありません。「有効期間は残っているが失効した」という場合があることを押さえましょう。

秘密鍵が漏れた場合、保管場所だけを変えても他者が鍵の値を知る状態は解消しません。組織の手順に従って該当する証明書を失効させ、新しい鍵と証明書を用意して切り替えます。期限の確認だけでなく、鍵が秘密に保たれているかも判断します。

この相談で必要なのは、代理通信するプロキシ、通信制限のファイアウォール、名前解決のDNSへの言い換えではありません。公開鍵の信頼を確かめ、秘密鍵を保護し、失効も管理するという役割を選びます。