コンテンツへスキップ
uencoder

CA

CA（認証局）とは、公開鍵を識別情報に紐付けるデジタル証明書を発行する信頼された第三者であり、PKI の信頼の根拠を担う。

目的

公開鍵と識別情報の紐付けを信頼された第三者として保証し、面識のない当事者同士が信頼を確立できるようにする。

メカニズム

CA は申請者の識別情報を検証し（DV/OV/EV の各レベル）、自らの秘密鍵で証明書に署名する。ルート CA は自己署名であり OS やブラウザの信頼ストアに事前登録され、中間 CA はルートにより署名される。CA が侵害されると偽造証明書を発行されうる（DigiNotar 事件など）ため、厳格な監査が求められる。

ユースケース

  • TLS 証明書の発行
  • コード署名の証明書
  • S/MIME メール証明書
  • 企業内部の PKI

例

  • 入力 
    CSR + identity verification
    Output 
    CA-signed certificate

    DV/OV/EV

よくあるエラー

Trusting all issuances from a compromised CA
Monitor CT logs and remove the problematic CA promptly

関連用語

X.509 Certificate
X.509 証明書は、公開鍵を識別情報に紐付けるものであり、検証のために CA が署名し、有効期間、発行者、サブジェクト、拡張フィールドを含む。
用語集
PKI
PKI（公開鍵基盤）はデジタル証明書と公開鍵を管理する体系であり、CA、登録局、証明書リポジトリ、失効機構から構成され、TLSと電子署名を支える。
用語集
TLS
TLS（Transport Layer Security）はトランスポート層で暗号化・完全性・認証を提供する。SSL を置き換え、HTTPS や SMTPS などの基盤となる。
用語集
Zero Trust
ゼロトラストは「決して信頼せず、常に検証する」というセキュリティモデルである。ネットワーク内部にいるというだけで信頼せず、すべてのアクセスでIDと権限を検証する。
用語集

References