PKI

PKI（公開鍵基盤）はデジタル証明書と公開鍵を管理する体系であり、CA、登録局、証明書リポジトリ、失効機構から構成され、TLSと電子署名を支える。

目的

公開鍵暗号を大規模に運用するための信頼管理と証明書ライフサイクル基盤を提供する。

メカニズム

構成要素：CA（発行）、RA（登録検証）、証明書リポジトリ（公開）、CRL/OCSP（失効確認）、CPS（ポリシー）。信頼の連鎖：ルートCA → 中間CA → エンドエンティティ証明書。証明書ライフサイクル：申請 → 検証 → 発行 → 利用 → 失効/期限切れ。

ユースケース

WebのTLS信頼システム
エンタープライズの証明書管理
コード署名の基盤
政府機関のデジタル署名

例

入力

Root CA → intermediate CA → end-entity certificate

Output

Chain-of-trust validation

Up to a trusted root

よくあるエラー

Stale CRLs let revoked certificates stay in use: Use online OCSP checks or OCSP stapling

関連用語

CA（認証局）とは、公開鍵を識別情報に紐付けるデジタル証明書を発行する信頼された第三者であり、PKI の信頼の根拠を担う。

X.509 Certificate

X.509 証明書は、公開鍵を識別情報に紐付けるものであり、検証のために CA が署名し、有効期間、発行者、サブジェクト、拡張フィールドを含む。

TLS（Transport Layer Security）はトランスポート層で暗号化・完全性・認証を提供する。SSL を置き換え、HTTPS や SMTPS などの基盤となる。

ゼロトラストは「決して信頼せず、常に検証する」というセキュリティモデルである。ネットワーク内部にいるというだけで信頼せず、すべてのアクセスでIDと権限を検証する。

References