「認証局って、何をしているの?」
「電子証明書は、誰が信じる仕組み?」
公開鍵に秘密鍵、電子証明書に認証局。PKIは登場人物が多く、たいていそこでつまずきます。
PKIとは、公開鍵が本当に本人のものかを、信頼できる第三者が保証する仕組みです。
この記事では、その登場人物を1枚の地図に整理し、認証局が何を保証するのか、証明書に何が書かれ、どう信頼が連なるのかを順に見ます。最後に「この証明書を信じてよいか」を自分で判断する視点まで持ち帰れます。SG（情報セキュリティマネジメント）や応用情報の対策に効きます。
1. 登場人物を整理すると腑に落ちる
あなたがPKIでつまずくのは、たいてい登場人物の多さです。公開鍵、秘密鍵、電子証明書、認証局。名前だけが並ぶと難しく感じますが、それぞれの役割を1枚の表に並べると、関係がすっと見えてきます。
| 登場要素 | 役割 |
|---|---|
| 公開鍵 | 誰にでも渡せる鍵。相手が使う |
| 秘密鍵 | 本人だけが持つ鍵。外に出さない |
| 電子証明書 | 公開鍵と持ち主情報をまとめ、CAが署名した身分証 |
| 認証局（CA） | 本人確認をして証明書を発行する第三者 |
公開鍵と秘密鍵のペアがそもそも何なのかは、暗号化とは で押さえておくと、PKIが「鍵の持ち主を保証する」話だと腑に落ちます。公開鍵は誰にでも配れる鍵、秘密鍵は本人だけが握る鍵、と対で捉えると、証明書が「その公開鍵は誰のものか」を示す道具だと見えてきます。
2. 保証する人=認証局(CA)がいるから信じられる
あなたがPKIの地図で真ん中に置くべきは、認証局（CA）です。鍵の持ち主を保証する、信頼の発行元にあたります。CAは申請者が本人かを確認したうえで、その公開鍵に電子証明書を発行します。証明書にはCA自身のデジタル署名が付き、この署名が「確かにこのCAが出した証明書だ」という裏づけになります。
SE歴15年以上のベテランSEの実務感覚で言うと、初心者がいちばん引っかかるのは「なぜ第三者が要るのか」です。当人同士だけでは、渡された公開鍵が本物か確かめる手立てがありません。間に立つCAが本人確認を代行するから、初対面の相手でも公開鍵を信用できます。PKIの肝は、鍵の技術そのものより、この“保証する人”を置いた設計にあります。
証明書に付くCAの署名は、デジタル署名の技術で作られています。署名がどう本物らしさを示すのかは デジタル署名とは で確認しておくと、証明書を信じられる理由がはっきりします。
3. 電子証明書に何が書かれているか
あなたが受け取る電子証明書には、持ち主の情報・公開鍵・CAの署名がまとめて書かれています。加えて、有効期間も記されています。受け取った側は、この中身を見て「信じてよい相手か」を確かめます。名前と鍵と保証が、1枚にセットになっているわけです。この3点がそろうから、初対面の相手でも中身を確かめて信用できます。
ここで、実務の落とし穴を1つ。CAの保証がなく、自分で自分に署名した証明書を自己署名証明書と呼びます。中身は暗号化に使えますが、「第三者の保証」が抜けているため、ブラウザは「この接続は安全ではありません」と警告を出します。あなたが見かけるあの警告は、証明書の暗号が壊れているのではなく、保証をたどれないことへの注意です。
4. 「信頼の連鎖」で末端まで信用が届く
あなたが1枚の証明書を信じられるのは、その後ろに信頼の連鎖がつながっているからです。末端のサーバ証明書は中間CAが保証し、中間CAはルートCAが保証する。この連なりをたどって、信用が末端まで届きます。図で階層を見てください。
連鎖の起点であるルートCAの証明書は、あらかじめOSやブラウザに組み込まれています。だから、あなたが何も設定しなくても、初めて訪れたサイトの証明書をたどって検証できます。信頼の出発点が最初から手元にある——この前提があるから、連鎖は末端まで機能します。
5. Webの鍵マークもPKIの上に立っている
あなたが毎日見ているWebの鍵マークも、実はこのPKIの上に立っています。ブラウザは、サーバが出した証明書をルートCAまでたどって検証し、問題がなければ鍵マークを表示します。安全な通信の裏で、信頼の連鎖が静かに働いています。もし偽サイトが本物そっくりの見た目を用意しても、正規のCAがたどれる証明書までは用意できません。だから、連鎖をたどる検証が、なりすましを見抜く決め手になります。
証明書を使って安全な通信路がどう作られるのかは、TLS/SSLとは で、暗号化と相手確認の流れと合わせて確認できます。PKIは、そのTLSの安心を足元で支えています。
最後に、迷ったときの判断を1本の問いにまとめます。「この証明書を信じてよいか」＝「発行者を信頼できる起点までたどれるか」——これだけです。たどって信頼できるルートに着けば、信じてよい。たどれない、あるいは途中で切れているなら、立ち止まる。PKIの全体像は、この一問に凝縮できます。
次のステップ
PKIは暗号・認証の用語が集まる分野です。それらが試験のどこでつながるのかは、情報セキュリティマネジメント試験の試験範囲と勉強法ガイド を眺めると一本の線になります。
仕上げにSG 技術要素の問題集 で、認証局や証明書を問う設問に挑むと、知識が使える形に変わります。