電子証明書とPKIとは｜認証局の役割と2級

一言でいうと、電子証明書は「この公開鍵の持ち主は誰か」を認証局が署名して保証するデータ、PKI はその証明書を発行・配布・失効させる仕組み全体です。

公開鍵暗号では公開鍵を誰にでも渡せますが、攻撃者が「自分の公開鍵」を相手のものと偽って渡すと、暗号化した内容を読まれてしまいます。この弱点を、信頼できる第三者の署名で補うのが PKI の役割です。暗号方式そのものの違いは共通鍵暗号と公開鍵暗号の違いで整理しています。

インターネットで使う証明書の形式は X.509 で、IETF の RFC 5280（2008年5月）が証明書と失効リスト（CRL）の形式や、証明書をたどって検証する手順を定めています。

スマートフォンのブラウザが HTTPS のサイトにつなぐとき、サーバから受け取った証明書を次の順で確かめます。どれか一つでも満たさなければ、警告が表示されたり接続が止まったりします。

1. 1サーバ証明書に付いた署名を、発行した中間認証局の公開鍵で検証する。
2. 2中間証明書の署名を、さらに上位の認証局の公開鍵で検証し、端末が信頼しているルート証明書に行き着くまでたどる。
3. 3各証明書が有効期間内かを確かめる。
4. 4証明書に書かれたドメイン名が、接続しようとしているホスト名と一致するかを確かめる。
5. 5証明書が失効していないかを、CRL や OCSP などの失効情報で確かめる。

ポイントは、端末が最初から信頼しているのはルート証明書だけで、その信頼を署名で順に下へ伝えていく点です。これを信頼の連鎖（証明書チェーン）と呼びます。自分で署名しただけの証明書（自己署名証明書）がブラウザで警告になるのは、信頼しているルートに行き着かないためです。

この検証は TLS のハンドシェイクの中で行われます。どの段階で証明書が送られるかはTLSとはで解説しています。

有効期間は短くなる方向にあります。ブラウザと認証局が参加する CA/Browser Forum の基準では、公的に信頼されるサーバ証明書の最長有効期間を、2026年3月15日以降の発行分は200日、2027年3月15日以降は100日、2029年3月15日以降は47日と段階的に縮めることが定められています（2026年9月時点）。

失効とは、有効期間が残っているのに証明書を無効にすることです。秘密鍵が漏れた、記載内容が変わった、誤って発行された、といった理由で認証局が失効させます。期限切れと失効は別のものである点が、選択肢の入れ替えで狙われやすいところです。

OCSP の問い合わせをサーバ側がまとめて取得し、TLS の接続時に証明書と一緒に渡す方式（OCSP ステープリング）もあります。クライアントが毎回認証局へ問い合わせずに済む点が利点です。

MCPC の公式ページでは、モバイルシステム技術検定2級（100問・100分・4者択一）の出題カテゴリの一つに「情報セキュリティ管理」があり、比率は9%と示されています（2026年9月27日確認）。当サイトでは、公式テキスト『モバイルシステム技術テキスト 第11版』の第11章「情報セキュリティ」がこの範囲に当たると推定しています（章名からの当サイトの判断で、公式の発表ではありません）。

4択では、次のような観点が考えられます。出題頻度は公表されていないので、特定の型が多いとは言えません。

• ✓認証局の役割：認証局が行うことと、行わないこと（秘密鍵を預かるなど）を見分けさせる。
• ✓検証の手順：信頼の起点がどこにあるか、どの鍵で署名を検証するかを問う。
• ✓失効の確認：CRL と OCSP の仕組みの違い、失効と期限切れの違いを問う。
• ✓証明書に含まれないもの：証明書に秘密鍵が入っているとする記述を不適切として選ばせる。

試験全体の形式・日程・受検料はモバイルシステム技術検定2級とはにまとめています。情報・サイバーセキュリティ管理士で問われる暗号・認証の範囲は技術的対策｜暗号・認証・アクセス制御にまとめています。

選択肢が次の左の列のように書かれていたら、右の問いで確かめてください。

パスワードを使わずに公開鍵で本人を確かめる認証方式も、同じ公開鍵暗号の考え方の上にあります。パスキー・FIDO2・多要素認証とはで、証明書を使う方式との違いを確認できます。

方式の名前や鍵の役割に加え、戻ってきた応答が開始した要求に対応するかも別に確認します。PKCE・state・nonceの違いでは、認可コードの交換と、応答・IDトークンの照合を独自の取引例で分け、CSRF対策の役割が重なる条件まで整理しています。