TLSと証明書の試験問題への適用
TLS問題では、証明書警告の原因、CAチェーン、ホスト名、有効期限、秘密鍵管理を読み解く。単に「HTTPSだから安全」と判断せず、何を検証できているかを見る。
この単元で学ぶこと
- 証明書チェーンの意味と役割を説明できる
- ホスト名検証の意味と役割を説明できる
- 有効期限の意味と役割を説明できる
- TLS警告や秘密鍵事故の事例から原因と適切な対応を判断できる
本文解説
ブラウザ警告には、期限切れ、ホスト名不一致、信頼できないCA、証明書チェーン不備など複数原因がある。証明書失効や秘密鍵漏えいが起きた場合は再発行や失効処理も必要になる。
証明書チェーン サーバ証明書から中間CA、ルートCAへ信頼をたどる仕組み。 ブラウザが信頼するルートまで正しく検証できる必要がある。
ホスト名検証 アクセス先ホスト名が証明書のSAN等に含まれるか確認する処理。 別ドメイン用証明書では警告になる。
有効期限 証明書を有効と扱える期間。 期限切れ証明書は通常ブラウザ警告の原因になる。
証明書失効 期限前でも秘密鍵漏えい等で証明書を無効として扱うこと。 CRLやOCSPなどで失効状態を確認する仕組みがある。
秘密鍵保護 TLSサーバの秘密鍵を権限・保管・HSM等で保護すること。 秘密鍵漏えい時は証明書交換だけでなく漏えい原因対策も必要。
警告文が「誰を信頼できないのか」「名前が違うのか」「期限が切れたのか」を分ける。
証明書の署名が正しくても、アクセス先example.comと証明書の対象がother.example.netならホスト名不一致になる。
図解
重要ポイント
- 証明書チェーン: サーバ証明書から中間CA、ルートCAへ信頼をたどる仕組み。
- ホスト名検証: アクセス先ホスト名が証明書のSAN等に含まれるか確認する処理。
- 有効期限: 証明書を有効と扱える期間。
- 証明書失効: 期限前でも秘密鍵漏えい等で証明書を無効として扱うこと。
- TLSの信頼性は、署名だけでなくチェーン・ホスト名・期限・失効・秘密鍵管理の全てで成立する。
間違えやすい点
- 自己署名証明書を必ず不正サイトと断定しないが、信頼設定なしでは検証できない点を理解する。
- 期限内なら秘密鍵漏えいが無害と考えない。
- ホスト名不一致をCA署名だけで無視しない。
用語解説
- 証明書チェーン
- サーバ証明書から中間CA、ルートCAへ信頼をたどる仕組み。
- ホスト名検証
- アクセス先ホスト名が証明書のSAN等に含まれるか確認する処理。
- 有効期限
- 証明書を有効と扱える期間。
- 証明書失効
- 期限前でも秘密鍵漏えい等で証明書を無効として扱うこと。
- 秘密鍵保護
- TLSサーバの秘密鍵を権限・保管・HSM等で保護すること。
関連教材
参考資料
教材データに登録された参考リンクです。リンク先の内容や更新日は提供元でご確認ください。
確認問題の出題・採点や学習履歴の保存にはログインが必要です。