PKI 理解のために


コンピュータ・ネットワークの世界において、｢強い認証｣が求められる理由

インターネットを代表とするネットワークの世界では、見えない相手が本人であるかどうかを確認することが極めて大切となります。電子メールはインターネットで実現したとても便利な通信手段ですが、現在のシステムにおいて、発信人が本人であるという保証はまったくなく、他人になりすまして電子メールを発信することも可能です。このために信頼できるビジネス環境においては、相手を確認する手段が必要となります。この本人確認のことを｢認証｣と呼びセキュリティの基本となります。

多くのネットワークでのセキュリティの侵害は、｢なりすまし｣によって行なわれます。従来からのパスワードによる認証は、ネットワーク上でパスワードを盗み見られる危険性がありました。また、かんたんなパスワードは類推され破られることがあります。そこで見えない相手を確認することができる、｢強い認証｣を高度な技術で行なう必要があるのです。


｢強い認証｣には高度な暗号技術が利用されている

｢強い認証｣は公開鍵暗号の技術を使った｢電子署名｣によって実現することができます。この電子署名は他人がまねすることが不可能で、また、署名そのものが暗号化されているため盗み見ることはできません。

本人であるかどうかの認証は、｢署名鍵で電子署名されたメッセージ｣を公開鍵で検証することにより行なわれます。この署名鍵は本人のみが所有しているもので、ICカードなどに保存して本人の持ち物とすることもできます。


共通鍵暗号方式と公開鍵暗号方式

共通鍵暗号方式は暗号化と復号化を同じ鍵で行なう方式で、DESやCASTなどがあります。共通鍵暗号方式は処理速度が速いといった利点があるのですが、自分と同じ鍵を相手に送るための確実な手段がない複数人と通信を行なうとき鍵の数が相手の数だけ必要になり大きな組織においては不向き、などの問題があります。
公開鍵暗号方式は上記の共通鍵暗号方式と違い、自分で秘密にしておく鍵(秘密鍵)と公開してもよい鍵(公開鍵)という異なった2種類の鍵のペアにより構成されます。

秘密鍵、公開鍵には以下のような特徴があります。

Ａさんの公開鍵で暗号化されたデータは、Aさんの秘密鍵でのみ復号化され、Ａさん以外の秘密鍵では復号化できない。

データを安全に相手に送るには、相手の公開鍵を使って暗号化して相手に送り、相手は送られた暗号文を自分の秘密の秘密鍵で解読します。この秘密鍵をもっていない他人には、この暗号文を解読できません。
公開鍵方式は処理速度が共通鍵方式に比べて極めて遅いので、長文のデータを暗号化するためには適していません。そこで通常では公開鍵暗号方式と共通鍵暗号方式を組み合わせて利用します。

共通鍵暗号方式を用いて長文のデータを暗号化します。ここで使用した共通鍵を相手の公開鍵で暗号化します。

key.gif (22904 バイト)

(1)で暗号化された長文と、(2)で暗号化された共通鍵を相手に渡します。渡された相手は、自分の秘密鍵で共通鍵を復号化します。((2)の復号化)、(4)で復号化された共通鍵を用いて暗号化された長文を復号化します。((1)の復号化)、上記手続きにより暗号通信が完成します。

このような操作は煩雑ですが、Entrust製品は、これら一連の作業がすべて自動的に行なわれます。


公開鍵証明書とは何か

公開鍵を使うときは、相手から渡された公開鍵が本当に本人のものかどうかが問題となり、ここで何らかの手段で公開鍵の認証を行なう必要が発生します。直接、相対して手渡された公開鍵は、信頼することができますが、見えない相手からネットワークを介して渡された公開鍵の信頼性には保証がありません。そこで信頼できる第三者機関である認証局(後述)が、厳密に利用者の審査を行ない、その人、本人の公開鍵であることを保証する｢公開鍵証明書｣を発行します。公開鍵証明書は利用者の公開鍵が、本物であることを証明するためのものです。公開鍵を印鑑としたときの印鑑証明書と考えることができます。

公開鍵証明書は利用者の名前、公開鍵、認証局の名前および有効期間を示したものに認証局の電子署名を付けたものになっています。証明書を受け取った利用者は信頼する認証局の検証鍵によってこの証明書の正しさを確認します。


認証局の役目

認証局(CA:Certification Authority)は公開鍵証明書を発行する信頼できる第三者機関で、利用者の身元を確認して登録し、公開鍵がその本人のものであることを保証します。また、認証局は発行した証明書が何らかの理由で有効性がなくなり、証明書を取り消さなければならなくなったときに、証明書取り消しリスト(CRL:Certificate Revocation List)をタイムリーに公開します。証明書取り消しリストの発行も認証局の役目となります。

公開鍵証明書を利用する人は、(1)問い合わせた認証局が信頼できること、(2)発行された証明書が有効期間内にあること、(3)証明書が取り消しリストに載っていないこと、を調べて証明書の有効性を確認します。
認証局の発行した証明書は通常、公開されたディレクトリに格納され、利用者は相手の証明書にアクセスできるようになっています。

信頼できる第三者機関としては、公的な機関、民間においては信頼に足るサービスを行なう機関、企業を指します。会社などにおいては、人事部が運営する社内組織機関などが考えられます。


PKIとは何か

公開鍵は電子署名やユーザの認証などで様々なアプリケーションで用いられる汎用のツールです。したがって、この公開鍵を個別で別々に使うのでなく認証局の発行する証明書をベースにして多くのアプリケーションにおいて、共通に使えるインフラストラクチャにしようという動きになってきました。

この公開鍵の基盤のことをPKI(Public-Key Infrastructure)と呼び、具体的には認証局を中心とした公開鍵のさまざまな管理や証明書の格納、検索を行なうディレクトリを含めたステム全体のことを指します。


公的な認証サービスの現状

現在、幾つかの信用のおける第三者認証機関が公開鍵証明書を一般利用者に商用のサービスとして提供しています。当初、このようなサービスはWebでの仮想店舗の信憑性を利用者に伝えることを目的に計画されました。
セキュリティの確保されていないバーチャルな店舗で、買い物をしようとするときにクレジット・カード番号を用いていたのでは、カードが悪用される恐れがあります。そこで、の証明書を発行して安全なショッピングを行なえるように、証明書発行のサービスが始まりました。さらに、サーバ側からも利用者の認証ができるように、個人認証のための証明書発行サービスも追加して行なわれるようになってきました。

これらの第三者認証機関はクレジットカード決済のためのSET(Secure Electronic Transaction)と呼ばれる環境の認証システムを提供しています。


電子商取引の概要

電子商取引は広い概念で扱われており、従来から行なわれてきたEDI(電子的データ交換)や銀行間の電子決済もこの概念に含まれます。最近、EC(Electronic Commerce)やe-Commerceという言葉が聞かれるようになりましたが、これは従来のEDIが主に専用線を使ってクローズに行なわれてきたものからインターネットを用いオープン・ネットワークを基本にしようとしていることで区別されます。この場合、セキュリティの問題がもっとも配慮される必要があります。

公開鍵暗号技術を使って安心して取り引きが行なうことが可能になれば、通信コストも大幅に削減することができ、また、かんたんに海外へと市場を広げることもできるなど、そのメリットは計り知れないものがあります。


電子マネー

電子マネーはICカードやパソコン上での電子財布に銀行やクレジット・カード会社から振り込まれる仮想の｢お金｣で、あり、現在、注目されつつあります。ここで電子マネーを用いて買い物をする場合、通常の貨幣を使うのと同じように匿名性をもって、できるようにすることが求められます。自分の使った電子マネーがすべて追跡されるようでは、現金のような安心感が保証されません。

このような場合もまた、公開鍵暗号技術を使った匿名電子署名の技術で実現されます。そして、この電子マネーの財布は公開鍵証明書で、信頼できる電子マネーの運用を可能にします。


安全な電子メール

インターネット世界での電子メールは、発信人がその人、本人であるといった保証はまったくありません。また、インターネットの電子メールは平文(暗号化されていない文)で流れるため途中で、誰かに中身を読まれてしまったり、内容を改ざんされてしまう危険性があります。電子メールは葉書きのようなもので、封筒がないといわれます。

電子メールを安全なものにするためには内容を暗号化し、電子署名をつけ、電子封筒に入れることが必要となります。この暗号化、電子署名や電子封筒が公開鍵証明書を用いることによって可能となります。これによって、封書に入れたようにプライバシーを守ることができ、署名で発信人の身元も保証されます。電子メールの暗号化と電子署名は、これからのビジネス・ツールにとって必須となることでしょう。


Entrust®の認証システムは何が優れているのか

Entrust社は他の第三者認証機関のような認証サービスを行なうのではありません。主に信頼される第三者組織や企業が、自社で認証局(CA)を運営するためのシステムや製品を提供する会社です。Entrustの提供する認証局のシステムは、企業がこれを運営するために必要な機能を備えています。

  • 組織内にCAを持つ
    独自のセキュリティポリシで運営でき、顧客・社員情報を外部に提出せずにすみます。安全性に関してはFIPS140-1(連邦情報処理機構)において認定されております。
  • 鍵を紛失、パスワードを忘れても過去のデータを復元できる(リカバー)
    所持していた鍵を紛失したりパスワードを忘れてしまった場合、この鍵で暗号化していた重要なファイルは永久に見られなくなりますが、Entrustでは鍵をリカバーできることと、否認防止の両方を実現するために2つの鍵ペアを使用しており、これを用いることにより過去のデータを復元することができます。
  • 管理の自動化
    鍵や証明書の管理が自動化されており、ユーザーが増えても管理コストを抑えることができます。また、鍵の盗難や利用者の資格がなくなったときの公開鍵証明書取り消しや証明書の更新も自動的に行ないます。
  • 使いやすいクライアント側のアプリケーション
    すべてのアプリケーションに対し、1回のログインで安全な環境を提供します。(シングル・サインオン)暗号化や電子署名、公開鍵証明書の手続きなど非常に煩雑な処理を行ないますが、ユーザはそれを意識せずに使えます。

（ページトップへ）