7.20.1 証明書の概要

LANSA Integrator

previous page next page

7.20.1 証明書の概要

証明書とは何か

証明書は所有者（対象名）を識別し、証明書の使用を制御する情報でラベル付けされた公開鍵です。

自己署名証明書とは何か

自己署名証明書とは、発行者名（署名者）と対象名（所有者）が同一の証明書です。

証明書がCA証明書になるのはどのような場合か？

他の証明書を発行するために使用される場合です。

また、証明書を発行する役割をサポートする情報（拡張）（CRLDistPoint、BasicConstraintsなど）が含まれます。

CAフラグをtrueに設定した拡張、BasicConstraints、も含まれていなければなりません。

ルートまたは最上位のCA証明書は自己署名されています。

証明書のサムプリントとは何か

証明書のサムプリントは証明書全体に計算されたハッシュです。

このサムプリントは証明書が表示されるたびに計算されます。証明書には含まれていません。

証明書の中には何が入りますか？

X.509標準では、どんな情報を証明書に含めることができるかが定義されており、その書き方（データフォーマット）も説明されています。

すべてのX.509証明書には署名の他に以下のデータが含まれています。

バージョン	証明書にX.509標準のどのバージョンが適用されているかを特定します。これは証明書に指定できる情報に影響します。
シリアルナンバー	証明書を作成した実体は、実体が発行する他の証明書と区別するために、証明書にシリアルナンバーを割り当てる責任があります。この情報は様々な方法で使用されます。例えば、証明書が無効となった場合、証明書失効リスト（CRL）にそのシリアルナンバーが入れられます。
署名アルゴリズム識別子	このアルゴリズムは、CAが証明書に署名するときに使用されます。
発行者名	証明書に署名した実体の名称。これは通常、CAになります。証明書を使用する場合、この証明書に署名した実体を信頼することになります。ルートや最上位のCA証明書のように、発行者が自分の発行した証明書に署名する場合もあります。
有効期間	それぞれの証明書は限られた期間内にのみ有効です。その期間は開始日時と終了日時により記述されます。その長さは短いもので数秒、長いものではほぼ1世紀も可能です。有効期間は多くの要素を考慮して選択されます。例えば、証明書の署名に使用した秘密鍵の強度や、証明書に支払ってもよいとみなす金額などです。これは、関連する秘密鍵が改ざんされていない場合、実体が公開鍵の値を信頼できると予測した期間です。
対象名	証明書により識別された公開鍵の実体の名称。この名称は、X.500標準を使用するので、インターネット上で一意であることが意図されています。例えば、実体の識別名(DN)などです。 CN=Road Runner、OU=Rocket Powered Systems、O=Acme Corportation、C=AU (これらは、対象の通称、組織単位、組織、国を示します)。
対象の公開鍵	名前をつけられた実体の公開鍵と、その鍵が属する公開鍵暗号化システムのアルゴリズム識別子および関連キーパラメータ。

バージョン

バージョン1は1988から提供され、広く頒布されており、最も一般的です。

バージョン2では、対象名や発行者名を何度も再利用する可能性に対応するために、対象と発行者に対する一意の識別子の概念が導入されました。ほとんどの証明書のプロファイル文書では、名前を再利用しないことと、証明書が一意の識別子を使用しないことを強く推奨しています。バージョン2の証明書はあまり広く使用されていません。

バージョン3は最も新しく（1996）、拡張の概念をサポートしています。これにより、誰でも拡張を定義して証明書に組み込むことができます。

現在使用されている一般的な拡張には以下が含まれます。

· KeyUsage (キーの使用を、「署名のみ」というように、特定の目的に制限します)。

· AlternativeNames (他の識別子にも公開鍵への関連付けを許可します。例：DNS名、電子メールアドレス、IPアドレス)。

拡張はcriticalに指定でき、その拡張をチェックし実行/使用するよう指示できます。

例えば、証明書でcriticalに指定された拡張、KeyUsage、が"keyCertSign"に設定されている場合、この証明書がSSL通信中に提示されても拒否されます。証明書の拡張が、関連する秘密鍵は証明書への署名のみに使用するべきで、SSLには使用しないということを示しているからです。

フォーマットのエンコード

証明書内のすべてのデータはASN.1/DERという2つの関連する標準を使用してエンコードされています。Abstract Syntax Notation 1はデータを記述します。Definite Encoding Rulesは、そのデータを保管し転送する単一の方法を記述します。

X.500、X.509、およびX.520の各標準では、構造はAbstract Syntax Notation 1 (ASN.1)で指定されて、ASN.1を8ビットのバイナリデータとしてエンコードするBasic Encoding Rules (BER)を使用して、転送のためにエンコードされます。

また、証明書管理のように、構造が署名されるデータを表す場合、Distinguished Encoding Rules (DER：BERのサブセットで、同じデータは常に同じバイナリ表記にエンコードされるというプロパティを持つ)を使用してエンコードされたデータに基づいて署名が計算されます。

証明書に保管されている情報はASN.1オブジェクトのシーケンスで、それぞれがオブジェクト識別子（OID）でラベル付けされています。

オブジェクト識別子は一意のオブジェクト（例えば企業の証明書実務の記述）を識別する数字の文字列です。

OIDは国際標準化機構（ISO）の登録認定機関により管理されています。

この機関は、ISOが地域の登録認定機関に委任する場合もあります。

OIDはドット表記の階層的な数字の列です。

最上位のOIDの割り当ては以下のとおりです。

	0	ITU-Tによる割り当て
	1	ISOによる割り当て
	2	ISO/ITU-Tによる共同割り当て

2次レベルの割り当ては以下のとおりです。

2.5

X.500ディレクトリサービス

その他のレベルの割り当ては以下のとおりです。

	2.5.4	X.500属性タイプのオブジェクト識別子
	2.5.4.3	通称
	2.5.4.5	シリアルナンバー
	2.5.4.6	国名
	2.5.4.7	地域
	2.5.4.8	州
	2.5.4.10	組織
	2.5.4.11	組織単位

	2.5.29	バージョン3拡張のオブジェクト識別子
	2.5.29.14	対象公開鍵識別子
	2.5.29.15	キー用途
	2.5.29.17	対象の代替名称
	2.5.29.19	基本的制限
	2.5.29.35	機関キー識別子