平成26年度 高度共通 午前I（PM試験） 問12
認証局が侵入され，攻撃者によって不正なWebサイト用のディジタル証明書が複数発行されたおそれがある。どのディジタル証明書が不正に発行されたものか分からない場合，誤って不正に発行されたディジタル証明書を用いたWebサイトにアクセスしないために利用者側で実施すべき対策はどれか。
- ア Webサイトのディジタル証明書の有効期限が過ぎている場合だけアクセスを中止する。
- イ Webサイトへのアクセスログを確認し，ドメインがWhoisデータベースに登録されていない場合だけアクセスする。
- ウ 当該認証局のCP（Certificate Policy）の内容を確認し，セキュリティを考慮している内容である場合だけアクセスする。
- エ ブラウザで当該認証局を信頼していない状態に設定し，Webサイトのディジタル証明書に関するエラーが出た場合はアクセスを中止する。
解答・解説を見る
正解：エ
AI解説
正解はエ。どの証明書が不正発行されたか特定できない以上、その認証局(CA)が発行した証明書全体を信頼しない状態にするしかない。ブラウザの信頼済みルート証明書から当該CAを外せば、そのCA発行の証明書を使うサイトへのアクセス時に必ず警告エラーが出るため、エラー時にアクセスを中止することで不正サイトへの接続を防げる。 ア: 有効期限の確認では、不正発行された証明書が有効期限内であれば検出できないため対策にならない。 イ: Whoisデータベースのドメイン登録有無は証明書の正当性とは無関係であり、不正証明書の検出にはならない。 ウ: CP(証明書ポリシ)は認証局の運用方針を示す文書にすぎず、既に侵入されて不正発行された証明書の識別には役立たない。 エ: 正解。当該CAを信頼済みリストから外し、証明書エラーが出たらアクセスを中止すれば、不正発行された可能性のある証明書のサイトを一律に回避できる。 💡 「どれが不正か分からない」ときは個別検証ではなく発行元ごと無効化する、という考え方がポイント。実世界でもCA侵害事件(DigiNotar事件など)ではブラウザベンダがルート証明書を削除して対処した。
出典：平成26年度 秋期 プロジェクトマネージャ試験 午前I 問12 ／ 独立行政法人情報処理推進機構（IPA）
※Web掲載用に表記を一部変更しています。著作権はIPAに帰属します。
※Web掲載用に表記を一部変更しています。著作権はIPAに帰属します。