公開鍵基盤（PKI）とは？仕組みと証明書運用を解説

公開鍵基盤（PKI：Public Key Infrastructure）とは、公開鍵暗号を使って「この公開鍵は確かにその相手（人・サーバー・機器）のものだ」と信頼できる第三者が保証する仕組みの総称です。Webサイトの「鍵マーク」（TLS/SSL通信）も、社内の証明書認証も、電子署名も、土台はこのPKIです。名前は難しそうに聞こえますが、要はデジタル世界の身分証明書（証明書）を発行・管理する社会基盤だと考えると分かりやすくなります。

この記事では、情報システム部門の担当者が「PKIとは何か」を短時間でつかみ、社内での証明書運用の勘所まで理解できるよう、基礎から実務まで整理します。

この記事でわかること

  • PKIが解決する「なりすまし・改ざん」という根本課題
  • 認証局（CA）・デジタル証明書・信頼の連鎖という中心的な仕組み
  • 情シスがPKIを扱う具体的な場面と、運用でつまずきやすいポイント

PKIとは何か？

PKIとは、公開鍵暗号方式を安全に使うための「信頼の枠組み」です。公開鍵暗号では、ペアになった「公開鍵」と「秘密鍵」を使います。しかし公開鍵そのものはただの数字の羅列で、「その鍵が本当に相手のものか」は分かりません。ここで偽の鍵を掴まされると、なりすましや盗聴が成立してしまいます。

PKIは、信頼できる第三者（認証局）が「この公開鍵は確かにこの相手のものです」と電子的に保証（署名）することで、この「鍵の持ち主は本当に本人か」という問題を解決します。この保証書がデジタル証明書です。

共通鍵暗号との違いは？

共通鍵暗号は暗号化と復号に同じ鍵を使うため高速ですが、鍵を相手に安全に渡す「鍵配送問題」を抱えます。公開鍵暗号は公開鍵を誰に見られても構わないため配送問題を解消できますが、その公開鍵の正当性を担保する必要があります。PKIはこの「正当性の担保」を担い、両者は実運用ではしばしば組み合わせて使われます（例：TLSは公開鍵暗号で共通鍵を安全に交換し、以後の通信は高速な共通鍵暗号で行う）。

なぜPKIが重要なのか？

結論から言えば、インターネット上の「相手が本物か」「内容が改ざんされていないか」という信頼のほぼすべてがPKIに支えられているからです。具体的には次の3つを実現します。

  • 認証（なりすまし防止）：通信相手が名乗るとおりの本人・サーバーであることを確認できる。
  • 暗号化（盗聴防止）：安全に鍵を交換し、通信内容を第三者に読まれないようにする。
  • 完全性・否認防止（改ざん防止）：電子署名により、内容が改ざんされていないこと、送信者が後から「送っていない」と否認できないことを保証する。

Webの常時暗号化（HTTPS）、社内無線LANやVPNの機器認証、電子契約・電子署名、コード署名など、身近な仕組みの多くがPKIの上に成り立っています。裏を返せば、証明書の期限切れや秘密鍵の漏えいは、これらの信頼を一気に崩すということでもあります。

PKIの主な構成要素は？

PKIは単一の製品ではなく、複数の役割を持つ要素の集合体です。中心となる登場人物を整理します。

構成要素 役割
認証局（CA：Certificate Authority） PKIの中核。申請者の公開鍵に電子署名し、デジタル証明書を発行する「信頼の起点」。
登録局（RA：Registration Authority） 証明書の申請受付と、申請者が本人かどうかの審査（身元確認）を担う窓口。
デジタル証明書 公開鍵と持ち主の情報を結びつけ、CAが署名した「電子的な身分証明書」。
秘密鍵 証明書の持ち主だけが保持する鍵。これが漏れると全体の信頼が崩れる最重要資産。
失効情報（CRL / OCSP） 有効期限内でも無効化された証明書を知らせる仕組み。CRL（失効リスト）とOCSP（オンライン照会）がある。
リポジトリ 証明書や失効情報を公開・配布する保管場所。

組織によっては、RAとIA（発行局）を分ける、CAを階層化するなど構成は異なりますが、「審査する人・発行する人・保証する人・失効を知らせる仕組み」が揃っている、と押さえておけば十分です。

デジタル証明書には何が入っているのか？

デジタル証明書（一般的にX.509という標準規格の形式）には、おおむね次の情報が含まれます。

  • 持ち主の情報（サーバーのドメイン名、組織名、人名など）
  • 持ち主の公開鍵
  • 証明書を発行した認証局（CA）の情報
  • 有効期間（開始日と失効日）
  • 証明書のシリアル番号・用途
  • これらの内容に対するCAの電子署名

CAの署名があることで、「この証明書の内容はCAが確認済みで、途中で改ざんされていない」ことが検証できます。ブラウザの鍵マークをクリックすると、これらの中身を実際に確認できます。

「信頼の連鎖」とは？ なぜ証明書を信用できるのか

答えは「証明書が信頼のチェーンでルート認証局までつながっているから」です。個々のサーバー証明書は中間CAが署名し、その中間CAはさらに上位のルートCAが署名する、という階層構造（証明書チェーン）になっています。

頂点にあるのがルート認証局で、その証明書（ルート証明書）はOSやブラウザにあらかじめ「信頼できるもの」として組み込まれています。検証する側は、受け取った証明書からルートまで署名をたどり、途中に問題がなく、かつ終点が「信頼済みのルート」であれば、その証明書を信頼します。

この構造ゆえに、ルートや中間CAの秘密鍵が漏えいすると影響が広範囲に及びます。過去に不正発行やCA自体の信頼失墜が起きた際、ブラウザ側が該当CAを一斉に信頼除外した事例もあり、PKIの信頼は「発行時点」だけでなく「その後の運用と失効管理」まで含めて成り立っていることが分かります。

情シスはPKIをどこで扱うのか？

「CAの運用は外部の話」と思われがちですが、実務では情シスがPKIに触れる場面は数多くあります。

  • サーバー証明書（TLS/SSL）：自社Webサイトや社内システムのHTTPS化。取得・更新・期限管理は情シスの定番業務。
  • クライアント証明書：社給端末やユーザーに証明書を配布し、VPN・無線LAN・社内システムへの接続を「証明書を持つ端末だけ」に限定する。パスワードより強固な機器認証として、ゼロトラスト的な運用でも重要。
  • コード署名・文書の電子署名：配布するプログラムや電子契約書の真正性を保証する。
  • 社内認証局（プライベートCA）の運用：社内限定の証明書を大量に発行する場合、自組織でCAを立てて運用することもある。

公開向けサーバーには公的に信頼された（パブリックな）CAの証明書を使い、社内限定用途にはプライベートCAを使う、といった使い分けが基本です。

PKI運用でつまずきやすいポイントは？（現場目線）

正直なところ、PKIの理論より「地味な運用」でこそ事故が起きます。現場でよく見かける落とし穴を挙げます。

  • 証明書の期限切れによるサービス停止：担当者の異動や管理台帳の不備で更新を見落とし、ある日突然サイトやシステムがエラーで止まる——PKIまわりで最も多い「ありがちな事故」です。有効期間の短縮化が進む中、手作業での期限管理はいずれ限界が来ます。
  • 秘密鍵の管理のずさんさ：秘密鍵をサーバー上に平文で放置したり、退職者のPCに残ったままだったり。鍵が漏れれば証明書ごと信頼が崩れます。
  • 失効の徹底漏れ：端末を紛失・廃棄したのに証明書を失効させないと、拾った第三者が正規端末になりすませます。発行だけでなく「止める」運用まで設計が必要です。
  • 証明書の棚卸しができていない：どのサーバーに、どのCA発行の、いつ切れる証明書があるか。全体像を把握していない組織は少なくありません。

限られた人員で多数のサーバーや端末を見ていると、「証明書の一覧を最新に保つ」だけでも簡単ではありません。だからこそ、証明書の発行・更新・失効を台帳で一元管理し、可能なら自動更新・期限アラートの仕組みを整えることが、地道ですが最も効く対策です。

これからのPKIで意識したいことは？

中長期では、暗号アルゴリズムそのものの見直し（暗号アジリティ）が論点になります。将来、大規模な量子コンピュータが実現すると、現在のPKIで広く使われるRSAや楕円曲線暗号（ECC）が解読されうると指摘されています。各国標準化機関では耐量子計算機暗号（PQC）への移行が進み始めており、証明書や鍵の中身を将来的に入れ替えられる運用設計が求められます。詳しくは 量子コンピュータの暗号解読｜研究の現在地と情シスの備え で整理しています。

また、証明書認証を軸にした端末・ユーザー認証は、境界防御からの脱却を図る ZTNA（ゼロトラストネットワークアクセス） とも親和性が高く、PKIの理解はゼロトラスト設計の土台にもなります。証明書の管理体制は、ISMS のような情報セキュリティマネジメントの枠組みの中で「暗号鍵・証明書のライフサイクル管理」として位置づけて運用すると、抜け漏れを防ぎやすくなります。

まとめ

  • PKIとは、認証局（CA）が「この公開鍵は本人のもの」と保証する仕組みで、Web暗号化・機器認証・電子署名など、デジタルの信頼の土台になっている。
  • 中心は認証局・デジタル証明書・ルートまでつながる信頼の連鎖。証明書の中身と失効管理まで含めて信頼が成り立つ。
  • 情シスの実務では理論より証明書の期限管理・秘密鍵の保護・失効の徹底・棚卸しが肝。台帳による一元管理と自動化が事故を防ぐ。

出典・参考

タイトルとURLをコピーしました