問題
問62
電子証明書を発行するときに生成した秘密鍵と公開鍵の鍵ペアのうち、秘密鍵が漏えいした場合の対処として、適切なものはどれか。
- 使用していた鍵ペアによる電子証明書を再発行する。
- 認証局に電子証明書の失効を申請する。
- 有効期限切れによる再発行時に、新しく生成した鍵ペアを使用する。
- 漏えいしたのは秘密鍵だけなので、電子証明書をそのまま使用する。
[出典：ITパスポート試験 平成30年度秋期 問62]
正解
正解は「イ」です。
解説
正解は選択肢イの「認証局に電子証明書の失効を申請する」です。電子証明書は、インターネット上での身分証明書のような役割を果たし、公開鍵と秘密鍵のペアによって機能します。秘密鍵は、本人しか知らない情報であり、これが漏えいするということは、第三者に本人になりすまされる危険性があることを意味します。このような事態が発生した場合、漏えいした秘密鍵とそれに対応する電子証明書が悪用されるのを防ぐため、速やかにその電子証明書を無効にする手続きが必要です。この手続きを「失効申請」と呼び、電子証明書を発行した「認証局」に対して行います。
認証局は、申請を受けて電子証明書がもう使えないことを公開することで、悪意のある第三者による不正利用を防止するのです。これは、もし家の鍵をなくしてしまったら、すぐに鍵業者に連絡して、その鍵が使えないようにしてもらうのと同じような状況だと考えてください。
ア(使用していた鍵ペアによる電子証明書を再発行する。):
秘密鍵が漏えいした後に同じ鍵ペアで電子証明書を再発行しても、漏えいした秘密鍵は悪用される可能性があるため、根本的な解決にはなりません。新しい鍵ペアを作成し、それに基づいて新たな電子証明書を発行する必要があります。
ウ(有効期限切れによる再発行時に、新しく生成した鍵ペアを使用する。):
有効期限切れは、定期的な更新作業の一部であり、秘密鍵の漏えいとは別の問題です。秘密鍵が漏えいした場合は、有効期限に関わらず直ちに失効手続きを行う必要があります。
エ(漏えいしたのは秘密鍵だけなので、電子証明書をそのまま使用する。):
秘密鍵は電子証明書の信頼性を保証する重要な要素です。秘密鍵が漏えいすると、たとえ公開鍵（電子証明書）自体が改ざんされていなくても、第三者が秘密鍵を悪用して本人になりすまし、不正な署名などを行う可能性があるため、そのまま使用するのは非常に危険です。
難易度
この問題の難易度は比較的「易しい」と言えます。ITパスポート試験のセキュリティ分野における基本的な知識、特に公開鍵暗号方式と電子証明書の仕組み、そして秘密鍵の重要性を理解していれば、正解を導き出すことができるでしょう。日常のセキュリティ意識と結びつけて、鍵が漏えいした際の対処法を考えると、さらに理解しやすくなります。選択肢の内容も、それぞれの用語の役割が分かっていれば、正しい対処とそうでない対処の区別がつきやすい構成です。
用語補足
電子証明書：
インターネット上での身分証明書のようなもので、データの作成者が誰であるかを証明したり、データが改ざんされていないことを確認したりするために使われます。例えば、オンラインでの契約時に、これがあなたの署名であることを証明する印鑑のようなものです。
秘密鍵：
公開鍵暗号方式で使われる、本人だけが持つ秘密の鍵です。暗号化されたデータを復号したり、デジタル署名を作成したりするために使われます。例えるなら、自分だけの銀行のキャッシュカードの暗証番号のようなもので、誰にも知られてはいけません。
公開鍵：
秘密鍵とペアで使われる、誰でも利用できる公開された鍵です。秘密鍵で作成されたデジタル署名を検証したり、送りたいデータを暗号化したりするために使われます。例えるなら、誰でも知っている電話番号のようなもので、みんなに教えても問題ありません。
認証局（CA）：
電子証明書を発行し、その正当性を保証する信頼できる第三者機関です。例えるなら、パスポートや運転免許証を発行する国の機関のようなもので、その証明書が本物であることを証明します。
対策
この問題を解くためのポイントは、公開鍵暗号方式における「秘密鍵」と「公開鍵」のそれぞれの役割を正確に理解すること、そして「電子証明書」がどのような目的で使われ、「認証局」がどのような役割を果たすかを把握することです。特に、秘密鍵は「本人しか知り得ない情報」であるため、それが漏えいした際のリスクと、そのリスクを最小限に抑えるための適切な対処法（失効申請）を結びつけて覚えることが重要です。各用語の定義と、それらが互いにどのように関連し合ってセキュリティを確保しているのかを学ぶことが、対策の鍵となります。
