このレポートでは、PKIの中で中心的な役割を持つ電子証明書（公開鍵証明書）について述べました。今回のレポートでは、電子証明書を発行する第三者機関である認証局について説明していきます。
一般社会では、運転免許証などの身分証明書や印鑑証明の信頼性は、それを発行する公的機関の信用によって担保されています。これら証明書の発行は、主に官公庁、地方自治体などの行政機関が行っており、
①.団体として認知・信用があること
②.発行業務の手続きで高い信頼性を確保していること
が必要とされます。
お互いの顔の見えないネットワーク上での契約・取引行為に利用される電子証明書においても同様のことが言えます。つまり、認証局の信用が、その認証局の発行する証明書の信頼性を決定します。
前回のレポートでは、認証局の主な機能とその機能を提供する部位を紹介しました。
- 発行局（Issuing Authority：IA）
- 登録局（Registration Authority：RA）
- リポジトリ
などです。
認証局の信用とは、これらの構成部位が、どのようなシステムや基準のもとで運用され、人々に信頼される組織となり得るか、ということです。
図1 認証局の中枢部にある発行局イメージ
発行局（IA)は認証局の中枢部にあります。物理的にはデータセンターの中の認証局エリアの中心部、最もセキュリティレベルの高い位置に存在しています。
また、ネットワーク的にも、何段ものファイア・ウォールを経た最も深い位置にあります。ルート認証局など、ネットワークから完全に隔離されたものも存在します。
IAでは、認証局の秘密鍵が厳重に管理されており、適切な権限により、秘密鍵を活性化（使えるようにすること）・非活性化（使えないようにすること）を行える様になっています。
IAの前段には登録局（RA）が位置します。RAは、IAに対するリクエストをフィルタする役割があります。実際には、認証局に証明書の発行、証明書の失効といった依頼があったときに、RAはその内容を精査し、発行、失効のリクエストをIAに送る、送らないを制御します。
認証局と通信する一般のアプリケーションはRAのさらに外側にあります。このRAの外側に位置するエリアが、通常のネットワークでいう、セキュアエリアです。日本の城に例えると、IAは本丸、RAは二の丸といった表現が適切かもしれません。外敵が本丸に攻め入る前に、三の丸、二の丸、といった砦を経由する必要がありますが、認証局システムは、まさにこのような構造を持っていると言えます。
認証局は、前述したセキュアなネットワークとともに、高度なセキュリティシステムを備えています。最近では、一般のデータセンターでもセキュリティが厳しくなり、監視カメラや入退室のICカードによるチェック以外にも生体認証や暗証番号入力が必要となっているようですが、CAルームの場合は、単独ではなく、2人以上が同時に指紋や光彩など生体認証チェックが必要だったり、赤外線センサーが設けられていたりと、まさにスパイ映画の世界で、一般人の常識を超える厳格さが 確保されています。
認証局の秘密鍵はHSM（ハードウェア・セキュリティ・モジュール）という鍵管理モジュールで管理されていますが、これも一定の権限を持った複数人が同時に操作しないと活性化できない仕組みになっています。物理的な構造も強固で、外界から内部の秘密鍵を取り出そうとする行為に対して、あらゆる攻撃を防御できる仕組みを有しています。
例えば、頑丈な外壁で囲まれており、無理にこじ開けようとすると内部の秘密鍵データが消失する、規定外の温度や無理な電圧をかけると動作を停止する、消費電力や電磁波の解析により、内部での演算処理を推定（＝秘密鍵に関する情報を推定）できないようにする、などです。
こうした鍵管理モジュールについては、アメリカ商務省管轄のNIST（National Institute of Standards and Technology：国立標準技術研究所）が暗号モジュールのセキュリティ要件として規定したFIPS 140-2規格があります。
セキュリティレベルとして4段階（1：PCレベルから1：最高レベル）に分類されていますが、認証局の鍵管理の要件としては、レベル3に準拠した製品がデファクトスタンダード（市場における事実上の標準レベル）となっています。また、設備のみでなく複数人による作業立会や権限管理等、人的運用面でのセキュリティ確保も配慮されています。
図2 リポジトリ/利用約款ページ
認証局自体を構築することは誰でも技術的に可能です。ただ、ここで問題になってくるのは、俗に言う「オレオレ」ではなく、人々に信頼される認証局であるという裏付けをどうやって確保し維持していくかということです。
GMOグローバルサインを始め電子認証サービス事業を提供する認証局各社は、信頼できる第三者機関として広く認知されることを目的とし外部監査を定期的に受けています。認証局に関する監査基準の代表的なものが米国公認会計士協会とカナダ勅許会計士協会が定めた、認証局運営の信頼性・安全性などの基準である「WebTrust（ウェブトラスト）」監査です。監査にパスすると認証局は自社ホームページ上へのWebTrustシール掲示が可能となり、認証局としての信頼性をアピールすることができます。
また、マイクロソフト社製品をはじめとしたインターネットアクセス製品へ、信頼できる認証機関として認証局ルート証明書を搭載するための要件のひとつとしてもWebTrust監査をパスし続けていくことが規定されています。
さらに、信頼できる第三者機関としての認知を高めるため、私たちGMOグローバルサインをはじめとする認証局では、電子証明書の利用目的、適用範囲を規定する証明書ポリシー（CP）及び認証局がCPをどのように運用していくのかを規定する認証局運用規程（CPS）を公開しています。GMOグローバルサインの「CP/CPS」は、ホームページのメニューバー「サポート」→「リポジトリ・利用規約」で確認いただけます。
このように、信頼できる第三者機関として認証局が認知される要件を技術・運用の両面から整備し、マイクロソフト社を始め各ブラウザや携帯電話その他デバイス等へのルート証明書搭載を十分に進めたところで証明書発行サービスを提供しお客様を増やしていくことで、さらに認知・信頼を高めていくというさまざまな取り組みを積み重ねることにより、ついには世界中の人々から信頼される認証局になれるのだと言えます。
このように認証局の信頼とは一朝一夕に実現できないことをおわかりいただければと思います。
次回は、以前のレポートでも紹介した、PKIに関わる人々の旬な関心事である暗号アルゴリズムの2010年問題について述べてみたいと思います。
- 【第22回】電子認証サービスの基幹技術PKIとは？ - インターネット利用で必要な電子証明書、電子署名、暗号化施術などについて -
- 【第25回】PKIの暗号技術に迫る！ - 公開鍵、秘密鍵（私有鍵）および電子証明書のしくみとは -
- 【第28回】これが、電子証明書のすべて - 電子署名の正当性を裏付ける電子証明書および認証局について -
- 【第33回】暗号アルゴリズムの2010年問題 - 次世代暗号技術移行に向けた認証局の対応について -
- 【第36回】意外に知らない暗号の謎を解く！ - 「暗号アルゴリズムの2010年問題」補論 -
