情報セキュリティにおけるデジタル署名の検証方法とは？

デジタル証明書とは何か？

デジタル証明書（Digital Certificate）は、公開鍵基盤（PKI）を利用して、個人や組織がウェブ上でデータを安全にやり取りできるようにする、電子的な「パスワード」のような存在です。公開鍵証明書やアイデンティティ証明書と呼ばれることもあります。

オンライン取引の安全を守るデジタル証明書

デジタル証明書は、オンライン商取引の安全性を維持するうえで欠かせない役割を果たしています。ブラウザがデジタル証明書に問題があると警告を表示した場合は、そのままページを進まずに注意してください。代わりに、明細書や電話帳などに記載されている公式の電話番号を使って事業者に直接問い合わせ、問題の内容を確認することをおすすめします。

公開鍵暗号方式とSSLによるデータ保護

公開鍵暗号方式では、顧客のコンピュータとECサイトの間でやり取りされるデータを暗号化するために、SSL（Secure Sockets Layer）が必要です。情報はサイトの公開鍵を使って暗号化されて送信され、サイトが受信したデータを復号するには、対応する秘密鍵が必要になります。この公開鍵と秘密鍵のペアは「キーペア」と呼ばれます。通信途中でデータを盗み見た第三者には、その内容を読み取ることはできません。

認証局（CA）の役割とX.509証明書の発行

認証局（CA）は、ある公開鍵が特定の企業や個人（「サブジェクト」と呼ばれます）に確かに属していることを確認します。この検証手続きの厳格さは、証明書のレベルや認証局ごとの方針によって異なります。

検証が完了すると、CAはCA自身およびサブジェクトの情報（サブジェクトの公開鍵などを含む）を記載したX.509証明書を作成します。続いて、CAは証明書内の一部フィールドからダイジェスト（ハッシュ値）を計算し、そのハッシュ値をCA自身の秘密鍵で暗号化して証明書に署名します。この暗号化されたダイジェストこそが「デジタル署名」であり、X.509証明書に組み込まれた時点で、その証明書は「署名済み」とみなされます。

秘密鍵の厳重管理が不可欠な理由

CAは自らの秘密鍵を極めて厳重に管理しなければなりません。万一秘密鍵が漏洩すれば、偽の証明書が作成される危険があるためです。

デジタル署名の検証プロセス

「署名済み証明書」の検証は、受信側のソフトウェア、通常はWebブラウザによって行われます。ブラウザは著名なCAとその公開鍵の内部リストを保持しており、該当するCAの公開鍵を使って署名を復号し、元のダイジェストを取り出します。

その後、ブラウザは証明書内の平文から自らダイジェストを再計算し、両者を比較します。2つのダイジェストが一致すれば、証明書の完全性（改ざんされていないこと）が確認され、証明書に含まれる公開鍵がサブジェクトの正当な公開鍵であると判断できます。

検証後の活用：安全な通信の確立

ここまでのプロセスで、サブジェクトの身元と証明書の完全性（改ざんの有無）が確認できました。証明書は通常、署名付きメッセージや署名付き実行ファイルと一緒に配布され、サブジェクトの公開鍵によってそれらの署名を検証することができます。さらに、サブジェクトの公開鍵は、暗号化された双方向の接続セッションを実現するための安全な鍵交換にも利用されます。