Loading article…
オフライン ルート証明機関は、ネットワーク アクセスから分離されており、多くの場合、電源がオフの状態に保たれている 証明機関( X.509標準およびRFC 5280で定義)です。
公開鍵インフラストラクチャでは、信頼された機関のチェーンはルート証明機関(ルート CA) から始まります。ルート CA がインストールされ、そのルート証明書が作成されると、ルート CA の管理者が次に行うアクションは、中間 (または下位) CA を承認する証明書を発行することです。これにより、ルート CA の直接的なアクションなしで デジタル証明書を発行、配布、および取り消すことができるようになります。
ルート CA が侵害された場合の影響は非常に大きいため(PKI 内のすべての証明書を再発行する必要が生じるなど)、すべてのルート CA を不正アクセスから保護する必要があります。ルート CA のセキュリティと整合性を確保するための一般的な方法は、ルート CA をオフライン状態にしておくことです。ルート CA は、特定のまれなタスク (通常は中間 CA を認可する証明書の発行または再発行に限定) に必要な場合にのみオンラインになります。
オフライン操作の欠点は、ルート CA による証明書失効リストのホスティングが不可能なことです ( HTTP、LDAP、OCSPなどのプロトコルを介して CRL 要求に応答できないため)。ただし、証明書検証機能を、オフライン ルート CA によって承認された 専用の検証機関に移動することは可能です。
オフライン ルート CA が PKI のセキュリティと整合性を大幅に向上させる方法をより深く理解するには、CRL がリスト上の証明書を発行した CA に固有のものであることを認識することが重要です。したがって、各 CA (ルートまたは中間) は、独自に発行した証明書の失効を追跡する責任のみを負います。
ルート CA が 3 つの中間 CA (A、B、C) に証明書を発行するシナリオを考えてみましょう。
- ルート CA は合計 3 つの証明書を発行しました。
新しく作成された中間 CA は、独自の証明書を発行します。
- 中間CA「A」は10,000の証明書を発行する
- 中間CA「B」は20,000の証明書を発行する
- 中間CA「C」は30,000の証明書を発行する
各中間 CA が発行したすべての証明書を失効させる場合、各中間 CA に固有の CRL の最大サイズは次のようになります。
- 中間 CA「A」: 10,000 CRL エントリ
- 中間 CA「B」: 20,000 CRL エントリ
- 中間 CA「C」: 30,000 CRL エントリ
ただし、ルート CA は中間 CA ごとに 3 つの証明書しか発行していないため、CRL の最大サイズは次のようになります。
- ルート CA: 3 つの CRL エントリ
したがって、中間 CA を使用することで、ルート CA 固有の CRL を維持およびホストする全体的な負担と、関連する検証機関を維持する負担が最小限に抑えられます。