Loading article…
暗号化とコンピュータセキュリティにおいて、ルート証明書はルート認証局(CA) を識別する公開鍵証明書です。[ 1 ]ルート証明書は自己署名されており(証明書がクロス署名されたルートによって発行された場合など、証明書に複数の信頼パスが存在する可能性があります)、X.509ベースの公開鍵インフラストラクチャ(PKI) の基盤を形成します。認証局鍵識別子とサブジェクト鍵識別子が一致している場合、認証局鍵識別子がない場合、発行者文字列がサブジェクト文字列と一致する必要があります ( RFC 5280 )。たとえば、安全なWebブラウジングと電子署名スキームのためにHTTPS [ 2 ]をサポートする PKI は、一連のルート証明書に依存しています。
認証局は、ツリー構造の形式で複数の証明書を発行できます。ルート証明書はツリーの最上位の証明書であり、他の証明書に「署名」するために使用される秘密鍵です。ルート証明書によって署名され、「CA」フィールドがtrueに設定されているすべての証明書は、ルート証明書の信頼性を継承します。ルート証明書による署名は、現実世界における身分証明書の「公証」にいくらか似ています。このような証明書は、中間証明書または下位認証局証明書と呼ばれます。ツリーの下位にある証明書も、中間証明書の信頼性に依存します。
ルート証明書は通常、証明書以外のメカニズム、例えば安全な物理的配布などによって信頼性が確保されます。例えば、最もよく知られているルート証明書のいくつかは、製造元によってオペレーティングシステムに同梱されています。Microsoftは、 Microsoft ルート証明書プログラムのメンバーに属するルート証明書をWindowsデスクトップおよびWindows Phone 8に配布しています。[ 2 ] Apple は、独自のルート プログラムのメンバーに属するルート証明書を配布しています。
2011年、オランダの認証局DigiNotarはセキュリティ侵害に見舞われた。これにより、様々な不正な証明書が発行され、中でもイランのGmailユーザーを標的とした攻撃に悪用された。DigiNotarの証明書に対する信頼は失墜し、同社の運営管理はオランダ政府によって引き継がれた。
2009年、中国インターネットネットワーク情報センター（CNNIC）の職員がMozillaにCNNICをMozillaのルート証明書リストに追加するよう申請し[ 3 ]、承認された。その後、MicrosoftもCNNICをWindowsのルート証明書リストに追加した。
2015年、CNNICが発行した中間認証局がGoogleドメイン名の偽の証明書を発行していたことが判明したため[ 4 ] 、多くのユーザーがCNNICが発行したデジタル証明書を信頼しないことを選択し、CNNICの証明書発行権限の乱用について懸念が高まった[ 5 ] 。
2015年4月2日、GoogleはCNNICが発行した電子証明書を今後は認めないと発表しました。[ 6 ] [ 7 ] [ 8 ] 4月4日、Googleに続いてMozillaもCNNICが発行した電子証明書を今後は認めないと発表しました。[ 9 ] [ 10 ]
2016年、Qihoo 360 [ 11 ]が所有する中国最大の認証局証明書発行会社であるWoSignと、そのイスラエル子会社StartComは、 Googleから証明書の承認を拒否されました。Microsoftは2017年に該当する証明書を削除しました。 [ 12 ]
WoSignとStartComはわずか5日間で同じシリアル番号の証明書を数百枚発行し、日付を遡った証明書も発行した。[ 13 ] 2016年には、フロリダのシステム管理者がWoSignとStartComに複数のGitHubドメインの偽の証明書を発行させることに成功した。[ 14 ]