情報処理安全確保支援士(情報セキュリティスペシャリスト) 試験情報＆徹底解説

クライアント証明書は何を見て、クライアントの真正性を確認しているのでしょうか？
サーバー証明書は、アクセスしたFQDNとサーバー証明書のコモンネームが一致するかを調べると思います。
しかし、クライアント証明書はどうやって確認しているのでしょうか？

僕も以前悩んだのでアウトプットします。

ChatGPT3.5.に聞いた方がわかりやすいですよ。

Q
サーバ証明書の検証とクライアント証明書の検証のやり方は、同じですか？

A
サーバー証明書の検証とクライアント証明書の検証は、基本的な手順は同じですが、それぞれの役割や文脈に合わせて細かい違いがあります。

以下は、それぞれの証明書の検証の基本的な手順です：サーバー証明書の検証：

サーバーから受信した証明書の有効性を確認するために、信頼された認証局（CA）の公開鍵を使用して署名を検証します。

証明書が有効期限内であることを確認します。

サーバーのFQDNが証明書のコモンネーム（CN）またはSAN（Subject Alternative Name）と一致していることを確認します。


クライアント証明書の検証：クライアントから受信した証明書の有効性を確認するために、信頼された認証局（CA）の公開鍵を使用して署名を検証します。

証明書が有効期限内であることを確認します。

クライアント証明書のコモンネーム（CN）またはSANが、サーバーが要求したクライアント識別情報と一致していることを確認します。

サーバー証明書の場合は、サーバーの識別と信頼性が重要です。一方、クライアント証明書の場合は、クライアントの識別と認証が重要です。そのため、検証の手順は共通していますが、それぞれの証明書が担う役割に合わせて細かい違いがあります。

回答ありがとうございます。
回答内容に関して1つ質問なのですが、”サーバーが要求したクライアント識別情報と一致”とありますが、クライアント識別情報とは社員IDや利用者IDみたいな感じでしょうか？

そうです。

クライアント証明書のSubject Distinguished Name（Subject DN）は、証明書のサブジェクト（つまり、証明書の所有者）に関する一意の識別情報を含んでいます。これは、人やシステムの識別に使用されるフィールドで、一般的に以下のような情報が含まれます：

• CN (Common Name): クライアントの一般的な名前。個人の場合はフルネーム、システムやデバイスの場合はその識別名やホスト名。
• O (Organization): クライアントが所属する組織の名前。
• OU (Organization Unit): 組織内の特定の部門やユニット。
• C (Country): クライアントまたは組織の所在国。
• ST (State or Province): クライアントまたは組織の所在州や地方。
• L (Locality): クライアントまたは組織の所在地。
• E (Email Address): クライアントの電子メールアドレス。

例えば、ある企業の従業員がクライアント証明書を持っている場合、そのSubject DNは次のようになるかもしれません：

• CN=John Doe
• O=Example Corporation
• OU=Information Technology
• C=US
• ST=California
• L=San Francisco

納得しました、ありがとうございます。