平成27年度  春期  情報処理安全確保支援士スペシャリスト試験  午後Ⅱ  問２  設問４に関する質問

はじめまして、カズオと申します
表題に関して答えを見てもよくわからなかったので投稿させていただきました。
もしよろしければご回答いただければ幸いでございます。

表８の穴埋め問題となるのですが、（j）の解答が
J社本社（IA）となる理由がわからずにいます。
「証明書の発行者としてディジタル署名の付与」とありますが、
ディジタル署名に必要な秘密鍵はK工場が持っていると存じますため
答えはK工場（RA）となるような気が致します。（表8鍵ペアの作成の項目を参照）

この場合、どのように考えるのが正しいのでしょうか。
ご教示いただけますと幸いでございます。

宜しくお願い致します。

IA(発行局)はRA(登録局)からの指示に従い、利用者のクライアント証明書を発行します。
このとき、IAがプライベートCAの秘密鍵でもってディジタル署名します。
このプライベートCAの秘密鍵を持っているのはIAだと、問題文から推測できます。
  「CA機能の内、IAについてはJ社本社のプライベートCAを利用し、」
RAがプライベートCAの秘密鍵を持っているとは推測できません。

カズオさんの言う
<ディジタル署名に必要な秘密鍵はK工場が持っていると存じますため> 
の秘密鍵は利用者の秘密鍵です。
設問4(3)にあるように、本来利用者のみが持つもので、CA(IAもRAも)は知らなくて良い情報です。

こりん様

ご回答ありがとうございました。

>プライベートCAの秘密鍵を持っているのはIAだと、問題文から推測できます。
表8で「鍵ペアの作成」を行っているのはK工場(RA)とあります。
この鍵ペアとは「認証局」の公開鍵、秘密鍵を指すことと存じます。
K工場(RA)で鍵ペアを作成後にJ社本社(IA)に秘密鍵を渡した、
という認識でよろしかったでしょうか。

先にご指摘となりますが、
デジタル署名に必要なのはCA（またはIA）の秘密鍵と、利用者の公開鍵です。
Ｋ工場はCA（またはIA）では無いので、デジタル署名を行うための秘密鍵は持っていません。

以下、長いですが、解説となります。

本来の流れとしては
①証明書を利用したい本人（以下、利用者）が鍵ペアを作成します
②利用者は先ほど作った鍵ペアのうち、"公開鍵"と各種証明書をCAに送信します
③CAは先ほど受け取った証明書が正しいか、送られた公開鍵に対応する秘密鍵を利用者が所持しているかどうか等をチェックします
④CAは利用者から受け取った"利用者の公開鍵"と利用者の各種証明書のハッシュ値を計算して、その値を"CAの秘密鍵"を使った暗号化して、サーバ証明書を作成・発行します

次にRAとIAの仕事ですが、これらはCAの仕事を作業分担させているだけです。
具体的にはRAは③のみを担当して、残りの作業はIAが担当します。
ざっくり言えば、RAの仕事は"証明書の不備チェック"と"本人確認"くらいで、証明書の発行はしません。

そのうえで、今回の設問の話に移ります。

h.Subjectの名前がかぶらないようにするのは証明書の必須要件なので、これは証明書の不備チェックです。つまりRAの仕事なのでＫ工場です
i.証明書を発行していいかどうかというのは、証明書に問題が無いかどうかという話です。なので、これも証明書の不備チェックで、RAの仕事なのでＫ工場です。
j.証明書の発行者は分担していなければCA、分担しているならIAです。証明書の発行ではなくディジタル署名の付与というのが、ちょっと紛らわしい表現ですが、証明書の発行者と断言しているのでIAであるｊ社本社以外はあてはまりません。
k.ここが一番の曲者で、RAとかIAは関係無いです。証明書を利用する側の話になります。Kサーバにアクセスしてきた端末のクライアント証明書が正しいかどうかは、Ｋサーバがチェックしなければいけません。これはあらかじめCAから受け取っていた公開鍵を使って証明書の情報を復号することで証明書の中身をチェックします。Ｋサーバの所有者はＫ工場なので、Ｋ工場が正解になります
l.CRLの発行は"発行作業"ですので、RAにはできません。これはCA、分担しているならIAの仕事です。

まとめると、
CA=IA+RA（分担する場合だけ。分担しない場合はCAが単独で全ての作業を行う）
RAはチェックだけ。実際に発行するのはCAまたはIA

長々の説明になってしまいましたが、私もこのあたりの知識はあいまいな部分が多いので、良ければ、他の方の意見も聞きたいです

グルタミンさん

ご回答ありがとうございます。

>RAの仕事は"証明書の不備チェック"と"本人確認"くらいで、証明書の発行はしません。
とご教示いただきました。
表8で、K工場は「鍵ペアの作成」を行っているとありますので、
認証局の公開鍵秘密鍵の作成はK工場（RA）が行っていると考えたのですが、
そういうわけではないのでしょうか。
表8の「鍵ペアの作成」というのが具体的に何を言っているのかがあまり理解できずにいます。

No3の質問と重複する部分となると存じますが、宜しくお願い致します。

デジタル証明書の話では、鍵ペアが二種類登場します。
・利用者間で交換する鍵ペア
・認証局がデジタル署名を作るときに用いる鍵ペア
この辺りは別の解説サイト等で図を見ながらの方が理解できると思いますので、お手持ちの書籍や「PKI CA」「デジタル証明書」等の検索で引っかかったサイトをご覧ください。

今回、ｋ工場が作ったのは前者であり、デジタル署名に必要な鍵ペアを持っているのはCA（またはIA）です。

今回、直接の利用者ではなく、RAとしての側面を持つＫ工場が鍵ペアを作っているというので話がややこしくなっていますが、設問４の（３）を読むと、「鍵ペアを利用する主体が鍵ペアを作成するのが原則」という言葉が出てきており、この原則を崩して、主体（利用者）の代わりに、Ｋ工場がそれを作成しているという事が読み取れます。
この事から、Ｋ工場で作成しているのは、利用者間で交換するときに使う鍵ペアであり、認証局がデジタル署名に使う際の鍵ペアではないという事が推測できます。

グルタミンさん

ご教示いただいた内容をもとに、もういちど教科書等を見直して理解を深めていきたいと存じます。
ご回答ありがとうございました。