デジタル署名とは？

デジタル署名の意味

送信者が自分の秘密鍵でメッセージのハッシュ値を暗号化して付し、受信者が公開鍵で検証する仕組み。改ざんの検知と否認防止を実現する。監査では電子承認や電子契約の記録が証拠として通用するかを、署名の検証可否と鍵の管理状況から確かめる観点で問われる。

デジタル署名の具体例

電子稟議システムの承認記録を検証する場面。承認者の秘密鍵がICカードに格納され本人以外が持ち出せないこと、署名時刻が時刻認証局から取得されていること、検証結果のログが保存期間の五年分残っていることを実機で確かめ、承認記録の証明力を評価する。

デジタル署名は試験でどう引っ掛けられる？

暗号化と役割が逆である点を取り違えやすい。署名は秘密鍵で施し公開鍵で検証するため、通信内容の機密性は一切得られない。また署名が有効でも、署名者がその取引を承認する権限を持つかは別に権限管理の側で確かめる必要がある。

デジタル署名と関連する用語

• ハッシュ関数
• 鍵管理
• 電子証明書の失効確認（CRL・OCSP）

デジタル署名が出た過去問

• DNSSECの機能はどれか。

  正解：DNSサーバから受け取るリソースレコードに対するディジタル署名を利用して,リソースレコードの送信者の正当性とデータの完全性を検証する。

  要点：DNSSECは署名検証で応答の正当性と完全性を保証する

  DNSSECは、DNSの応答が正当な権威サーバから発せられ改ざんされていないことを保証する仕組みである。各リソースレコードに公開鍵暗号によるディジタル署名を付与し、受け取った側が署名を検証することで送信元の正当性とデータの完全性を確認できる。これによりキャッシュポイズニングによる偽応答の受入れを防ぐ。

  出典：平成28年度 春期 システム監査技術者試験 am2 問21（IPA）

• ディジタル署名のあるソフトウェアをインストールするときに、そのソフトウェアの発行元を確認するために使用する証明書はどれか。

  正解：コードサイニング証明書

  要点：コードサイニング証明書はソフトの発行元と改ざんの有無を確認させる

  コードサイニング証明書は、ソフトウェアの配布者が実行ファイルやドライバに署名するための証明書で、インストール時に発行元の身元と、配布後に改ざんされていないことを利用者が確認できるようにする。サーバ証明書やEV SSL証明書はWebサーバの身元証明、クライアント証明書は利用者や端末の認証に用いるもので、目的が異なる。

  出典：令和3年度 秋期 システム監査技術者試験 am2 問17（IPA）

• DNSSECに関する記述として、適切なものはどれか。

  正解：デジタル署名によってDNS応答の正当性を確認できる。

  要点：DNSSECは署名検証でDNS応答の出所と非改ざんを確認する仕組み

  DNSSECは、DNSの応答に権威サーバの秘密鍵によるデジタル署名を付け、問合せ側が公開鍵で検証する仕組みである。これによりDNS応答が正規のサーバから発せられ改ざんされていないことを確認でき、キャッシュポイズニングによる偽の名前解決を防げる。応答自体は暗号化されず、可用性への攻撃であるDoSを防ぐものでもない。

  出典：令和4年度 秋期 システム監査技術者試験 am2 問22（IPA）