最終更新日：2026年9月2日
fe fe-technology security cryptography
まず結論
認証局（CA）とは、公開鍵とその持ち主の関係を確認し、電子証明書（デジタル証明書）を発行する第三者機関です。
基本情報技術者試験では、まず次の一文で切り分けます。
認証局は、公開鍵に対する電子証明書を発行する。
公開鍵
＋
公開鍵の持ち主の情報
↓
認証局が確認して署名
↓
電子証明書を発行
試験中は、次の3語をセットで思い出せれば十分です。
認証局（CA）
→ 公開鍵
→ 電子証明書
直感的な説明
公開鍵は、他人に公開してよい鍵です。
ただし、公開鍵だけを受け取っても、本当に取引相手のものかは分かりません。
「A社の公開鍵です」
↓
本当にA社の公開鍵なのか？
そこで認証局が、公開鍵と持ち主の対応を確認します。
認証局は、公開鍵に付ける身分証明書の発行所のような役割です。
公開鍵だけ
→ 持ち主が本物か分からない
公開鍵＋認証局の証明
→ この公開鍵はA社のものだと確認できる
ここで重要なのは、認証局が「秘密鍵を証明する」のではないことです。
秘密鍵
→ 本人だけが安全に管理する
公開鍵
→ 電子証明書で持ち主との対応を確認する
定義・仕組み
CAは、Certification Authorityの略です。
認証局は、申請者の情報や公開鍵を確認し、認証局自身の秘密鍵でデジタル署名した証明書を発行します。
電子証明書（デジタル証明書）には、一般に次の情報が含まれます。
| 内容 | 意味 |
|---|---|
| 証明書の所有者 | 誰の証明書か |
| 所有者の公開鍵 | 証明対象となる公開鍵 |
| 発行した認証局 | どのCAが発行したか |
| 有効期間 | いつまで有効か |
| 認証局のデジタル署名 | 証明書が改ざんされていないことを確認する |
重要なのは、認証局が利用者の秘密鍵やパスワードを管理する機関ではないことです。
公開鍵の持ち主を証明する
→ 認証局
利用者の秘密鍵を保管する
→ 利用者本人
電子署名との関係
ここは試験で特に混同しやすいところです。
電子署名は、通常、署名する本人が自分の秘密鍵を使って作成します。
一方、電子証明書は、その署名を検証するときに使う公開鍵が本当に本人のものかを確認するためのものです。
本人
秘密鍵で電子署名を作る
↓
相手
公開鍵で電子署名を検証する
↓
その公開鍵は本当に本人のもの？
↓
認証局が発行した電子証明書で確認する
つまり、次のように役割を分けます。
| 用語 | 誰が何をする？ |
|---|---|
| 電子署名 | 本人が秘密鍵で作成する |
| 電子証明書 | CAが公開鍵と持ち主の対応を証明する |
| 秘密鍵 | 本人が秘密に管理する |
| 公開鍵 | 相手に公開し、署名検証などに使う |
科目Aでどう出る？
科目Aでは、認証局の役割を選ばせる問題として出題されます。
| 問題文の中心 | 判断 |
|---|---|
| 公開鍵に対する電子証明書を発行する | 認証局（CA） |
| 取引当事者が秘密鍵で署名する | 電子署名 |
| 共通の秘密鍵を使う | 共通鍵暗号方式 |
| IDと秘密文字列で本人確認する | パスワード認証 |
特に、次の言葉がそろっていれば認証局を選びます。
公開鍵
電子証明書
発行
第三者機関
選択肢を切る基準
認証局について問われたときは、「誰が作るか」と「何に対するものか」で切り分けます。
CAが作る
＋
公開鍵に対する証明
→ 電子証明書
逆に、次の選択肢は切れます。
- 取引当事者のデジタル署名：署名者本人が秘密鍵で作る
- 取引当事者のパスワード：CAの役割ではない
- 秘密鍵に対する電子証明書：証明書で結び付ける中心は公開鍵
誤りやすい選択肢
取引当事者間で共有する秘密鍵を管理する
これは認証局の役割ではありません。
共有する秘密鍵は、共通鍵暗号方式で使います。
取引当事者のデジタル署名を作成する
デジタル署名は、通常、署名者本人が自分の秘密鍵で作成します。
認証局は、個々の取引で当事者に代わって署名を作る機関ではありません。
取引当事者のパスワードを管理する
パスワード管理も、認証局の役割ではありません。
取引当事者の秘密鍵に対する電子証明書を発行する
電子証明書は、公開鍵とその持ち主を結び付けるために使います。
秘密鍵は本人が秘密に管理するため、ここで「秘密鍵」と書かれていれば誤りと判断できます。
RA・CRLとの違い
PKIでは、認証局と関連する役割や仕組みも問われます。
RA（登録局）
RAはRegistration Authorityの略です。
証明書を申請した人や組織の本人確認を行います。
本人確認の受付
→ RA
証明書を発行する
→ CA
実際の構成では、CAが本人確認も担当する場合があります。
CRL（証明書失効リスト）
CRLはCertificate Revocation Listの略です。
有効期間内でも信用できなくなった証明書を一覧化したものです。
秘密鍵が漏えいした
会社名やドメインが変わった
誤って証明書を発行した
↓
証明書を失効する
認証局は、証明書を発行するだけでなく、失効情報を管理する役割も持ちます。
どんな場面で使う？
認証局と電子証明書は、次のような場面で使われます。
- HTTPS通信
- 電子商取引
- 電子メールの暗号化や署名
- 電子申請
- 組織内の利用者認証
例えばHTTPSでは、ブラウザがサーバ証明書を確認し、接続先の公開鍵が本当にそのWebサイトのものかを判断します。
公開鍵暗号方式そのものについては、公開鍵暗号方式とは？暗号化・復号・電子署名で使う鍵の違いで整理しています。
よくある誤解・混同
誤解1：認証局が公開鍵を秘密に管理する
公開鍵は公開してよい鍵です。
認証局が厳重に管理するのは、認証局自身が証明書へ署名するための秘密鍵です。
誤解2：認証局が利用者の秘密鍵を発行する
基本的には違います。
利用者の鍵ペアは、利用者側や管理された環境で生成します。
認証局は主に、その公開鍵と利用者の対応を証明します。
誤解3：電子署名も認証局が作る
違います。
電子署名は、通常、署名者本人が自分の秘密鍵で作ります。
認証局は、署名の検証に使う公開鍵と持ち主の対応を電子証明書で保証します。
誤解4：証明書があれば通信内容も自動的に暗号化される
証明書は、公開鍵の正当性を確認するために使うものです。
実際の暗号化は、公開鍵暗号方式や共通鍵暗号方式などを使って行います。
誤解5：認証局が取引内容を保証する
認証局が証明するのは、主に公開鍵と持ち主の対応です。
商品の品質や取引内容そのものを保証するわけではありません。
まとめ（試験直前用）
- 認証局（CA）は、公開鍵と持ち主の関係を証明する
- 認証局は、公開鍵に対する電子証明書を発行する
- 電子署名は、通常、本人が秘密鍵で作成する
- RAは申請者の本人確認を担当する
- CRLは失効した証明書の一覧である
- 認証局は、利用者の秘密鍵やパスワードを管理する機関ではない
試験直前には、次の一文を思い出してください。
CA → 公開鍵 → 電子証明書。電子署名は本人が秘密鍵で作る。