CompTIA Security+（SY0-701） 無料問題 2 / 10 ・ 分野1: 一般的なセキュリティの概念
CA が key rollover のために、自分自身に宛てて証明書を発行した。subject と issuer の DN は同じである。RFC 5280 の経路検証で、この自己発行証明書はどう扱われるか。
- パスの長さの数えには含めるが、名前制約の評価には含めない。ほかの中間 CA 証明書と同じ数え方をする
- パスの長さの数えにも、名前制約の評価にも含めない。鍵の更新や方針の変更を支えるための証明書である
- パスの長さの数えにも、名前制約の評価にも含める。発行者と主体が同じでも、他の証明書と区別しない
- パスの長さの数えには含めないが、名前制約は経路の途中でも適用する。主体の名前を制限する
正解と解説を見る
正解: B
正解の理由
「パスの長さの数えにも、名前制約の評価にも含めない。鍵の更新や方針の変更を支えるための証明書である」RFC 5280 は、subject と issuer の DN が同じ証明書を自己発行と呼び、CA が鍵の更新や証明書ポリシーの変更を支えるために自分へ発行することがあるとする。これらの証明書は、パスの長さと名前制約を評価するときに数えない（名前制約は、経路の最後の証明書でなければ適用しない）。
違う選択肢
「パスの長さの数えには含めるが、名前制約の評価には含めない。ほかの中間 CA 証明書と同じ数え方をする」…自己発行証明書は、パスの長さを評価するときに数えない。名前制約と同じく、数えない扱いになる。
「パスの長さの数えには含めないが、名前制約は経路の途中でも適用する。主体の名前を制限する」…名前制約は、経路の最後の証明書である場合を除き、自己発行証明書には適用しない。
「パスの長さの数えにも、名前制約の評価にも含める。発行者と主体が同じでも、他の証明書と区別しない」…発行者と主体の DN が同じ証明書は、鍵の更新などのために CA が自分に発行するもので、数えない扱いになる。
押さえどころ
自己発行と自己署名は別の概念。自己署名は自己発行のうち、証明書内の公開鍵で署名を検証できるもので、経路の起点を伝える。自己発行でも別の鍵で署名されたものは、鍵更新の橋渡しとして経路の途中に現れる。