証明書を使用したサーバ認証

証明書認証は、公開鍵認証が持つ問題の一部を解決します。公開鍵ホスト認証の場合、システム管理者は、各クライアントの既知のホスト一覧にすべてのサーバのホスト公開鍵を追加する必要があります。または、不明なホストに接続する時にホストの識別情報を確認することをクライアントユーザに依存することになります。証明書認証は、認証局 (CA) と呼ばれる信頼されたサードパーティを使用して、ホストから来る情報の正しさを確認することでこの問題を防止します。

公開鍵認証と同様、証明書認証は、公開鍵/秘密鍵ペアを使用してホストの識別情報を確認します。ただし、証明書認証の場合、公開鍵はデジタル証明書 PKI (Public Key Infrastructure) の核となる構成要素です。電子証明書 (別名、X.509 証明書) は認証局 (CA) によって発行されるもので、証明書内の情報の有効性を保証します。各証明書には、証明書の所有者に関する情報、証明書の所有者の公開鍵のコピー (メッセージおよび電子署名の暗号化と解読に使用)、電子署名 (証明書の内容に基づいて認証局が生成) が含まれています。受信者はこの電子署名を使用して、証明書が不正に変更されておらず、信頼できることを確認します。 に含まれ、この場合、2 つの鍵ペアが使用されます。ホストが 1 つの秘密鍵を保持し、CA が 2 番目の公開鍵を保持します。ホストは、CA から証明書を取得します。この証明書には、ホストに関する識別情報、ホスト公開鍵のコピー、CA の秘密鍵を使用して作成されたデジタル署名 送信されたメッセージの信頼性と整合性の確認に使用されます。通常、送信者は公開/秘密鍵のペアのうち秘密鍵を保有し、受信者は公開鍵を保有します。署名を作成するには、送信者はメッセージからハッシュを計算し、この値を自らの秘密鍵で暗号化します。受信者は、送信者の公開鍵を使用して署名を復号化し、受信したメッセージのハッシュを独自に計算します。復号化した値と計算した値が一致した場合、受信者は、送信者が秘密鍵の保有者であり、メッセージが送信中に改ざんされていないことを信頼します。 が含まれています。この証明書は、認証プロセス中にクライアントに送信されます。ホストから送信された情報の完全性を確認するため、クライアントは CA ルート証明書に封印されている CA の公開鍵のコピーを持つ必要があります。

ホストの識別情報を確認するために CA ルート証明書をインストールすることは、ホスト公開鍵をインストールし、構成することに比べて、いくつかの利点があります。

サーバ証明書認証は、次のような順序で実行されます。