証明書は、ID カードのデジタル版です。運転免許証や社員証、クレジットカードのように、異なった目的のためにいくつかの ID カードを持つように、異なった目的のためにいくつかの証明書を利用することができます。
このセクションでは、証明書に関連した操作について解説します。
このセクションでは: |
ちょうどクレジットカードや運転免許証のように、証明書は、インターネットや他のネットワーク上であなた自身を証明する証明書の役割を果たします。他の一般的な ID と同様、証明書は一般的に、そのような証明書を発行する適切な権限をもった団体によって発行されます。証明書を発行する団体は、認証局(CA)と呼ばれます。
あなたは自分の証明書を、公共の CA やシステム管理者、あなたが所属する組織内の特別な CA 、またはあなたの名前やパスワードよりも信頼できる身分証明が必要とされる特別のサービスを提供する Web サイトから得られます。
運転する車の種類に応じて、運転免許証取得の要件が異なるように、証明書も使用目的に応じて、発行要件は様々です。場合によっては、Web ページに行っていくつかの個人情報を入力すれば、自動的にあなたのブラウザに証明書がダウンロードできるというように簡単なものもあります。また場合によっては、いくつかのより複雑な手順を経なければなりません。
今日では、認証局の URL を訪れて、画面に表示される指示に従って証明書を取得できます。認証局のリストは、オンラインドキュメントのクライアント証明書をご覧下さい。
いったん証明書を取得したら、自動的にセキュリティデバイスに保存されます。あなたのブラウザは固有のビルトインのソフトウェアセキュリティデバイスを持っています。セキュリティデバイスは、スマートカードのようにハードウェアの場合もあります。
運転免許証やクレジットカードのように、証明書は、悪意を持った人の手に渡ると悪用される可能性がある、重要な身分証明の手段です。あなたを示す証明書を取得した場合は、次のいずれかの方法で証明書を保護しなければなりません:証明書のバックアップを取り、マスターパスワードを設定することです。
初めて証明書を取得した場合、その証明書のバックアップを取るようにプロンプトが表示されます。マスターパスワードが設定されていない場合、設定するように求められます。
証明書のバックアップやマスターパスワードについての詳細情報は、証明書についてをご覧下さい。
[セクションの始めに戻る ]
Web ページを表示しているとき、ウィンドウ右下の鍵アイコンがそのページのセキュリティ状態を示します。
鍵がロックされている場合は、そのページのコンテンツがインターネット上で転送されるとき暗号化されて保護されていることを示します。鍵が開いている場合は、転送の際に暗号化はされていません。
Web ページのセキュリティ状態についての詳細情報は、鍵アイコンをクリックして下さい(または[表示]メニューを開いて、[ページの情報]を選択して下さい)。
[ページの情報]の[セキュリティ]タブでは、次の二つの情報が得られます:
[セクションの始めに戻る ]
証明書マネージャを利用して証明書を管理できます。証明書は、あなたのコンピュータのハードディスクや、スマートカード、コンピュータに接続されたその他のセキュリティデバイスに保存されます。
証明書マネージャを開くには:
このセクションでは: |
証明書マネージャを初めて開いたとき、ウィンドウの上部にいくつかのタブがあることに気付くでしょう。一番左のタブは、[あなたの証明書]と呼ばれ、ブラウザがあなたを特定するために利用することができる証明書を表示します。あなたの証明書は、発行した組織の名前に準じて表示されます。
証明書を実際に利用するには、証明書の見出しをクリック(複数の証明書を選択する際には、Control+クリック)して、[表示]、[バックアップ]、または[削除]ボタンをクリックします。それぞれのボタンで別のウィンドウが開き、実行できるようになります。どのウィンドウでも、[ヘルプ]をクリックして、詳細情報をご覧下さい。
[あなたの証明書]に表示される次のボタンは、証明書を選択する必要はありません。これらのボタンで次のことができます:
スマートカードの証明書はバックアップできません:あなたの証明書を選択して[バックアップ]をクリックしたり、[全てをバックアップ]をクリックしても、その結果作成されたバックアップファイルには、スマートカードやその他の外部セキュリティデバイスに保存されている証明書は含まれません。バックアップできる証明書は、ソフトウェアセキュリティデバイスに保存された証明書に限ります。
こうした機能の詳細情報は、証明書についてをご覧下さい。
[セクションの始めに戻る ]
Web サイトの中には、そのサイト自体を証明するために証明書を利用することがあります。そのような認証を行うには、データの転送時に情報を誰かに読み取られないように、サイトとあなたのコンピュータの間の情報転送を暗号化することが求められます。
Web サイトの URL が https:// で始まる場合、その Web サイトは証明書を利用しています。そのような Web サイトを訪れて、そのサイトの証明書が証明書マネージャの知らない、または信頼していない認証局から発行されたものだった場合、ブラウザはその Web サイトの証明書を受け入れるかどうかをあなたに尋ねます。あなたが新しい Web サイトの証明書を受け入れた場合、証明書マネージャは Web サイト証明書の一覧の中にその証明書を追加します。
あなたのブラウザに受け入れられている全ての Web サイト証明書を表示するには、証明書マネージャの上部にある[Web サイト]タブをクリックして下さい。
Web サイト証明書にたいして作業を行う場合は、証明書の見出しをクリック(または複数選択する場合は Shift+クリック)し、[表示]、[編集]または[削除]ボタンをクリックして下さい。これらのボタンをクリックすると、もう一つウィンドウが開き、対応する作業を行うことができます。
[編集]ボタンでは、選択された Web サイト証明書を将来にわたって信頼するかどうかを決定することができます。
詳細情報は、Web サイト証明書をご覧下さい。
[セクションの始めに戻る ]
他の一般的に利用される ID の形式と同様、証明書は証明書発行の権限を認められた組織によって行われます。証明書を発行する組織は、認証局(CA)と呼ばれます。CA を特定する証明書は、CA 証明書と呼ばれます。
証明書マネージャは、一般的に、ファイルに CA 証明書を保存しています。これら CA 証明書は、対応する CA から発行された証明書を証明書マネージャが認識し、処理できるようにしています。ただし、この CA 証明書がこのリストにあるからといって、その証明書が信頼できるものであるというわけではありません。あなたやあなたのシステム管理者は、セキュリティの程度に応じて、どのような証明書が信頼できるかを決定しなければなりません。
あなたのブラウザで利用できる全ての CA 証明書を表示するには、証明書マネージャウィンドウの上部にある[認証局]タブをクリックして下さい。
CA 証明書を管理するには、証明書の見出しをクリック(または複数の認証局を選ぶために Control+クリック)して、[表示]、[編集]、または[削除]ボタンをクリックして下さい。これらのボタンをクリックすると、別のウィンドウが開き、処理を行えるようになります。ウィンドウの詳細情報は、ウィンドウにある[ヘルプ]ボタンをクリックして下さい。
[編集]ボタンでは、証明書の信頼度を表示し、変更することができます。CA 証明書の信頼度設定では、その CA から発行された証明書のうち、どのような証明書を信頼するかを設定できます。
より詳しい情報は、認証局をご覧下さい。
[セクションの始めに戻る ]
スマートカードとは、一般的にはクレジットカードほどの大きさの小さな装置で、マイクロプロセッサが組み込まれており、(あなたのプライベートキーや証明書といった)あなたの個人情報を保存したり、暗号化操作を行います。
スマートカードを利用するには、一般的に、コンピュータに取り付けられたスマートカードリーダー(ハードウェアの一種)が必要で、それと共にその装置をコントロールするソフトウェアが必要となります。
スマートカードは、セキュリティデバイスの一種です。セキュリティデバイス(時にはトークンとも呼ばれます)とは、ハードウェアデバイス、またはソフトウェアデバイスで、暗号化機能を提供したり、あなたの個人情報を保存したりします。デバイスマネージャを利用して、スマートカードやその他のセキュリティデバイスを操作して下さい。
このセクションでは: |
デバイスマネージャは、利用できるセキュリティデバイスのリストをウィンドウに表示します。デバイスマネージャを使って、スマートカードをはじめとする、PKCS #11(Public Key Cryptography Standard)をサポートするセキュリティデバイスを管理することができます。
PKCS #11 モジュールは、時にはセキュリティモジュールとも呼ばれ、ちょうどソフトウェアドライバがプリンタやモデムといった外部の装置をコントロールするように、セキュリティデバイスをコントロールします。スマートカードをインストールする際には、スマートカードリーダをコンピュータに接続すると共に、対応した PKCS #11 モジュールをインストールしなければなりません。
標準では、デバイスマネージャは二つの内部 PKCS #11 モジュールをコントロールし、次の三つのセキュリティデバイスを管理します:
[セクションの始めに戻る ]
このセクションでは、セキュリティデバイスマネージャについて解説します:
セキュリティマネージャは、利用できる PKCS #11 モジュールのリストを太字で表示し、それぞれのモジュールによって管理されているセキュリティデバイスをモジュール名の下に示します。
セキュリティデバイスを選択すると、そのデバイスについての情報がセキュリティデバイスマネージャのウィンドウの中央部に表示され、右側のボタンのいくつかが利用できるようになります。例えば、[Software Security Device]を選択した場合、次の操作が可能となります:
こうした操作は、ほとんどのセキュリティデバイスに対して行うことができます。ただし、Builtin Object Token と Generic Crypto Services は、常に利用可能になっている特殊なデバイスであるため、上記の操作はできません。
[セクションの始めに戻る ]
スマートカードや他の外部セキュリティデバイスを利用したい場合は、始めにあなたのコンピュータにモジュールソフトウェアをインストールし、必要に応じて関連するハードウェアを接続しなければなりません。ハードウェアに添付される指示に従って下さい。
コンピュータに新しいモジュールがインストールされたら、次の手順に従ってそのモジュールをロードして下さい:
新しいモジュールが、あなたが割り当てた名前でモジュールリストに表示されます。
PKCS #11 モジュールをアンロードするためには、モジュールの名前を選択して[アンロード]をクリックして下さい。
[セクションの始めに戻る ]
FIPS PUBS(Federal Information Processing Standards Publications)140-1 とは、ハードウェアやソフトウェアが、データを暗号化、復号化、または他の(デジタル署名の生成、検証などの)暗号処理を行う際の、暗号モジュールの実装に関して合衆国政府が定めた規格です。アメリカ政府に販売される製品の多くは、FIPS 規格に適合していることが求められます。
ブラウザで FIPS モードを有効にするには、セキュリティデバイスマネージャを利用します:
FIPS モードを無効にするには、[FIPS を無効にする]をクリックして下さい。
[セクションの始めに戻る ]
SSL(Secure Sockets Layer)プロトコルは、あなたのコンピュータとインターネット上のコンピュータとの間で暗号化された情報をやり取りすることができるようにするものです。つまり、情報が、他の人には解らないように暗号化するものです。SSL はまた、証明書を用いて、インターネット上のコンピュータを特定するためにも利用されます。
TLS(Transport Layer Security)プロトコルは、SSL を基礎とした新しい規格です。標準では、ブラウザは SSL と TLS の両方をサポートします。この設定で多くの人には事足ります。というのも、これでSSL や TLS のあらゆるバージョンをサポートするインターネット上の既存のソフトウェアをほぼ全てサポートすることになるからです。
ただし、状況によっては、システム管理者や他の知識豊富な人が、特殊なセキュリティ設定が必要な場合や過去のソフトウェア製品に存在するバグを避ける場合に、SSL の設定を調整したいと考えるかもしれません。
状況をよく理解しているか、他の人の助けがない限り、あなたのブラウザの SSL 設定を変えるようなことをしないで下さい。何らかの理由で設定を変更する必要がある場合は、次の手順に従って下さい:
詳細情報は、SSL 設定をご覧下さい。
[セクションの始めに戻る ]
上の自分自身の証明書を入手するにもあるように、証明書は運転免許証のような ID 証明書の一種で、インターネット上や他のネットワーク上であなた自身を証明するために利用します。ただし、これも運転免許証のように、証明書には有効期限があり、理由如何によっては通用しないこともあります。そのため、あなたのブラウザは、身分証明目的で証明書を信頼する前に、何らかの方法で証明書の有効性を検証しなければなりません。
このセクションでは、証明書マネージャがどのように証明書の検証を行うのか、そしてその過程が管理されているのかを解説します。この過程を理解するには、公開鍵暗号化をある程度理解していなければなりません。証明書の利用についてなじみのない場合は、ブラウザの証明書検証設定を変更する前に、システム管理者に確認をして下さい。
このセクションでは: |
証明書マネージャによって保存された証明書を利用したり表示したりする場合は必ず、その証明書を検証するためにいくつかの手順が必要です。最低でも、証明書にある認証局(CA)のデジタル署名が次のような CA によって作成されたかどうかを確認します:(1)その CA 証明書が、証明書マネージャで利用できる CA 証明書のリストにあるかどうか、(2)その CA 証明書が、その種の証明書を発行したと確認され、信頼できるとされているかどうか。
CA 証明書そのものがない場合、CA 証明書のための証明書チェーンが、信頼できる上位の CA 証明書を含んでいなければなりません。証明書マネージャはまた、検証された証明書が証明書ストア内で信頼できるものとしてマークされているかを確認します。これら過程のうち一つでも失敗すると、証明書マネージャは、その証明書を未検証とマークし、その証明書が特定している情報を認識しません。
証明書は、これら全ての検証を経ても、認識されないことがあります。例えば、権限をもたない人が証明書のプライベートキーにアクセスした場合は、証明書が破棄されます。破棄された証明書は、権限をもたない個人(または Web ページ)が証明書のオーナーであると偽ることを防ぎます。
このような事態を防ぐ一つの方法としては、証明書マネージャが証明書破棄リスト(CRL)を確認プロセスの一部として確認する方法があります(下のCRL を管理するをご覧下さい)。多くの場合、CRL はリンクをクリックしてブラウザにダウンロードします。CRL が存在する場合、証明書マネージャは、検証の過程として、同じ認証局によって発行された各証明書をこの CRL リストと比較して確認します。
CRL の信頼性は、サーバによって更新され、クライアントによって確認される頻度に依ります。CRL 自動更新設定を設定して、CRL が一定の期間をおいて、サーバ上のバージョンと自動的に更新されるように設定することができます。
証明書の悪用を防ぐもう一つの方法は、OCSP(Online Certificate Status Protocol)をサポートする特殊なサーバを利用することです。このようなサーバは、個人証明書についてクライアント側からの問い合わせに対応することができます(下の OCSP を設定するをご覧下さい)。
OCSP レスポンダーと呼ばれるサーバは、認証された証明書を発行する CA から更新された CRL を定期的に受け取ります。証明書マネージャを設定して、OCSP レスポンダーに証明書のステータスリクエストを提出するようにすることができます。すると、OCSP レスポンダーはその証明書が性器のものかどうかを確認します。
CRL(証明書破棄リスト)は、破棄された証明書のリストです。認証局(CA)は場合によっては証明書を破棄することがあります。例えば、何らかの理由で悪用された場合です。これは、あなたのクレジットカードが盗まれた場合、クレジットカード会社がそのクレジットカードを無効にする場合とちょうど同じ場合です。
このセクションでは、CRL をインポートして管理する方法を解説します。背景となる情報は、検証はどう機能するのか?をご覧下さい。
変更できる CRL 設定についての詳細な解説は、検証設定をご覧下さい。
このセクションでは: |
ブラウザは、対応する認証局(CA)によって発行された証明書の妥当性を、CRL 利用して検証します。もし証明書が破棄されたものとしてリストされている場合は、ブラウザはその証明書を身分証明としては受け付けません。
CA は通常決められた期間で更新した CRL を発行します。一つ一つの CRL には、次回 CA が更新したその CRL を発行する日付を定めた、[次回更新日]フィールドの日付が含まれます。一般的に、[次回更新日]フィールドの日付が現時点での日付よりも前の場合、最も新しい CRL を入手しなければなりません。CRL 情報を表示したり、CRL の自動更新の設定をするには、CRL を表示し、管理するをご覧下さい。
最新の CRL がないからといって証明書を無効と判断することはありませんが、ブラウザが証明書を正しく扱わない可能性があります。場合によっては、現時点での日付よりも前の[次回更新日]日付を持つ CRL を削除する必要があるかもしれません。CRL の管理に際してはシステム管理者の方にご相談ください。
最新の CRL をブラウザに取り込むには、認証局(CA)で行います。CRL をインポートするには、次の手順に従って下さい:
[インポートステータス]ダイアログボックスが表示されます
はい:CRL 事項更新設定ダイアログボックスが表示されます。この場合は、ステップ 4 へ進んでください。
いいえ:[インポートステータス]ダイアログボックスが閉じます。ここで考えを変えて、自動更新を有効にしたい場合は、CRL を表示し、管理するをご覧下さい。
ブラウザの[検証]設定で、ブラウザで利用できる CRL を表示し、管理することができます:
CRL を削除したり、更新したりするには、対象の CRL を選択し、適切なボタンをクリックして下さい。
CRL の自動更新の設定をするには、CRL を選択して[設定]をクリックします。CRL 自動更新設定ダイアログボックスが表示されます:
OCSP をコントロールする設定は[検証]設定の一部になります。[検証]設定を表示するには、次の手順に従って下さい:
利用できる OCSP オプションについての情報は、OCSP をご覧下さい。
[セクションの始めに戻る ]
2002年 4月 10日
Copyright © 1994-2002 Netscape Communications Corporation.
Translated for Mozilla by mozilla-gumi <http://mozilla.gr.jp> participants.