デジタル署名、デジタル証明書、タイムスタンプとは？
デジタル証明書とは
公開鍵を関連するユーザー（秘密鍵の所有者）にバインドするために、公開鍵インフラストラクチャ（PKI）はデジタル証明書を使用します。 デジタル証明書は、トランザクション内のユーザー間のID検証を容易にする資格情報です。 パスポートが国の市民としての身元を証明するのと同じように、デジタル証明書の目的は、エコシステム内のユーザーの身元を確立することです。 デジタル証明書は、暗号化されたデータの送信先のユーザーを識別するため、または情報の署名者の身元を確認するために使用されるため、システムの信頼性を維持するには、証明書の信頼性と整合性を保護することが不可欠です。
Certificate Authorityとは
Certificate Authority（CA）は、信頼の階層チェーンの確立を担当する公開鍵インフラストラクチャ（PKI）のコアコンポーネントです。 CAは、ユーザーのIDを証明するために使用されるデジタル資格情報を発行します。 CAは、PKIとそれがサポートするサービスのセキュリティを支えているため、高度な標的型攻撃の焦点となる可能性があります。 認証局に対する攻撃のリスクを軽減するために、物理的かつ論理的な制御と、ハードウェアセキュリティモジュール（HSM）などの強化されたメカニズムを使用して、PKIの整合性を確保します。
コード署名とは
公開鍵暗号化では、コード署名は証明書ベースのデジタル署名の特定の使用法であり、組織がソフトウェア発行者の身元を確認し、ソフトウェアが発行されてから変更されていないことを証明できます。
デジタル署名は、ソフトウェア発行者と社内開発チームに実証済みの暗号化プロセスを提供し、Duqu 2.0などの高度な持続的脅威（APT）を含むサイバーセキュリティの危険からエンドユーザーを保護します。 デジタル署名は、ソフトウェアの整合性と信頼性を保証します。 デジタル署名により、エンドユーザーは発行者の身元を確認すると同時に、署名されてからインストールパッケージが変更されていないことを確認できます。 最新のオペレーティングシステムはすべて、インストール中にデジタル署名を検索して検証します。署名されていないコードに関する警告により、エンドユーザーはインストールを中止することができます。
タイムスタンプとは
タイムスタンプは、デジタル署名の慣行を補完する価値がますます高まっており、組織は、メッセージ、ドキュメント、トランザクション、ソフトウェアなどのデジタルアイテムがいつ署名されたかを記録できます。 一部のアプリケーションでは、株式取引、宝くじの発行、および一部の法的手続きの場合のように、デジタル署名のタイミングが重要です。 時間がアプリケーションに固有ではない場合でも、タイムスタンプは、デジタル証明書が使用されたときに有効であったかどうかを証明するメカニズムを提供するため、記録の保持と監査のプロセスに役立ちます。 デジタル署名ソリューションの重要性の高まりにより、タイムスタンプに対応する需要が生まれたため、Microsoft Officeなどの多くのソフトウェアプログラムがタイムスタンプ機能をサポートしています。
セキュリティの重要性
タイムスタンプが実際の価値を付加するある場合、タイムスタンプは安全でなければなりません。
安全でないタイムスタンプに関連するリスク
- 電子プロセスを信頼できなければ、電子記録をバックアップするための費用のかかる紙の証跡が必要になる可能性があります。
- 攻撃者は、コンピュータクロックを操作することにより、ソフトウェアベースのタイムスタンププロセスを簡単に侵害できます。これにより、署名プロセス全体が無効になります。
- 安全でないタイムスタンプまたはデジタル署名プロセスは、組織をコンプライアンスの問題や法的課題にさらす可能性があります。
- 秘密署名鍵と証明書が取り消された後でも、ユーザはそれらにアクセスできます。 タイムスタンプがないと、組織は、証明書が取り消される前または後に署名が作成されたかどうかを証明できません。