紫色の六角形のパターン
詳細を見る

PKI相互運用性のためのプロトコル概要

Enterprise環境
Enterprise環境を運用する組織の典型例は、すべてのエンド ユーザー アプリケーションで一貫性と透過性の守られたセキュリティを確保しようとしている組織です。 組織はこの環境内で最も大きな影響力を持ち、その力を活かして、PKIソリューションが基盤とエンドユーザーの両方で運用できるようにPKIソリューションへの投資を活用しています。

証明書の生成 – X.509（PKIXプロファイルX.509）では、公開鍵デジタル証明書と証明書失効リスト（CRL）の書式を定義します。 IETF PKIXワーキンググループの作成したRFC 3280では、両書式のそれぞれのプロファイルが規定されています。

証明書の配布 – LDAP（Lightweight Directory Access Protocol）
LDAPでは、リポジトリのデジタル証明書とCRLの公開とアクセスに使用するプロトコルを定義します。

証明書管理 – PKIX証明書管理プロトコル（PKIX-CMP）
IETF PKIワーキンググループによるRFC 2510～2511では、鍵と証明書を管理するプロトコルを定義しています。 単純な証明書リクエストの範囲を超え、Enterpriseで必要なPKIライフサイクル機能をサポートします。

Enterprise間環境
Enterprise間環境の代表例は、企業間電子商取引用に、信頼できる安全な手段を提供しようとしている組織どうしです。 組織は他のPKIと相互運用する必要がある企業の独自リソース（基盤とエンドユーザーの両方）を管理しています。

証明書の生成 – PKIXプロファイルX.509 企業間の1対1または階層的な信頼の確立に使用される相互証明書やCRLにも、これらの規格は適用されています。

証明書の配布 – LDAP、S/MIME
LDAPは企業間で証明書リポジトリの全部または一部を共有しようとする企業のアクセスプロトコルを規定します。 S/MIME（RFC 2632～2634）は、エンドユーザー間でデジタル証明書を直接交換するプロトコルを規定します。

証明書管理 – PKIX CMP、PKCS＃7、PKCS＃10
PKIX-CMPは相互証明書のリクエストと管理、Enterpriseモデルと同様の鍵と証明書のプロトコルを規定します。 PKCS＃7とPKCS＃10（RFC 2315、2986）は、一度作成して配布した証明書から管理権限を除いたものをリクエストしたり、受け取ったりするプロトコルを規定します。

消費者環境
消費者環境の代表例は、インターネット経由で消費者との電子商取引を実現しようとしている組織です。 組織は基盤を管理しながら、多様なアプリケーション（通常はWebブラウザや関連する電子メール）を使用する消費者との相互運用を図らなくてはなりません。

証明書の生成 – PKIXプロファイルX.509 V3
この規格では、公開鍵デジタル証明書のプロファイルを定義しています。 この環境で失効を確認するための共通規格はありませんが、OCSP（RFC 2560）などのスキームがますます注目を集めています。

証明書の配布 – S/MIME
この環境での証明書配布は現在、ユーザー間のS/MIMEによる直接通信に制限されています。

証明書管理 – PKCS＃7とPKCS＃10
PKCS＃7とPKCS＃10は、証明書のリクエストと受領書をサポートしていますが、鍵や証明書は一切管理しません。 この環境で鍵と証明書を管理するための共通規格はありませんが、PKIX-CMC（RFC 2797）などのスキームが検討されています。

Entrustはこれらの承認済みプロトコルすべてについて相互運用性を実証したのですか？

PKIの相互運用性の要素
運用環境に関係なく、マネージドPKIは、相互運用する必要があるいくつかのコンポーネントで構成されています。 下図に示すとおり、その中には一PKI内のインターフェイスと外部環境へのインターフェイスが含まれます。

マネージドPKI図

各コンポーネントの大まかな目的は次のとおりです。

  • 認証局。 認証局（CA）は、信頼できる第三者として、エンドユーザーに鍵と証明書を発行するほか、証明書の生成、失効、有効期限、更新などのライフサイクルを管理します。
  • 証明書リポジトリ。 証明書リポジトリは、証明書、相互証明書、証明書失効リスト（CRL）を格納し、PKIのエンドユーザーに配布するための拡張可能な機構です。
  • クライアントアプリケーション。 クライアントアプリケーションは、安全な電子商取引を行うために公開鍵の資格情報をリクエストし、受け取り、使用するエンドユーザーソフトウェアです。
  • 追加サービス。 リストにある他の3つのコンポーネントと相互運用することになるマネージドPKIには、追加のサービスが必要です。 これらの特定サービスで、多くの電子商取引アプリケーションを使用可能にします。 典型的なサービスは、タイムスタンプ、特権管理、自動登録局などでしょうか。

公開鍵基盤で中心的な役割を果たしているため、これらのコンポーネントの連携と相互運用は、どのような環境でも必須です。 それぞれの作用は、次の説明に集約できます。

  • 証明書の生成。 たとえば他のクライアントアプリケーションや他のPKIと相互運用できるように、定義された書式と構文規則で公開鍵デジタル証明書と証明書失効リストを生成します。 また認証局間で相互運用に使用される相互証明書も生成します。
  • 証明書の配布。 公開鍵を運用するには、1人のユーザーが別のユーザーの証明書と関連CRLにアクセスする必要があります。 したがって、他のユーザーの証明書、関連する失効情報へのアクセスを許可するための共通プロトコルが必要です。
  • 証明書管理。 鍵と証明書の管理は、最も一般的なPKI運用です。 鍵と証明書のリクエスト、更新、バックアップ、復元、失効のプロトコルには、クライアントアプリケーションと認証局の間に相互運用性が必要です。