サーバー証明書における AIA の役割

～信頼できるサーバー証明書と有効性を確認できる仕組みとは？～

「AIA」とは「Authority Information Access（機関情報アクセス）」の略で、サーバー証明書の検証に用いられる情報です。AIA がどのように使われるのか、サーバー証明書の有効性検証の仕組みなどについて解説します。

サーバー証明書の有効性

ユーザーが Web サイトなどを安心して利用するために必要なサーバー証明書ですが、サーバー証明書が導入されている Web サイトであれば 100％安全かと言うと、そうではありません。

ユーザーが Web サイトにアクセスする時点で、そのサーバー証明書が有効であるかがポイントになります。

サーバー証明書の有効期間は過ぎていないか
サーバー証明書は失効していないか
サーバー証明書はそもそも信頼できるか

こういったサーバー証明書の有効性を判定する必要があり、OS やブラウザーではそれを自動的におこなっています。その結果、OS やブラウザーで有効性の判定が NG となれば、警告メッセージを表示させ、Web サイトの閲覧を止めています。

今回のブログでは、サーバー証明書の有効性を判定する中で「サーバー証明書はそもそも信頼できるか」に焦点を当てていきます。

サーバー証明書の信頼性

「サーバー証明書はそもそも信頼できるか」を判断する材料としては、発行者は誰なのか、またそこは信頼できる認証事業者なのか、ということがあげられます。
ではどういった認証事業者であれば信頼できると言えるのでしょうか。

OS ベンダーやブラウザーベンダーでは、どの認証事業者の証明書なら信頼できるかをいくつもの基準により決めています。信頼できると判断された認証事業者は、OS やブラウザーで信頼できるルート認証局として登録されています。

Windows に登録されたルート認証局（例）

認証事業者が、OS ベンダーやブラウザーベンダーに信頼できると判断されるためには、

認証事業者が、サーバー証明書を申請する組織をどのように審査しているか。
認証事業者が、どのように認証局を運用しているか。

などいくつもの基準を満たしている必要があります。
これらの監査項目をすべてクリアーして初めて、信頼できる認証事業者と判断され、信頼できるルート認証局として登録されています。

証明書の階層構造

サーバー証明書は一般的に階層構造になっており、階層の最上位にある認証局がルート認証局です。
サーバー証明書に関する規制により、ルート認証局から直接サーバー証明書は発行できないため、認証事業者はルート認証局の配下に別の認証局を設けています。これを「中間認証局」と呼んでいます。
サーバー証明書は、この中間認証局から発行されています。