ディジタル証明書の受渡しに関するネットワークスペシャリスト試験

 承知しました ✅

ここでは ディジタル証明書の受渡し（サーバ・クライアント間の証明書交換や検証の流れ） をテーマに、ネットワークスペシャリスト試験の 午後Ⅱ形式（長文シナリオ＋設問） を10問分まとめて作成します。

TLSハンドシェイク、証明書チェーン、信頼性検証、CRL/OCSP との関係も盛り込みました。

---

午後Ⅱ形式問題：ディジタル証明書の受渡し

---

■ 問題1

ある企業のWebサーバはTLSにより通信を保護している。クライアントがサーバに接続すると、サーバはディジタル証明書を提示する。

このときクライアントが行う処理として最も適切なものを述べよ。

解答例：証明書の有効期限、発行者、署名の正当性、失効状態を確認し、提示されたホスト名と一致しているか検証する。

---

■ 問題2

サーバ証明書の受渡し時に、中間CA証明書が含まれない場合にクライアントで発生し得る問題を説明せよ。

解答例：証明書チェーンが途中で切れ、信頼できるルートCAまで検証できず、接続が拒否される。

---

■ 問題3

クライアント証明書を利用するTLS通信では、サーバからどのような要求が行われるか。

解答例：サーバは「CertificateRequest」メッセージを送り、クライアントに証明書を提示させ、クライアント認証を行う。

---

■ 問題4

証明書受渡し時に「CRL Distribution Point」が利用されるのはどのような場面か説明せよ。

解答例：証明書の失効確認を行う際、クライアントが証明書に記載されたCRLの配布先から失効リストを取得する場面。

---

■ 問題5

OCSPを利用する証明書受渡しにおいて、OCSPステープリングが有効な場合の利点を述べよ。

解答例：サーバが事前にOCSPレスポンスを取得して提示することで、クライアントが直接OCSPサーバに問い合わせる必要がなくなり、遅延や負荷を軽減できる。

---

■ 問題6

証明書の「Subject Alternative Name (SAN)」フィールドが証明書受渡し時に確認される理由を述べよ。

解答例：複数のホスト名やIPアドレスが記載されている場合、接続先がそのいずれかと一致するかを確認するため。

---

■ 問題7

証明書受渡しの過程で「自己署名証明書」が提示された場合、クライアントはどのような対応をするか述べよ。

解答例：信頼できるルートCAに属さないため、通常は警告を表示し接続を拒否する。必要に応じて手動で信頼ストアに登録する必要がある。

---

■ 問題8

ディジタル証明書の受渡しにおいて、証明書失効確認を行わない設定にすると、どのようなリスクが生じるか。

解答例：失効済みの証明書を提示するサーバやクライアントを誤って信頼してしまい、なりすましや不正アクセスが発生するリスクがある。

---

■ 問題9

ディジタル証明書受渡し時に利用される「ハンドシェイク」の流れを簡潔に説明せよ。

解答例：クライアントHello → サーバHello（証明書提示）→ クライアント証明書検証 → 鍵交換 → セッション鍵生成 → 通信開始。

---

■ 問題10

証明書の受渡しで「中間者攻撃」を防ぐ上で重要なチェックは何か。

解答例：証明書の署名検証とホスト名検証を必ず行い、提示された証明書が正規の発行者によるものであることを確認すること。

---

✅ これで ディジタル証明書の受渡しをテーマとした午後Ⅱ形式問題 10問 が完成しました。

👉 次は「パケットキャプチャ付き証明書受渡し解析問題」や「証明書チェーンエラー時のトラブルシューティング問題」に広げますか？