質問: ファイルへの電子署名と、ssl用の証明書の違いを教えて欲しい 会社名での電子署名の必要に迫られていますが、セキュリティに関する知識がありません。具体的には以下の2点です。 1.ダウンロード販売する実行ファイルや、見積書・注文書・納品書などのpdf文書に電子署名したい 2.webサイト一部ページをsslで運用したい。(独自ドメイン、専用サーバで運用) sslサーバ用の電子証明書は「rapid-ssl」という格安のものを考えていますが、それはファイルの電子署名にも使えるものなのでしょうか。 ファイルへの署名はファイル単体を送付すれば署名して返してくれるサービスがあるようなのですが、今後シェアウェアなどを定期的に出していく予定で、自社で署名できるようにしておきたいのです。 どちらも「電子証明書」を取得する必要があるのは分かりますし、公開鍵暗号の概念だけは知っておりますが、具体的にどうすればよいのか、実務的な知識がまったくありません。 どうぞよろしくお願い致します。
回答: >はじめは「一つの会社の実印のようなもの」をファイルにもssl証明書にも「押印する」というようなイメージでした。 「会社の実印」に当たるものが「秘密鍵」で、「役所への実印登録」に当たるものがベリサインなどが行っている「認証サービス」に当たるのかと思っていました。つまり、実印さえ登録してしまえば、後はどのサーバーでもどのファイル文書でも自分で押印できる、という発想になったのですが、根本的に間違っているのでしょうか。 間違っていません。ですが、商品ラインナップを見てみればわかるように コードサイニングとサーバ用証明書がわざわざ分かれて販売されているこ とと、現実の実印と比べてライセンスの問題がどうなっているのか調べて もよくわからなかったのです。ここもベリサインに質問した方がいいですね。 http://www.verisign.co.jp/codesign/help/contact/index.html >サーバーの証明書というのは「あなたが接続しているのはxxxx.comのサーバーに間違いありません」という意味であって、「あなたが接続しているxxxx.comは○○会社がセキュリティを保証しています」という意味ではない、と理解していいですか? 正解です。あくまでもサーバが本当にその会社のものであるかを証明する のが主な仕事です。語弊を生んでしまいますが、電子証明単体では高度な セキュリティを実現するわけではありません。それはまた保守分野になり ます。ただ、ssl暗号通信を実装しているので、全くセキュリティを 保証していないわけではないのでこの辺の定義付けが専門家でないと難し いですね。 >これに対して、ファイルの電子署名というのは、「このファイル文書の製作者は○○会社に間違いありません(かつ改竄されていません)」という理解でよいのでしょうか。 これもほぼ正解です。pdfの場合電子証明書が付いた電子署名をされる と、adobereaderの左に青いリボン付き勲章のマークがあります。実装して あるサイトのurlを紹介しようとしたのですが見つかりませんでした。 ちなみに、一番解決したいアプリケーションのコードサイニング 用の電子署名ですが、おそらくサーバ用の電子署名と併用はでき ないと思います。 念のため「未だに決めかねていますが...」というさわりで、販売 店にメール等で質問してみてください。 ベリサインは非常に高価なので、他にも安いコードサイニング商 品があるかこちらでも探してみます。あまり見掛けたこともない ので期待はしないでください。