質問: ベリサイン等での認証を利用する場合、原理的に少なくとも1つの公開鍵は(CAのルートの公開鍵)オフラインで配送する必要があると思うのですが、どのような方法でクライアント1台1台に、正当な公開鍵を配賦しているのでしょうか? またある一定期間での更新(こちらはオンラインでも可能でしょうが)するひつようもあると思うのですがどのように運用しているのでしょうか?
回答: A1. 公開鍵証明書は(秘密の情報が含まれるものではないので)受け取った時点で偽造や改ざんを受けていないことを確認する手段があれば充分です。 A2. シグネチャーは公開鍵証明書を1方向ハッシュ関数に通すことによって計算されます。よって、真正な公開鍵証明書を元に計算したことが明らかなシグネチャ-と、手元の公開鍵証明書を元に計算したシグネチャ-が一致しない場合、手元の公開鍵証明書は伝送中に損傷を受けた/改ざんされた/偽造されたと判断することができます。 A1. について補足すると、 のようなページが存在し、シグネチャーを照合できるようにしてあることが「策」を構成しています。もしも 上記URLの内容すら信頼できない場合にも、ベリサインのオフィスに電話を掛けたり、オフィスまで出向いたりする選択肢もあります(個人のエンドユーザがそこまでするとたぶん嫌がられると思います ^_^)