公開鍵基盤
暗号技術において、公開鍵基盤(こうかいかぎきばん、英語: public key infrastructure、以下PKI)は公開鍵暗号方式や電子署名方式で用いる公開鍵とその公開鍵の持ち主の対応関係を保証するための仕組みである。公開鍵認証基盤、公開鍵暗号基盤とも呼ばれる。
PKIの実現例として、たとえばX.509(PKIX: Public-Key Infrastructure using X.509)がある。
PKIの利用者Aが別の利用者Bの公開鍵証明書を入手する方法として、利用者Bから電子メールなどの手段を用いて公開鍵証明書を送ってもらうというものがある。これをアウトオブバンドの送信方法という。
また公開鍵暗号や電子署名を利用する通信プロトコルの一部として公開鍵証明書の送信方法が組み込まれている場合があり、こうした通信プロトコルにしたがって利用者Bから公開鍵証明書を送信してもらう方法をインバンドな送信方法という。インバンドで公開鍵証明書を送信するプロトコルとしてS/MIME、PGP、TLSなどがある。
利用者Bから直接証明書を送ってもらうのではなく、多数の利用者の証明書を保存しているリポジトリからBの証明書を受け取る方法もある。リポジトリの実装方法に関しては様々なものがあり、いくつかはRFCになっている。具体的にはLDAP(RFC2559)やX.500のようなディレクトリ・サービスを利用したもののほか、FRPやHTTP(RFC2585)を使ったもの、DNS(RFC2538)を使ったものがある。
CRL(Certificate Rivocation List、証明者失効リスト)はすでに失効した公開鍵証明書(のシリアル番号)のリストである。各利用者がこのリストを確認することで公開鍵の失効状況を確認ができる。
CRLの発行者は多くの場合証明書を発行した認証局自身であり、CRLにはその真正性を示すため発行者の署名が付与されている。
CRLはリポジトリという公開サーバに格納し、PKIの利用者はこのサーバにアクセスすることでCRLを入手できる。
CRLの中には、認証局の失効情報に特化したものが存在し、これを認証局失効リスト(ARL、Authority Revocation List)という。
CRLは定期的に更新され、新しい失効情報がCRLに随時載っていく。しかし利用者が証明書の失効を申請してからCRLが更新されるまでタイムラグが生じるという問題を抱える。
政府認証基盤(GPKI、Government PKI)は日本政府が運用するPKIであり、全省庁共通の政府共用認証局(官職認証局)、政府認証基盤の外にある認証局と相互認証するためのブリッジ認証局、および国民や企業に配る文書やプログラムにつける署名に対する証明書を発行するアプリケーション認証局から構成される。
なおもともとは各省庁が自身で用いる認証局(府省認証局)を設置し、それらを総務省が設置しているブリッジ認証局を通して相互認証する構成であったが、府省認証局は平成20年以降順次廃止され、上述したスタイルになっている。
政府認証基盤では行政機関の公文書に対して署名するときに用いられる電子証明書を発行しており、これを官職証明書という。他にも府省等が運用する情報システムの認証等に使用する利用者証明書や暗号鍵の証明書として用いる暗号化通信用等証明書を発行している。