平成26年度 春期 応用情報技術者試験 午前 問39
テクノロジ／セキュリティ認証局が侵入され，攻撃者によって不正なWebサイト用のディジタル証明書が複数発行されたおそれがある。どのディジタル証明書が不正に発行されたものか分からない場合，誤って不正に発行されたディジタル証明書を用いたWebサイトにアクセスしないために利用者側で実施すべき対策はどれか。
出典：平成26年度 春期 応用情報技術者試験 午前 問39
- アWebサイトのディジタルWebサイトの証明書の有効期限が過ぎている場合だけアクセスを中止する。
- イWebサイトへのアクセスログを確認し，ドメインがWhoisデータベースに登録されていない場合だけアクセスする。
- ウ当該認証局のCP（Certificate Policy）の内容を確認し，セキュリティを考慮している内容である場合だけアクセスする。
- エブラウザで当該認証局を信頼していない状態に設定し，Webサイトのディジタル証明書に関するエラーが出た場合はアクセスを中止する。
正解：エ
解説
どの証明書が不正発行されたものか判別できない状況では，利用者側は個々のWebサイト単位での確認ではなく，侵入された認証局自体を信頼しない設定にブラウザを変更し，その認証局が発行した証明書に関する警告やエラーが表示された場合はアクセスを中止するという対策を取ることが有効である。
選択肢ごとの解説
- ア誤り。有効期限内であっても不正に発行された証明書は存在し得るため，有効期限の確認だけでは不正発行の証明書を排除できない。
- イ誤り。Whoisへのドメイン登録状況は，証明書が不正発行されたものかどうかとは直接関係がない。
- ウ誤り。CPの内容を確認しても，どの証明書が実際に不正発行されたものかは判別できない。
- エ正しい。侵入された認証局自体を信頼しない設定にすれば，その認証局が発行した全ての証明書についてエラーが表示されるため，不正な証明書を使ったWebサイトへのアクセスを確実に回避できる。