証明書ライフサイクル管理とは

証明書ライフサイクル管理（CLM）は、組織のデジタル証明書を管理および保護する正式なプロセスです。CLMは、証明書のライフサイクルの各段階（インベントリー、発行、配備、監視、更新、失効、廃棄）を合理化し、自動化することを目的としています。

デジタル証明書は、公開鍵暗号を使用して所有者の身元を証明する電子文書です。Webサイト、サーバー、アプリケーション、AIエージェントなど、人間以外のアイデンティティー（NHI）を認証するために使われることが多いです。

DevOps、クラウド環境、人工知能（AI）、機械学習（ML）に後押しされ、企業ネットワークを通じてNHIが普及するにつれ、証明書はIDおよびアクセス管理（IAM）のますます重要な要素となります。

ただし、NHIの爆発的な増加は、他のデジタル認証情報と同様、脅威アクターから保護する必要がある証明書の爆発的な増加も意味します。

さらに、証明書には有効期限というさらに複雑な問題が伴います。

設計上、証明書は無期限に有効なわけではありません。更新前に期限が切れると、大規模な中断、サービス停止、ダウンタイムにつながる可能性があります。顧客はWebサイトにアクセスできない可能性があります。ネットワーク・インフラストラクチャーの重要な部分が機能しなくなる可能性があります。決済処理業者はダウンする可能性があります。

証明書ライフサイクル管理は、証明書の状態の追跡、アクセスの制御、証明書の更新と取り消しなど、主要な証明書のワークフローを簡素化するためのツール、戦術、ストラテジーを組織に提供することを目的としています。このようにして、CLMはコストのかかる予期せぬ停止を防ぐと同時に、証明書の詐欺、盗難、悪用を軽減するのに役立ちます。

デジタル証明書は、そのフォーマットを定義するX.509規格にちなんでX.509証明書とも呼ばれ、デジタルIDを検証するために使用される電子文書のことです。証明書は主に、サーバー、ソフトウェア、コンピューター、モノのインターネット（IoT）エンドポイントなど、非人間および機械のIDで使用されます。

証明書は、公開鍵インフラストラクチャー（PKI）と呼ばれるフレームワークに依存しており、PKIは、エンティティーの身元を検証し、エンティティー間の通信を保護するために非対称暗号を使用します。

より具体的には、非対称暗号システムでは、公開鍵と秘密鍵という2つの異なる鍵を使用して、データを暗号化および復号化します。誰でも公開鍵を使用してデータを暗号化できますが、そのデータを復号化できるのは、対応する秘密鍵の所有者だけです。

デジタル証明書は、特定の秘密鍵が特定のエンティティーに属することを証明し、多くの場合、真の証明書の所有権はそのエンティティーの身元の証明と見なされます。

ある意味で、証明書は家の証書に少し似ています。証明書には、不動産（鍵）が誰に属するかが記録されており、誰かが証書を持っている場合は、その不動産の正当な所有者である可能性が高くなります。

しかし、この例えは、証明書の限界とそれを保護することの重要性も明らかにしています。悪意のある人物が証明書を盗んだ場合、その信頼できるエンティティーになりすますことができ、他のユーザーがそれを信じてしまい、結果として壊滅的な事態を招く恐れがあります。

例えば、ある脅威アクターが正規のWebサイトの証明書のコピーを盗んだり、偽造したりしたとします。その後、攻撃者はユーザーの認証情報を盗むことを目的とした、Webサイトの悪意のあるコピーを作成します。攻撃者が本物と思われる証明書を持っているため、Webブラウザーはフィッシング・サイトが本物だとみなし、ユーザーはそのサイトが偽物であるという警告を受け取ることはありません。

悪意のある人の手に渡るリスクを軽減するために、ほとんどの証明書は限られた期間のみ有効です。証明書の有効期限は、定期的な認証情報のローテーションと同様に、サイバーセキュリティー対策です。攻撃者が有効な証明書を入手したとしても、実際の所有者が最初に証明書を取り消さなければ、その用途は限定的です。

証明書には通常、以下が含まれます。

• 件名：証明書が属する個人、マシン、Webサイト、またはその他のエンティティー。証明書には、証明書を使用することが許可されている他の名前であるサブジェクト代替名（SAN）が記録されることもあります。例えば、Webサイトの証明書には、そのサイトのすべてのサブドメインが記録される場合もあります。
   

• 発行者：証明書を発行した認証局（CA）。
   

• 有効期間：証明書が有効になる時期と期限が切れる時期。
  

• サブジェクトの公開鍵：他のユーザーは、人間であろうと非人間であろうと、この公開鍵を使用して証明書の主体との通信を暗号化できます。主体は関連付けられた秘密鍵を持つ唯一の人であるため、これらのメッセージを復号化してその内容を確認できるのは主体のみです。
   

• 発行認証機関のデジタル署名：この署名は、証明書が正当なCAによって発行されたものであることを確認し、一般に信頼できることを意味します。

ほとんどの証明書は証明機関（CA）によって発行されます。CAは、証明書要求者の身元を検証し、信頼できる証明書を付与する信頼できる第三者です。

CAは通常、証明書と認証局の標準を設定するコンソーシアムであるCA/Browser Forum（CA/B Forum）のメンバーです。この提携とCA/B標準への準拠により、他の組織、アプリケーション、ユーザーからのCAの信頼を獲得できます。

よく知られているCAには、非営利団体のLet's Encryptや、GlobalSign、DigiCert、Microsoft Active Directory証明書サービスなどの民間組織が含まれます。

発行プロセスは次のようになります。

1. 証明書を必要とするエンティティー（「主体」）は、公開鍵と秘密鍵のペアを生成します。
   
   
2. 主体は、選択したCAに証明書署名要求（CSR）を送信します。このリクエストには、主体の公開鍵と、CAに対して主体の身元を証明するために必要な情報が含まれます。例えば、WebサイトのCSRには、要求者が対象のWebサイトを所有していることの証明を含める必要がある場合があります。
   
   
3. CAはCSRをレビューし、主体の身元を確認して、証明書を発行します。証明書は、CA自身の秘密鍵によって暗号署名され、正当なものであることを証明します。
   
   
4. 証明書は、サーバー、デバイス、またはその他の必要な場所にインストールされます。

本質的に、証明書は保証システムです。主体は、CAのデジタルIDを確立するために必要な証拠を提供します。CAは、「このIDは正当なものであり、他のユーザーが安全にそのIDと通信できるように、ここに鍵があります」という理由で承認されます。CAが信頼されているため、その証明書も信頼できます。

事業体は独自の自己署名証明書を生成することもできますが、すべての関係者がすでにお互いを信頼しているクローズド環境外ではほとんど重みを持ちません。

SSL証明書またはTLS証明書と呼ばれることもあり、これらは最も広く使用されている証明書の1つです。この名前は、インターネット上で使用される2つの暗号化通信プロトコル、Transport Layer Security（TLS）と大部分が廃止されたSecure Sockets Layer（SSL）に由来しています。

TLS/SSL証明書はWebサーバーを認証し、サーバーの公開鍵をWebブラウザーに提供して、サーバーとクライアント間の安全な暗号化された接続を可能にします。

主に3つのタイプがあります。

• ドメイン検証済み（DV）：Webサイトの所有権のみを検証します。

• 組織検証済み（OV）：Webサイトの所有権とWebサイトの背後にある組織の両方を検証します。

• 拡張検証（EV）：人間による手動検証が必要な、最も厳格なタイプ。金融や銀行など、最高レベルの信頼が要求される業界で使用されます。

S/MIME証明書（Secure/Multiplace Internet Mail Extensions規格）とも呼ばれ、Eメールの本人確認と暗号化通信を可能にします。

これらは、プログラム、アプリケーション、パッチ、その他のコードが本物であり、改ざんされていないことを検証します。公開時にコードにデジタル署名を適用することで機能します。開発者は秘密鍵を使用してコードに署名し、コードを実行するユーザーまたはシステムは、その署名を対応する公開鍵と照合して検証できます。

CLMツールは証明書管理ソリューションとも呼ばれ、証明書管理ライフサイクルの大部分を簡素化、保護、合理化、自動化するのに役立ちます。実際、ネットワーク内のアクティブな証明書をすべて公開することや、有効期限が切れる前に証明書を更新することなど、証明書管理の多くの中核的な側面は、これらのツールなしでは事実上不可能です。

CLMツールの一般的な機能は次のとおりです。

• すべての証明書の自動検出とインベントリー作成、所有権、インストール場所、有効期限などの重要な詳細情報の取得

• 動的なオンデマンドの証明書生成により、セキュリティーを強化し、証明書アクセスを合理化します。

• 新しいキーペアを生成する機能、CSRの安全な送信、信頼できるCAシステムとの統合、自己署名証明書を作成する機能など、完全にまたは部分的に自動化されたCSR。

• リモートプロビジョニングにより、証明書を適切なデバイスやサービスに単一の中央コントロールパネルから直接インストールできます。

• 監視とコンプライアンス・ログにより、証明書の使用状況と有効性を追跡し、保留中の有効期限を検知し、脆弱な暗号基準や廃止された暗号基準などの脆弱性を特定できます。

• 期限切れの証明書の通知と自動更新により、停止を防ぎます。

非人間アイデンティティーが企業ネットワークに占める割合は増加の一途をたどっています。推定は45対1から92対1まで幅がありますが、平均的なITシステムでは非人間が人間を大幅に上回っています。

これらのNHIは、認証とアクセス制御を証明書に依存しています。これらすべての証明書を手動で管理することは非効率的であるだけでなく、スケーラブルでもありません。

正式なCLMプロセスと適切なツールがなければ、証明書がその隙間をすり抜け、組織があらゆる種類のリスクにさらされる可能性があります。

セキュリティー上の理由から、証明書の有効期間は短期間であり、ますます短くなりつつあります。2029年3月、SSL/TLS証明書を47日ごとに更新することが求められる新しいCA/Bフォーラム基準が適用されます。

証明書の更新を手動で処理すると、期限を逃しやすく、ダウンタイムが発生し、セキュリティー上の脆弱性が生じます。期限切れの証明書は、正規ユーザーへのアクセスを中断させ、偽造ユーザーにとっては、偽造された証明書を渡したり、「フェイルオープン」動作を悪用したりする機会など、隙を与える可能性があります。

（この文脈において、「フェイルオープン」とは、証明書の有効性チェックを実行できない場合、無効性が確定されない限り、または無効化が確定するまで、システムはトラフィックをそのままにすることを意味します。多くの証明書システムは、デフォルトで開くことができません。証明書が使用されるたびにCRLを読み取ったり、その他の有効性チェックを実行したりするにはコストがかかる可能性があるためです。）

自動更新は、運用ソリューションであると同時にセキュリティー・ソリューションでもあります。CLMツールは、脅威アクターが有効な証明書を盗んだり悪用したりするリスクを軽減しながら、アップタイムを確保するのに役立ちます。

DevOpsを重視するハイブリッド環境やマルチクラウド環境では、証明書がオンプレミス、リモート、一時的、クラウドベースのインフラに存在する可能性があり、組織のすべての証明書を追跡することは困難な場合があります。

CLMツールを使用すると、アプリケーション、サービス、インフラストラクチャーの新規および既存の証明書を定期的かつ包括的にスキャンできます。これらのツールはインベントリーを維持し、アルゴリズム、キー、証明書をカタログ化するための暗号部品表（CBOM）を作成することもできます。

完全な証明書インベントリーは、各証明書の所有者、目的、エンドポイント、発行者、更新パス、デプロイメント・パス、および証明書が予期せず期限切れになった場合の潜在的な影響範囲を把握できます。

量子コンピューティングはCLMの新たなユースケースを示しています。量子力学の能力が進歩するにつれて、従来の暗号化方法を破り、デジタルの信頼を損なう恐れがあります。CLMツールは、新しい暗号化標準を迅速に採用し、古い暗号化方法に依存する古い証明書を迅速に取り消すことで、組織が量子主導の変化に対応できるようにします。

組織は、証明書ランドスケープ全体にわたる耐量子計算機暗号の導入を計画し始めており、ソリューションは現在、耐量子安全公開鍵インフラストラクチャー（PKI）や、キー暗号化用のCRYSTALS-Kyber、デジタル署名用のCRYSTALS-DilithiumやFalconなどの新しいアルゴリズムに焦点を当てています。

しかし、移行を成功させるためには、証明書がどこにあり、どのような暗号化を使用しているかを把握する必要があります。見逃した1つの証明書が、攻撃者にとってまさに侵入に必要なものになる可能性があります。

CLMツールとプロセスは、包括的な発見とインベントリーに加え、自動化された更新と取り消しを通じて、組織が証明書が暗号セキュリティーの最新基準に準拠していることを保証するのに役立ちます。