新人研修で使う証明書の見分け方：名前・期間・確認対象の3問

証明書を初めて読む人のための、6枚の研修資料です。名前・有効期間・発行時に確認する対象を別の質問として整理します。概念例を使う教材で、研修参加者の理解度試験や本番環境の検証結果ではありません。
1. 証明書を読む三つの質問
「どの名前に使うか」「いつまでの期間か」「発行時に何を確認するか」を分けます。名前や期間が合うだけで、すべての接続条件を満たすとは限りません。
2. 名前を照合する
DNS名はSANのdNSNameと照合します。*.example.com は shop.example.com に一致しますが、example.com と a.shop.example.com には、そのワイルドカード項目だけでは一致しません。対象名を判定する概念例で、接続成功を示すチェックではありません。
3. 現在時刻と有効期間を比べる
証明書には有効になる日時と期限があります。確認する現在時刻をその期間と比べます。具体的な日時の実測例は作りません。期間内でも名前や信頼のつながりなど別の条件が必要です。失効は、単なる期限到来とは別の状態です。
4. 発行時の確認対象を区別する
DVは対象名の制御、OVはそれに加え組織情報、EVは定められた追加の組織・申請権限等の確認を含みます。この区分だけで暗号の強さや取引の安全性を決めません。
5. 自分の言葉で答える

*.example.com で a.shop.example.com まで対象になる？ 答え：その項目では一致しません。
期間内なら、すべての接続確認が済んだ？ 答え：名前、信頼などの条件が残ります。
EVなら、その店との取引を必ず信用できる？ 答え：取引内容や相手の信用は別に確認します。

答えを読めることと、参加者が理解できたことは別です。講師は自分のサービスの例を使い、どの情報を根拠に判断したかも聞いてみます。
6. 次の学習と参照元
名前の一致例を試すには、PKIちゃんねるのSAN・ホスト名一致チェッカーを使えます。発行時の確認対象を図で振り返るには、DV・OV・EVの入門へ進めます。

RFC 9525：サービスの名前確認
RFC 5280：有効期間とパス検証
CA/Browser Forum：Baseline Requirements
CA/Browser Forum：EV Guidelines

資料確認と執筆にAIを使用しています。

Transcript