検証
証明書を申請
XENLOOK C2PA検証

パイロット・C2PA審査中 · 韓国2027.03 · 日本2027.06 · 模範法は韓国法

著作権 C-2026-036487 · 特許出願 10-2026-0100026（未登録）

法務・ポリシー →
コースの目次
全10章のうち第5章

第5章信頼は、鎖のようにつながっています

署名があっても、その署名者を信じてよいかは、また別の問いです。この章では、上位の機関 → 発行する機関 → 個別の証明書とつながる信頼の鎖と、証明書の失効の照会を学びます。第1〜4章の復習も一緒にします。

  • 正式な回の名前 · PKI・CA の構造の学習と標準の検証
  • 実習 5ステップ
  • ログインなしで進められます
この章で学ぶこと
  • 信頼の鎖の、3つの輪を知ります。
  • 証明書が失効する場合と、失効したかどうかを照会する方法を知ります。
  • 「署名が有効」と「信頼済み」は、別の意味だと知ります。

やさしく理解する

会社の社員証と同じです
本社が支店を認め、支店が社員に社員証を渡します。社員証が怪しければ支店を、支店が怪しければ本社を確かめます。社員が辞めたら、社員証を回収して、入館の名簿から消します。証明書も同じように上へつながり、問題が起きたら失効させます。

証明書は、「この公開鍵の持ち主は、だれそれです」と書いた証明書類です。発行する機関（CA）が、この証明書に署名します。

発行する機関も、さらに上の上位の機関（ルート CA）に認められています。こうして、上位の機関 → 発行する機関 → 個別の証明書とつながる鎖ができます。

検証プログラムは、鎖を一番上までたどって、あらかじめ「信じると決めたリスト（Trust List）」にある上位の機関に届くかを確かめます。届けば「信頼済み」、届かなければ「信頼されていません」です。

そのため、署名が数学的に正しくても（署名が有効）、上位の機関がリストになければ「信頼されていません」と出ることがあります。このサイトのパイロット認証局は、今その状態です。

秘密鍵をなくしたり、間違って発行したりしたら、証明書を失効（revocation）させます。失効した証明書のリストを CRL といい、証明書1枚の状態をすぐに問い合わせる窓口を OCSP といいます。

証明書には有効期間もあります。期間が過ぎた証明書でした署名は、検証プログラムによっては問題として表示されます。第8章で、こうした例を実際に見ます。

図で見る

  1. 上位の機関ルート CA
  2. 発行する機関中間 CA
  3. 個別の証明書署名者
  4. 署名されたファイルマニフェスト
検証は、下から上へさかのぼります。一番上の上位の機関が Trust List にあって、はじめて「信頼済み」です。

実際にやってみる

上から順に、1ステップずつ進めます。ステップごとに、「こう見えれば成功」と同じかどうかを確かめます。
  1. 「信頼・準拠」のまとまりにある公開リポジトリのページを開いて、証明書の失効リスト（CRL）のリンクと、OCSP の案内を探します。
    こう見えれば成功 CRL のアドレス（/api/ca/v1/crl）と、OCSP の説明が見えます。
    公開リポジトリを開くログイン不要
  2. CRL のファイルをダウンロードします。人が読む文章ではなく、プログラムが読むファイルだということだけ確かめます。
    こう見えれば成功 ファイルがダウンロードされ、開くと読みにくい記号が見えます。これで正常です。
    CRLをダウンロードするログイン不要
  3. 開発者ページで、OCSP の照会窓口（GET /api/ca/v1/ocsp/{hex}）の説明を探します。証明書のシリアル番号を16進数で入れると、状態を教えてくれる窓口です。
    こう見えれば成功 OCSP の窓口のアドレスと、使い方が書かれています。
    開発者ページを開くログイン不要
  4. メンターと一緒に、実際の証明書1枚の状態を OCSP で照会してみます。
    こう見えれば成功 正常（good）、失効（revoked）、不明（unknown）のどれかが出ます。
    メンターと一緒に
  5. 第1〜4章の確認問題を、もう一度解きます。間違えた問題や、迷った問題を、記録シートに書きます。
    こう見えれば成功 第1〜4章の確認問題に、すべて自分の言葉で答えられます。
    コースの目次へログイン不要
メンターと一緒に行う部分 · PKI 担当のメンターが、このサイトの信頼の鎖がどうなっているか、なぜ今は Trust List に載っておらず、ほかの検証プログラムで「信頼されていません」と出るのかを説明します。

できたかどうか確かめる

下のすべてに「はい」と答えられたら、この章は修了です。
  • 信頼の鎖の3つの輪を、上から言えますか。
  • CRL と OCSP が、それぞれ何かを言えますか。
  • 「署名が有効」と「信頼済み」が、なぜ違うのかを説明できますか。

まちがえやすいこと

  • よくある誤解署名が有効なら、信じてよい署名者です。
    実際には署名が有効とは、数学的に正しいという意味です。信じてよいかは、信頼の鎖が Trust List に届くかで、別に確かめます。
  • よくある誤解一度発行された証明書は、ずっと有効です。
    実際には有効期間があり、問題が起きれば、期間の前でも失効することがあります。

確認クイズ

  1. 問題 1信頼の鎖の3つの輪を、上から言ってみましょう。答えを見る答えを閉じる
    上位の機関（ルート CA）→ 発行する機関（中間 CA）→ 個別の証明書です。
  2. 問題 2秘密鍵をなくした証明書は、どうすればよいですか。答えを見る答えを閉じる
    失効させます。失効すると CRL に載り、OCSP で問い合わせると「失効」と出ます。
  3. 問題 3このサイトの証明書で署名したファイルが、ほかの検証プログラムで「信頼されていません」と出ます。なぜでしょうか。答えを見る答えを閉じる
    このサイトのパイロット認証局が、まだ C2PA Trust List に載っていないからです。署名そのものが間違っているという意味ではありません。

用語のまとめ

認証局CA · certificate authority
証明書を発行して、署名する機関です。
ルート CAroot CA
信頼の鎖の一番上にある、上位の機関です。
Trust List
検証プログラムが「信じると決めた」上位の機関のリストです。
CRLcertificate revocation list
失効した証明書を集めたリストです。
OCSPonline certificate status protocol
証明書1枚の状態を、すぐに問い合わせる方法です。

実習記録シート

印刷して手で書くか、同じ項目を文書に書き写します。メンターの確認をもらえば完了です。
第5章 実習記録シート信頼は、鎖のようにつながっています
実習日
記入者
メンター確認
  1. 信頼の鎖の図（3つの輪を自分で描いてみる）
  2. 公開リポジトリで見つけた CRL のアドレスと OCSP の案内
  3. メンターと一緒にした OCSP の照会結果
  4. 第1〜4章の復習で迷ったこと
  5. 「署名が有効」と「信頼済み」の違いを、自分の言葉で