PKI（公開鍵インフラ）

PKI（Public Key Infrastructure）とは

PKI（Public Key Infrastructure、公開鍵インフラ）とは、インターネット上での安全な通信を可能にするために、デジタル鍵と証明書を管理するフレームワークです。ユーザー、デバイス、アプリケーションが互いの身元を検証し、データを秘匿してやり取りできるようにする信頼の基盤を提供します。PKI は、HTTPS 暗号化、デジタル署名、そして多くのメール認証プロトコルを支える技術です。

PKI の中核では、数学的に関連付けられた2つの鍵、すなわち公開鍵と秘密鍵が使われます。公開鍵はオープンに共有できますが、秘密鍵は秘密に保たれなければなりません。この2つが組み合わさることで、送信者やシステムの正当性を証明する暗号化、復号、認証のプロセスが可能になります。

PKI の仕組み

PKI は、認証局（CA）と呼ばれる信頼された機関のネットワークを通じて機能し、これらの機関がデジタル証明書を発行・管理します。これらの証明書は、公開鍵を主体（個人、組織、ドメインなど）と結び付け、その鍵がその主体に属していることを確認します。

PKI システムの主な構成要素は次のとおりです。

• 認証局（CA） - デジタル証明書を発行・失効させる
• 登録局（RA） - 証明書が発行される前に身元を検証する
• 証明書リポジトリ - 有効な証明書を保管・配布する
• 証明書失効リスト（CRL） - 失効した証明書や無効な証明書を一覧化する
• 公開鍵と秘密鍵 - 暗号化、署名、検証に使用する

安全なセッションが確立されると、送信者は信頼された CA によって署名された証明書を提示します。受信者はその証明書を既知の認証局と照合し、改ざんや失効がされていないことを確認します。検証が済むと、その公開鍵を使ってメッセージを暗号化したり、デジタル署名を検証したりできます。

PKI がメール認証の中心である理由

PKI は、DKIM や S/MIME といったメール認証プロトコルを保護する上で中心的な役割を果たします。例えば DKIM では、ドメイン所有者が公開鍵を DNS に公開し、送信サーバーは対応する秘密鍵を使って送信メッセージに署名します。メール受信側は、その公開鍵を使ってメッセージが伝送中に改変されておらず、主張どおりのドメインから本当に発信されたことを検証します。

DKIM の枠を超えて、PKI はメッセージの機密性を保護し、さまざまな通信チャネルにわたって完全性を確保する暗号化システムを支えています。PKI がなければ、メール署名や証明書が有効であること、あるいは暗号化データが傍受・改変されていないことを信頼するための標準化された方法は存在しません。

• DKIM は PKI を使ってドメインレベルの署名を公開・検証する
• S/MIME はエンドツーエンドのメール暗号化に PKI 証明書を使用する
• TLS 証明書は、安全なメールサーバー接続のために PKI に依存している

デジタルの身元を暗号的な保証と結び付けることで、PKI はメッセージ配信のあらゆる段階において、人間と自動化されたシステムの双方が互いを信頼できるようにします。

PKI と DMARCeye

DMARCeye は、PKI ベースの認証データを活用し、SPF、DKIM、DMARC のチェックにわたってメッセージがどのように検証されるかの可視性を高めます。DNS に公開された公開鍵を分析し、認証結果と関連付けることで、DMARCeye は設定ミス、期限切れの鍵、信頼できない証明書の発行元を組織が検出できるよう支援します。

このプラットフォームは、送信ドメインおよびサブドメインにわたる鍵の使用状況を明確に示し、DKIM と TLS の設定が有効かつ安全に保たれるようにします。この継続的な検証がドメインの信頼を強化し、あなたのメール認証インフラを、なりすましや改ざんに対して準拠かつ強靭な状態に保ちます。

DMARCeyeの無料トライアルに登録して、メールドメインを保護しましょう。

DMARCおよび関連用語について詳しくは、DMARCeye用語集をご覧ください。