このドキュメントは、あなたに情報提示する目的のためにのみ、Netscape から提供されたものです。この文書は、インターネット上での、あなたの個人情報のプライバシーやセキュリティを保護する手段を講じるのに役立つかもしれません。しかし、このドキュメントは、全てのオンラインプライバシーおよびセキュリティ問題について扱っているわけではありません。またこのドキュメントは、インターネット上で十分なプライバシーおよびセキュリティ保護のために何が必要なのかを、Netscape が奨励するものでもありません。

証明書を利用する

証明書は、ID カードのデジタル版です。運転免許証や社員証、クレジットカードのように、異なった目的のためにいくつかの ID カードを持つように、異なった目的のためにいくつかの証明書を利用することができます。

このセクションでは、証明書に関連した操作について解説します。

このセクションでは:

自分自身の証明書を入手する

Web ページのセキュリティを確認する

証明書を管理する

スマートカードや他のセキュリティデバイスを管理する

SSL 警告や設定を管理する

検証を管理する

証明書設定

 


自分自身の証明書を入手する

ちょうどクレジットカードや運転免許証のように、証明書は、インターネットや他のネットワーク上であなた自身を証明する証明書の役割を果たします。他の一般的な ID と同様、証明書は一般的に、そのような証明書を発行する適切な権限をもった団体によって発行されます。証明書を発行する団体は、認証局(CA)と呼ばれます。

あなたは自分の証明書を、公共の CA やシステム管理者、あなたが所属する組織内の特別な CA 、またはあなたの名前やパスワードよりも信頼できる身分証明が必要とされる特別のサービスを提供する Web サイトから得られます。

運転する車の種類に応じて、運転免許証取得の要件が異なるように、証明書も使用目的に応じて、発行要件は様々です。場合によっては、Web ページに行っていくつかの個人情報を入力すれば、自動的にあなたのブラウザに証明書がダウンロードできるというように簡単なものもあります。また場合によっては、いくつかのより複雑な手順を経なければなりません。

今日では、認証局の URL を訪れて、画面に表示される指示に従って証明書を取得できます。認証局のリストは、オンラインドキュメントのクライアント証明書をご覧ください。

いったん証明書を取得したら、自動的にセキュリティデバイスに保存されます。あなたのブラウザは固有のビルトインのソフトウェアセキュリティデバイスを持っています。セキュリティデバイスは、スマートカードのようにハードウェアの場合もあります。

運転免許証やクレジットカードのように、証明書は、悪意を持った人の手に渡ると悪用される可能性がある、重要な身分証明の手段です。あなたを示す証明書を取得した場合は、次のいずれかの方法で証明書を保護しなければなりません: 証明書のバックアップを取り、マスターパスワードを設定することです。

初めて証明書を取得した場合、その証明書のバックアップを取るようにプロンプトが表示されます。マスターパスワードが設定されていない場合、設定するように求められます。

証明書のバックアップやマスターパスワードについての詳細情報は、証明書についてをご覧ください。

セクションの始めに戻る ]

 


Web ページのセキュリティをチェックする

Web ページを表示しているとき、ウィンドウ右下の鍵アイコンが、その Web ページのコンテンツが受信中に暗号によって保護されているかどうか示します。

 closed lock icon  閉じた鍵は、受信中ページが暗号によって保護されていることを示します。
   
 open lock icon  開いた鍵は、受信中ページが暗号によって保護されていないことを示します。
   
 broken lock icon  壊れた鍵は、受信中ページのある部分または全ての要素が暗号によって保護されていないことを示します。ただし全体的な HTML は暗号化されています。

受信したページの暗号化状況についての詳細情報は、鍵アイコンをクリックしてください(または[表示]メニューを開き、[ページの情報]を選択し、[セキュリティ]タブをクリックしてください)。

[ページの情報]の[セキュリティ]タブでは、次の二つの情報が得られます:

重要: 鍵アイコンは、ページをあなたのコンピュータに受信している際の暗号化状態を示すものでしかありません。暗号化されない情報をやり取りする前に通知を受けたい場合は、適切な SSL 警告オプションを選択してください。詳細は、プライバシーとセキュリティ − SSL をご覧ください。

セクションの始めに戻る ]

 


証明書を管理する

証明書マネージャを利用して証明書を管理できます。証明書は、あなたのコンピュータのハードディスクや、スマートカード、コンピュータに接続されたその他のセキュリティデバイスに保存されます。

証明書マネージャを開くには:

  1. [編集]メニューを開き、[設定]を選択します。
  2. [プライバシーとセキュリティ]カテゴリーの中の、[証明書]をクリックします。(サブカテゴリーが表示されていない場合は、[プライバシーとセキュリティ]をダブルクリックしてリストを開いてください。)
  3. [証明書マネージャ]のセクションで、[証明書マネージャ]をクリックします。すると[証明書マネージャ]が表示されます。

このセクションでは:

あなたを特定する証明書を管理する

相手側を特定する証明書を管理する

Web サイトを特定する証明書を管理する

認証局を特定する証明書を管理する

 

あなたを特定する証明書を管理する

証明書マネージャを初めて開いたとき、ウィンドウの上部にいくつかのタブがあることに気付くでしょう。一番左のタブは、[あなたの証明書]と呼ばれ、ブラウザがあなたを特定するために利用することができる証明書を表示します。あなたの証明書は、発行した組織の名前に準じて表示されます。

証明書を実際に利用するには、証明書の見出しをクリック(複数の証明書を選択する際には、Control+クリック)して、[表示]、[バックアップ]、または[削除]ボタンをクリックします。それぞれのボタンで別のウィンドウが開き、実行できるようになります。どのウィンドウでも、[ヘルプ]をクリックして、詳細情報をご覧ください。

[あなたの証明書]に表示される次のボタンは、証明書を選択する必要はありません。これらのボタンで次のことができます:

スマートカードの証明書はバックアップできません: あなたの証明書を選択して[バックアップ]をクリックしたり、[全てをバックアップ]をクリックしても、その結果作成されたバックアップファイルには、スマートカードやその他の外部セキュリティデバイスに保存されている証明書は含まれません。バックアップできる証明書は、ビルトインのソフトウェアセキュリティデバイスに保存された証明書に限ります。

こうした機能の詳細情報は、証明書についてをご覧ください。

セクションの始めに戻る ]

 

相手側を特定する証明書を管理する

メールを作成するとき、そのメールにデジタル署名を添付することができます。デジタル署名を利用することで、そのメールの受信者が、そのメールが確かにあなたからのものであり、発信されてから不正に変更されていないということが確認できるようになります。

デジタル署名をしたメールを送る際には必ず、そのメールにあなたの暗号化された証明書が自動的に含まれます。この証明書で、メールの受信者が暗号化されたメールをあなたに送ることができるようになります。

他の人の暗号化された証明書を入手する最も簡単な方法の一つは、その人があなたに対してデジタル署名されたメールを送ることです。このようにして受信されたメールがあれば必ず、証明書マネージャがそのメール送信者の証明書を自動的に保存します。

証明書マネージャが利用できる他の人を特定する証明書を全て表示するには、証明書マネージャウィンドウの上部にある、[他の人]タブをクリックしてください。正式な証明書が一覧に含まれていれば、誰にでも暗号化したメールを送ることができます。証明書は、その証明書を発行した機関の名前の下に一覧表示されます。

証明書を操作するには、証明書の見出しをクリック(複数の証明書を選択する場合には Control+クリック)して、[表示]または[削除]ボタンをクリックしてください。どちらのボタンをクリックしても、もう一つのウィンドウが開き、操作ができます。ウィンドウの[ヘルプ]ボタンをクリックすると、そのウィンドウについての詳しい情報が得られます。

詳細情報は、他の人の証明書をご覧ください。

[ セクションの始めに戻る ]

 

Web サイトを特定する証明書を管理する

Web サイトの中には、そのサイト自体を証明するために証明書を利用することがあります。そのような認証を行うには、データの転送時に情報を誰かに読み取られないように、サイトとあなたのコンピュータの間の情報転送を暗号化することが求められます。

Web サイトの URL が https:// で始まる場合、その Web サイトは証明書を利用しています。そのような Web サイトを訪れて、そのサイトの証明書が証明書マネージャの知らない、または信頼していない認証局から発行されたものだった場合、ブラウザはその Web サイトの証明書を受け入れるかどうかをあなたに尋ねます。あなたが新しい Web サイトの証明書を受け入れた場合、証明書マネージャは Web サイト証明書の一覧の中にその証明書を追加します。

あなたのブラウザに受け入れられている全ての Web サイト証明書を表示するには、証明書マネージャの上部にある[Web サイト]タブをクリックしてください。

Web サイト証明書にたいして作業を行う場合は、証明書の見出しをクリック(または複数選択する場合は Shift+クリック)し、[表示]、[編集]または[削除]ボタンをクリックしてください。これらのボタンをクリックすると、もう一つウィンドウが開き、対応する作業を行うことができます。

[編集]ボタンでは、選択された Web サイト証明書を将来にわたって信頼するかどうかを決定することができます。

詳細情報は、Web サイト証明書をご覧ください。

セクションの始めに戻る ]

 

認証局を特定する証明書を管理する

他の一般的に利用される ID の形式と同様、証明書は証明書発行の権限を認められた組織によって行われます。証明書を発行する組織は、認証局(CA)と呼ばれます。CA を特定する証明書は、CA 証明書と呼ばれます。

証明書マネージャは、一般的に、ファイルに CA 証明書を保存しています。これら CA 証明書は、対応する CA から発行された証明書を証明書マネージャが認識し、処理できるようにしています。ただし、この CA 証明書がこのリストにあるからといって、その証明書が信頼できるものであるというわけではありません。あなたやあなたのシステム管理者は、セキュリティの程度に応じて、どのような証明書が信頼できるかを決定しなければなりません。

あなたのブラウザで利用できる全ての CA 証明書を表示するには、証明書マネージャウィンドウの上部にある[認証局]タブをクリックしてください。

CA 証明書を管理するには、証明書の見出しをクリック(または複数の認証局を選ぶために Control+クリック)して、[表示]、[編集]、または[削除]ボタンをクリックしてください。これらのボタンをクリックすると、別のウィンドウが開き、処理を行えるようになります。ウィンドウの詳細情報は、ウィンドウにある[ヘルプ]ボタンをクリックしてください。

[編集]ボタンでは、証明書の信頼度を表示し、変更することができます。CA 証明書の信頼度設定では、その CA から発行された証明書のうち、どのような証明書を信頼するかを設定できます。

より詳しい情報は、認証局をご覧ください。

セクションの始めに戻る ]

 


スマートカードや他のセキュリティデバイスを管理する

スマートカードとは、一般的にはクレジットカードほどの大きさの小さな装置で、マイクロプロセッサが組み込まれており、(あなたのプライベートキー証明書といった)あなたの個人情報を保存したり、暗号化操作を行います。

スマートカードを利用するには、一般的に、コンピュータに取り付けられたスマートカードリーダー(ハードウェアの一種)が必要で、それと共にその装置をコントロールするソフトウェアが必要となります。

スマートカードは、セキュリティデバイスの一種です。セキュリティデバイス(時にはトークンとも呼ばれます)とは、ハードウェアデバイス、またはソフトウェアデバイスで、暗号化機能を提供したり、あなたの個人情報を保存したりします。デバイスマネージャを利用して、スマートカードやその他のセキュリティデバイスを操作してください。

このセクションでは:

セキュリティデバイスとモジュールについて

セキュリティデバイスを利用する

セキュリティモジュールを利用する

FIPS モードを有効にする

 

セキュリティデバイスとモジュールについて

デバイスマネージャは、利用できるセキュリティデバイスのリストをウィンドウに表示します。デバイスマネージャを使って、スマートカードをはじめとする、PKCS #11(Public Key Cryptography Standard)をサポートするセキュリティデバイスを管理することができます。

PKCS #11 モジュールは、時にはセキュリティモジュールとも呼ばれ、ちょうどソフトウェアドライバがプリンタやモデムといった外部の装置をコントロールするように、セキュリティデバイスをコントロールします。スマートカードをインストールする際には、スマートカードリーダをコンピュータに接続すると共に、対応した PKCS #11 モジュールをインストールしなければなりません。

標準では、デバイスマネージャは二つの内部 PKCS #11 モジュールをコントロールし、次の三つのセキュリティデバイスを管理します:

セクションの始めに戻る ]

 

セキュリティデバイスを利用する

デバイスマネージャは、セキュリティデバイス上での操作ができるようにしています。デバイスマネージャを開くには、次の手順に従ってください:

  1. [編集]メニューを開き、[設定]を選択します。
  2. [プライバシーとセキュリティ]カテゴリーの中の、[証明書]をクリックします。(サブカテゴリーが表示されていない場合は、[プライバシーとセキュリティ]をダブルクリックしてリストを開いてください。)
  3. [証明書マネージャ]のパネルの中で、[セキュリティデバイスマネージャ]をクリックします。

セキュリティマネージャは、利用できる PKCS #11 モジュールのリストを太字で表示し、それぞれのモジュールによって管理されているセキュリティデバイスをモジュール名の下に示します。

セキュリティデバイスを選択すると、そのデバイスについての情報がセキュリティデバイスマネージャのウィンドウの中央部に表示され、右側のボタンのいくつかが利用できるようになります。例えば、[Software Security Device]を選択した場合、次の操作が可能となります:

こうした操作は、ほとんどのセキュリティデバイスに対して行うことができます。ただし、Builtin Object Token と Generic Crypto Services は、常に利用可能になっている特殊なデバイスであるため、上記の操作はできません。

詳細情報は、デバイスマネージャをご覧ください。

セクションの始めに戻る ]

 

セキュリティモジュールを利用する

スマートカードや他の外部セキュリティデバイスを利用したい場合は、始めにあなたのコンピュータにモジュールソフトウェアをインストールし、必要に応じて関連するハードウェアを接続しなければなりません。ハードウェアに添付される指示に従ってください。

コンピュータに新しいモジュールがインストールされたら、次の手順に従ってそのモジュールをロードしてください:

  1. [編集]メニューを開き、[設定]を選択します。
  2. [プライバシーとセキュリティ]カテゴリーの中の、[証明書]をクリックします。(サブカテゴリーが表示されていない場合は、カテゴリーをダブルクリックしてリストを開いてください。)
  3. [証明書マネージャ]のパネルの中で、[セキュリティデバイスマネージャ]をクリックします。
  4. [ロード]をクリックします。
  5. [PKCS #11 デバイスをロード]ダイアログボックスで、[表示]ボタンをクリックして、モジュールファイルを探して[開く]をクリックしてください。
  6. [モジュール名]にモジュールの名前を入力して、[OK]をクリックしてください。

新しいモジュールが、あなたが割り当てた名前でモジュールリストに表示されます。

PKCS #11 モジュールをアンロードするためには、モジュールの名前を選択して[アンロード]をクリックしてください。

セクションの始めに戻る ]

 

FIPS モードを有効にする

FIPS PUBS(Federal Information Processing Standards Publications)140-1 とは、ハードウェアやソフトウェアが、データを暗号化、復号化、または他の(デジタル署名の生成、検証などの)暗号処理を行う際の、暗号モジュールの実装に関して合衆国政府が定めた規格です。アメリカ政府に販売される製品の多くは、FIPS 規格に適合していることが求められます。

ブラウザで FIPS モードを有効にするには、セキュリティデバイスマネージャを利用します:

  1. [編集]メニューを開き、[設定]を選択します。
  2. [プライバシーとセキュリティ]カテゴリーの中の、[証明書]をクリックします。(サブカテゴリーが表示されていない場合は、[プライバシーとセキュリティ]をダブルクリックしてリストを開いてください。)
  3. [証明書マネージャ]のパネルの中で、[セキュリティデバイスマネージャ]をクリックします。
  4. [FIPS を有効にする]ボタンをクリックします。FIPS が有効になると、NSS Internal PKCS #11 Module の名前が NSS Internal FIPS PKCS #11 Module に変わり、[FIPS を有効にする]ボタンが[FIPS を無効にする]に変わります。

FIPS モードを無効にするには、[FIPS を無効にする]をクリックしてください。

セクションの始めに戻る ]

 


SSL 警告や設定を管理する

SSL(Secure Sockets Layer)プロトコルは、あなたのコンピュータとインターネット上のコンピュータとの間で暗号化された情報をやり取りすることができるようにするものです。つまり、情報が、他の人には解らないように暗号化するものです。SSL はまた、証明書を用いて、インターネット上のコンピュータを特定するためにも利用されます。

TLS(Transport Layer Security)プロトコルは、SSL を基礎とした新しい規格です。標準では、ブラウザは SSL と TLS の両方をサポートします。この設定で多くの人には事足ります。というのも、これでSSL や TLS のあらゆるバージョンをサポートするインターネット上の既存のソフトウェアをほぼ全てサポートすることになるからです。

ただし、状況によっては、システム管理者や他の知識豊富な人が、特殊なセキュリティ設定が必要な場合や過去のソフトウェア製品に存在するバグを避ける場合に、SSL の設定を調整したいと考えるかもしれません。

状況をよく理解しているか、他の人の助けがない限り、あなたのブラウザの SSL 設定を変えるようなことをしないでください。何らかの理由で設定を変更する必要がある場合は、次の手順に従ってください:

  1. [編集]メニューを開き、[設定]を選択します。
  2. [プライバシーとセキュリティ]カテゴリーの中の、[SSL]を選択します。(サブカテゴリーが表示されていない場合は、[プライバシーとセキュリティ]をダブルクリックしてリストを開いてください。)

詳細情報は、SSL 設定をご覧ください。

セクションの始めに戻る ]

 


検証を管理する

上の自分自身の証明書を入手するにもあるように、証明書は運転免許証のような ID 証明書の一種で、インターネット上や他のネットワーク上であなた自身を証明するために利用します。ただし、これも運転免許証のように、証明書には有効期限があり、理由如何によっては通用しないこともあります。そのため、あなたのブラウザは、身分証明目的で証明書を信頼する前に、何らかの方法で証明書の有効性を検証しなければなりません。

このセクションでは、証明書マネージャがどのように証明書の検証を行うのか、そしてその過程が管理されているのかを解説します。この過程を理解するには、公開鍵暗号化をある程度理解していなければなりません。証明書の利用についてなじみのない場合は、ブラウザの証明書検証設定を変更する前に、システム管理者に確認をしてください。

このセクションでは:

検証の機能

CRL を管理する

OCSP を設定する

検証設定

 

検証の機能

証明書マネージャによって保存された証明書を利用したり表示したりする場合は必ず、その証明書を検証するためにいくつかの手順が必要です。最低でも、証明書にある認証局(CA)のデジタル署名が次のような CA によって作成されたかどうかを確認します: (1)その CA 証明書が、証明書マネージャで利用できる CA 証明書のリストにあるかどうか、(2)その CA 証明書が、その種の証明書を発行したと確認され、信頼できるとされているかどうか。

CA 証明書そのものがない場合、CA 証明書のための証明書チェーンが、信頼できる上位の CA 証明書を含んでいなければなりません。証明書マネージャはまた、検証された証明書が証明書ストア内で信頼できるものとしてマークされているかを確認します。これら過程のうち一つでも失敗すると、証明書マネージャは、その証明書を未検証とマークし、その証明書が特定している情報を認識しません。

証明書は、これら全ての検証を経ても、認識されないことがあります。例えば、権限をもたない人が証明書のプライベートキーにアクセスした場合は、証明書が破棄される可能性があります。破棄された証明書は、権限をもたない個人(または Web ページ)が証明書のオーナーであると偽ることを防ぎます。

このような事態を防ぐ一つの方法としては、証明書マネージャが証明書破棄リスト(CRL)を確認プロセスの一部として確認する方法があります(下のCRL を管理するをご覧ください)。多くの場合、CRL はリンクをクリックしてブラウザにダウンロードします。CRL が存在する場合、証明書マネージャは、検証の過程として、同じ認証局によって発行された各証明書をこの CRL リストと比較して確認します。

CRL の信頼性は、サーバによって更新され、クライアントによって確認される頻度に依存します。CRL 自動更新設定を設定して、CRL が一定の期間をおいて、サーバ上のバージョンと自動的に更新されるように設定することができます。

証明書の悪用を防ぐもう一つの方法は、OCSP(Online Certificate Status Protocol)をサポートする特殊なサーバを利用することです。このようなサーバは、個人証明書についてクライアント側からの問い合わせに対応することができます(下の OCSP を設定するをご覧ください)。

OCSP レスポンダーと呼ばれるサーバは、認証された証明書を発行する CA から更新された CRL を定期的に受け取ります。証明書マネージャを設定して、OCSP レスポンダーに証明書のステータスリクエストを提出するようにすることができます。すると、OCSP レスポンダーはその証明書が性器のものかどうかを確認します。

 

CRL を管理する

CRL(証明書破棄リスト)は、破棄された証明書のリストです。認証局(CA)は場合によっては証明書を破棄することがあります。例えば、何らかの理由で悪用された場合です。これは、あなたのクレジットカードが盗まれた場合、クレジットカード会社がそのクレジットカードを無効にする場合とちょうど同じ場合です。

このセクションでは、CRL をインポートして管理する方法を解説します。背景となる情報は、検証はどう機能するのか?をご覧ください。

変更できる CRL 設定についての詳細な解説は、検証設定をご覧ください。

このセクションでは:

"次回更新" の日付について

CRL をインポートする

CRL を表示し、管理する

 

"次回更新" の日付について

ブラウザは、対応する認証局(CA)によって発行された証明書の妥当性を、CRL 利用して検証します。もし証明書が破棄されたものとしてリストされている場合は、ブラウザはその証明書を身分証明としては受け付けません。

CA は通常決められた期間で更新した CRL を発行します。一つ一つの CRL には、次回 CA が更新したその CRL を発行する日付を定めた、[次回更新日]フィールドの日付が含まれます。一般的に、[次回更新日]フィールドの日付が現時点での日付よりも前の場合、最も新しい CRL を入手しなければなりません。CRL 情報を表示したり、CRL の自動更新の設定をするには、CRL を表示し、管理するをご覧ください。

認証局は、[次回更新日]までに新しい CRL を発行することが求められます。ただし、最新の CRL がないからといって、証明書が無効だと判断されることはありません。このため、最新の CRL が利用できない場合でも、証明書は、最新の CRL が期限切れとされてたとしても有効とされる可能性があります。自動 CRL 更新で、こうした状況を防ぐことができます。

 

CRL をインポートする

最新の CRL をブラウザに取り込むには、認証局(CA)で行います。CRL をインポートするには、次の手順に従ってください:

  1. CA またはシステム管理者によって指定された URL に行き、インポートしたい CRL へのリンクをクリックしてください。
  2. [インポートステータス]ダイアログボックスが表示されます

  3. CRL が正しくインポートされたことと、その CRL があなたが手に入れたいものであるかを確認してください。多くの場合、[はい]ボタンをクリックして、インポートした CRL の自動更新を有効にします。
  4. 次のステップは、[インポートステータス]ダイアログボックスで[はい]と答えたか、[いいえ]と答えたかによって異なります:
  5. "この CRL の自動更新を有効にする" というオプションを選択してください。
  6. 自動更新をどのように設定するかを決めます:
  7. OK をクリックして、あなたの選択を確定します。

 

CRL を表示し、管理する

ブラウザの[検証]設定で、ブラウザで利用できる CRL を表示し、管理することができます:

  1. [編集]メニューを開き、[設定]を選択します。
  2. [プライバシーとセキュリティ]カテゴリーの中の、[検証]をクリックします。(サブカテゴリーが表示されていない場合は、[プライバシーとセキュリティ]をダブルクリックしてリストを開いてください。)
  3. [検証]パネルの[CRL マネージャ]をクリックして、証明書マネージャで利用できる CRL のリストをご覧ください。

CRL を削除したり、更新したりするには、対象の CRL を選択し、適切なボタンをクリックしてください。

CRL の自動更新の設定をするには、CRL を選択して[設定]をクリックします。CRL 自動更新設定ダイアログボックスが表示されます:

  1. "この CRL の自動更新を有効にする" というオプションを選択してください。
  2. 自動更新をどのように設定するかを決めます:
  3. OK をクリックして、あなたの選択を確定します。

 

OCSP を設定する

OCSP をコントロールする設定は[検証]設定の一部になります。[検証]設定を表示するには、次の手順に従ってください:

  1. [編集]メニューを開き、[設定]を選択します。
  2. [プライバシーとセキュリティ]カテゴリーの中の、[検証]をクリックします。(サブカテゴリーが表示されていない場合は、[プライバシーとセキュリティ]をダブルクリックしてリストを開いてください。)

利用できる OCSP オプションについての情報は、OCSP をご覧ください。

セクションの始めに戻る ]


2002年 6月18日

Copyright © 1994-2002 Netscape Communications Corporation.

Translated for Mozilla by mozilla-gumi <http://mozilla.gr.jp> participants.