自社のWebサイトを通じて製品を販売するベンダーは、そのWebサイトに証明書を設置する場合が多い。その接続が信頼済みであることを保証するためだ。ユーザーに証明書を信頼させるには、他の証明書ベースのやりとりと同様の手法を取る必要がある。つまり発行対象の身元を正しく検証した、信頼できるCAが、その証明書を発行していなければならない。

　組織は独自のCAを設定できる。しかし大抵の場合は、定評があり、信頼性を有する証明書を過去に発行したことがあるサードパーティーのエンティティーがCAになる。CAはWebサイト認証、コード署名、メールメッセージなどの各種ユースケースに対応する証明書を発行できる。

　CAは、信頼済みのルート証明書を始点とした、階層型の信頼の連鎖に基づく証明書を発行する。ルート証明書は階層構造の頂点に位置し、CAが発行する全ての証明書の基盤となる。このルート証明書が発行対象に直接発行されることはめったになく、信頼の連鎖の最終的な身元を証明する役割を果たす。子証明書は全てこのルート証明書にリンクされる。

　特定の子証明書が中間CAを確立し、その中間CAも証明書を発行する。それにより複数の層で構成される階層チェーンが作り出される。Windows 10の各証明書は、その証明書に携わるCA全てをリストアップする。ユーザーから見ると、一連のCAが信頼済みであることだけが重要になる。信頼済みであれば、その証明書自体が信頼されており、ひいてはその証明書の発行対象も信頼されることを意味するからだ。

　この信頼の連鎖のおかげで、Windows 10の証明書は比較的簡単に扱える。Windows 10では次の2種類の基本ストアが利用できる。

• 「ローカルコンピュータ」の証明書：該当コンピュータにとってはローカルだが、他者にとってはグローバルとなる証明書。そのため、Webアプリケーション構築環境「ASP.NET」など、Webアプリケーションをホストするようなプロセスに最適だ。ローカルコンピュータ証明書はレジストリのHKEY_LOCAL_MACHINEルートの下に保管される。
• 「現在のユーザー」の証明書：該当コンピュータのユーザーアカウント固有の証明書。クライアントアプリケーションに適している。証明書はレジストリのHKEY_CURRENT_USERルートの下に保管される。

　各ストアには複数のストアが含まれ、証明書全体を形成する。その中でも特に重要なのが「信頼されたルート証明機関」ストアだ。ここにはCAが発行した信頼されたルート証明書が収容される。この証明書が基盤となり、各証明書の信頼の連鎖が確立され、ルート証明書にリンクされた証明書の信頼性が保証される。

証明書ベースの検証プロセス

　信頼されたルート証明機関ストアの証明書は、Windows 10搭載PCとその他のエンティティーとの間で交わされるほとんどの証明書ベースのやりとりにおいて、極めて重要な役割を果たす。このストアは、標準ではMicrosoftのルート証明プログラムに準拠する一連の信頼済みパブリックCAから構成される。これらの証明書はCAの信頼の連鎖において最も重要な検証を行う。

　以下の手順は、Windows 10で動くWebブラウザが安全なWebサイトとやりとりする仕組みの一例を示している。ただしそのサイトにはSSL（Secure Sockets Layer）証明書が割り当てられているものとする。

1. CAが、信頼されたルート証明書を、Windowsの信頼されたルート証明機関ストアに追加する。これは自動実行するか、IT管理者が手動で追加する。
2. CAが発行対象のサーバとドメインを検証し、中間CAを使用してその発行対象に証明書を発行する。
3. 発行対象はその証明書をWebサーバにインストールし、ユーザーの接続に対して利用できるようにする。
4. ユーザーがWebブラウザを通じてWebサイトに接続する。Webブラウザは安全な接続を確立するためのプロセスを開始する。
5. WebサーバからWebブラウザに証明書のコピーが送信される。
6. Webブラウザはその証明書の信頼可否を検証する。具体的には、PCの信頼されたルート証明機関ストア内の証明書と比較してそれが本物であることを確認し、公開鍵と有効期限を確かめる。
7. 証明書が有効な場合、WebブラウザはそのWebサイトとPC間で安全な接続を確立する。ユーザーはそのサイトを閲覧し、そのリソースにアクセスできる。アドレスバーのURL付近にある鍵のアイコンをクリックすることで、証明書を表示することも可能だ。証明書にはCAの信頼の連鎖をはじめとした情報が表示される。

　Webブラウザが上記手順のいずれか1つでもスキップした場合、ユーザーはそのWebサイトに接続できない。

Windows 10の証明書の特性

　IT管理者は、信頼されたルート証明機関ストア内の標準CAを構成することも、独自のCAをインストールすることもできる。

　グループポリシーを使用すれば、Windows 10の証明書を組織単位に配布することができる。それにより、全てのユーザーがほぼ同じ信頼リストを使用するようになる。証明書をPCに手動でインストールすることも可能だ。一方でWindows 10は、ストアに配置された証明書ならば、たとえそれが信頼済みのCAによって発行されたものでなくても全て信頼してしまう。そのため、IT管理者は管理対象のPCに証明書をインストールする際には、慎重を期すことが欠かせない。