中小企業診断士 第1次試験 システム開発・プロジェクト管理・情報セキュリティ 練習問題 第9問: 公開鍵暗号方式を利用した電子署名（デジタル署名）を付けた電子文書を、送信者から受信者へ送る。その仕組みと確かめられることに関する記述として、最も適切なものはどれ

「送信者の公開鍵で署名を復号した値が本文のハッシュ値と一致すれば、改ざんもなりすましもないと分かる」が適切です。総務省の説明では、送信者は本文をハッシュ関数で変換したハッシュ値を自分の秘密鍵で暗号化して電子署名とし、本文と署名を結合して送ります。

受信者は署名を送信者の公開鍵で復号してハッシュ値を取り出し、受け取った本文から同じハッシュ関数で計算した値と比べます。一致すれば、途中で改ざんされていないことと、その秘密鍵を持つ送信者から来たことが確かめられます。

使った公開鍵が送信者本人のものであることは、認証局が発行する電子証明書（公開鍵の持ち主を証明する電子的な証明書）で確かめます。「受信者の公開鍵で署名を作り、自分の秘密鍵で検証する」は、暗号化して秘匿するときの鍵の使い方と取り違えています。

「送信者の秘密鍵で復号する」は、秘密鍵は本人だけが持つ鍵なので受信者は使えません。「本文も暗号化される」は誤りで、本文は平文のまま署名と一緒に送られるため、盗み見の防止には別に暗号化が要ります。

「送信者が本人かどうかは確かめられない」も誤りで、本人の秘密鍵でしか作れない署名であることから送信元を確認できます。署名は送信者の秘密鍵で作り、電子証明書で確かめた送信者の公開鍵で検証すると覚えます。