認証局は、公開鍵とIDを紐付けるデジタル証明書を発行します。HTTPS経由でウェブサイトにアクセスすると、ブラウザはサイトの証明書を信頼できる認証局のリストと照合します。信頼できる認証局が署名し、ドメインが一致すれば、ブラウザには南京錠のアイコンが表示されます。一致しない場合は、警告が表示されます。認証局は信頼の要であり、これを破るとシステム全体が機能しなくなります。

認証局（CA）は発行前に本人確認を行います。ドメイン検証ではドメインの所有権が確認され、組織検証では企業の存在が確認されます。拡張検証ではより徹底的な審査が行われますが、ブラウザではその表示が目立たなくなっています。検証は完璧ではありません。DigiNotarは2011年に侵害され、Googleドメインに不正な証明書を発行しました。同社は倒産しました。Symantecはブラウザが不信感を抱くようになるまで何年も証明書を不正に発行していました。複数の認証局が存在し、ブラウザが信頼を取り消すことができるため、このシステムは存続しました。現在では証明書の透明性ログに発行されたすべての証明書が公開されているため、不正発行はより早く発見されます。信頼モデルは中央集権的で脆弱ですが、ほとんどの代替案よりも持ちこたえています。

証明書の検証レベル

• ドメイン検証 — ドメインの所有権を証明する
• 組織検証 ― 会社が存在することを確認する
• 拡張検証 — 徹底的な本人確認
• 証明書の透明性 — 発行された証明書の公開ログ

ブラウザが証明書に関する警告を表示したら、注意してください。通常、何らかの問題が発生していることを意味します。