読み方：しょうめいしょしょめいようきゅう

証明書署名要求【CSR】Certificate Signing Request

概要

証明書署名要求とは、デジタル証明書の発行を認証局に申請するために送付する電子データのこと。申請者の公開鍵と識別情報が含まれ、対応する秘密鍵で電子署名が施される。書式はRFC 2986（PKCS #10）で標準化されており、Base64で符号化したPEM形式のテキストとして扱われることが多い。

公開鍵暗号方式では、利用者が秘密鍵と公開鍵からなる鍵ペアを自ら生成し、通信相手に公開鍵を提供する。しかし、受け取った公開鍵が本当にその所有者のものであるかを受信者だけで確認することは難しい。このため、第三者機関である「認証局」（CA：Certificate Authority）が公開鍵と所有者情報を結び付けたデジタル証明書を発行し、その正当性を保証する仕組みになっている。

証明書署名要求は、この証明書発行手続きにおいて認証局へ提出されるデータである。証明書に記載するドメイン名や組織名、所在地などの識別情報と、利用者が生成した公開鍵が含まれる。さらに、要求内容が改竄されていないことと申請者が対応する秘密鍵を保有していることを示すため、秘密鍵による電子署名が付与される。秘密鍵そのものが要求データに含まれることはなく、申請者の手元で厳重に保管される。

認証局は受け取った証明書署名要求の内容と署名を検証し、申請者が当該ドメインや組織を実際に管理しているかどうかを審査する。審査の厳密さは「ドメイン認証」（DV：Domain Validation）、「組織認証」（OV：Organization Validation）、「拡張認証」（EV：Extended Validation）といった証明書の種別によって異なり、この順に厳密になる。審査が完了すると、認証局は公開鍵や識別情報を含むデジタル証明書を作成し、自らの秘密鍵で電子署名して発行する。

発行された証明書は、Webサーバやメールサーバ、VPN機器などに設定して利用される。証明書署名要求を生成する機能はOpenSSLなどの暗号化ソフトウェアに付属する証明書管理ツールに備えられており、通常はこれを利用する。PEM形式のファイルは先頭と末尾に「-----BEGIN CERTIFICATE REQUEST-----」などの区切り行を持ち、テキストエディタで内容を確認できる。