PKIとは何で、デジタル署名にとってなぜ重要ですか？

デジタル証明書を発行する信頼できるエンティティ。CAは証明書申請者の身元を確認し、証明書を発行し、有効な証明書のディレクトリを維持し、証明書が侵害されたり期限が切れた場合に証明書を取り消します。

CAの代理で身元確認を処理するオプションのコンポーネント。RAは身元証明書を収集および確認しますが、直接証明書を発行しません。一部のシステムでは、CAが両方の機能を果たします。

証明書が侵害されたり無効になった場合、取り消し可能でなければなりません。証明書取り消しリスト（CRL）は取り消された証明書の定期的なリストです。OCSP（オンライン証明書ステータスプロトコル）はリアルタイムの取り消しステータスを提供します。両方とも署名検証の際に確認されます。

証明書は信頼されるのはCAが発行しているからであり、CAはルートCAや国の信頼フレームワークによって認定されているから信頼されます。この信頼の連鎖（ルートCA → 中間CA → エンドユーザー証明書）がPKIに基づく署名を誰でも検証できることを可能にします。

FIPS 140-2レベル3 HSM（QESに必要）：1ユニットあたり8,000-25,000ドル。クラウドHSM（AWS KMS、Azure Key Vault）：1キーあたり/月1-3ドル + 10K操作あたり0.03ドル。eSign.AIはHSMインフラを内部で管理し、顧客のコストを削減します。典型的な企業のPKIデプロイメントには、プロダクション+DR+ステージング用に2-4 HSMが必要です。

HSM内でのRSA 2048署名：1操作あたり50-200 ms。HSM内でのECC P-256署名：5-30 ms。RSA 2048検証：1-3 ms。証明書チェーン検証（3レベル）：CRLチェックを含めて10-50 ms。1秒間あたり100署名の継続的な署名では、RSA 2048には3-5 HSMインスタンスが必要で、ECC P-256には1インスタンスが必要です。

PKIの最も脆弱な部分は暗号学ではなく鍵管理です。一般的な失敗例：プライベートキーがソフトウェア（HSMではありません）に保存されている、署名キーを持つ共有サービスアカウント、鍵のローテーションが不十分、および鍵操作に対する二重管理の欠如。eSign.AIはHSMのみでのキーストレージと、100Kドル以上の価値のあるすべての署名操作に対する複数のパーティーの承認を強制します。

内部のPKIを構築するには、HSMハードウェア（1ユニットあたり8K-25Kドル、プロダクション+DR用に2-4ユニット）、CAソフトウェア（OpenSSLは無料、企業向けCAの例えばMicrosoft ADCSはライセンス料3K-15Kドル）、PKI専門知識（2-3 FTEセキュリティエンジニア）、継続的な監査と適合性オーバーヘッドが必要です。年間100K署名以上でデータ主権要件が厳しい大企業に適しています。SMEには不適切で、所有コストは50K署名/year以下のマネージドサービスの価格を超えます。

eSign.AIのようなマネージドサービスは、HSM、CA、証明書の発行、取り消し、タイムスタンプ、監査トレイルをパッケージとして提供します。利点：資本支出不要、PKI専門知識が必要ない、迅速なデプロイメント、eIDAS/ETO/ETAに組み込まれた適合性。欠点：鍵管理ポリシーに対する制御が少ない、供給者ロックインの可能性、高量取引での取引ごとのコスト。APACの多くのビジネスは、国内CAパートナーシップ（Singpass、iAM Smart、PSrE）が内部で再現が難しいため、マネージドサービスを選択します。

某些企業はハイブリッドモデルを運用しています：多くの署名には管理サービスを使用するが、特定の用途（内部の機密文書、国内CAが必要な政府の提出物）にはローカルCAを維持します。eSign.AIはこのモデルをAPIを通じてサポートしており、組織は特定の文書タイプには自分自身のCAを使用し、他の文書にはeSign.AIの管理されたQTSPパートナーシップを使用できます。