応用情報技術者 2010年 秋期 午前2 問38

証明書失効リスト【午前2解説】

正解の理由

解法ステップ

1. CRL の目的を確認する：失効した証明書を通知すること。
2. CRL に含まれる具体的なデータ項目を思い出す：シリアル番号、失効日時、失効理由、CRL の発行日（ThisUpdate/NextUpdate）など。
3. 選択肢と照らし合わせる：シリアル番号を示す選択肢が CRL の内容と一致するかを判断する。
4. 関連情報（例えばスパム送信元やアクセス権限リストは別領域のデータ）を除外する。

選択肢別の誤答解説

• ア: スパム送信元や不正中継ドメインの名前
  誤り。スパムやメール中継の情報はスパム対策（ブラックリスト、DNSBL など）の領域であり、PKI の CRL とは無関係です。
• イ: ディジタル証明書の有効期間内に認証局の廃止などによって失効した自己署名証明書及び相互認証証明書
  誤り。CRL は「その CRL を発行した CA が発行した」証明書の失効情報を列挙します。相互認証に使うクライアント証明書（相互認証証明書）が当該 CA によって発行されていれば CRL の対象になりますが、選択肢のように「自己署名証明書（別の CA が発行したもの）」を一律に CRL の対象とする表現は誤解を招きます。自己署名証明書は通常その発行主体（自己署名であれば自身）が管理するか、信頼アンカーの置き方で扱われ、他 CA の CRL に載るものではありません。
• ウ: 有効期間内に失効したディジタル証明書のシリアル番号
  正答。CRL は失効した証明書をシリアル番号で特定して列挙します。
• エ: 利用者に対して与えられた情報資源へのアクセス権限リスト
  誤り。アクセス権限（ACL、RBAC の権限一覧など）は認可の領域であり、CRL の役割ではありません。

よくある誤解

• CRL は「すべての失効証明書の詳細情報」を載せると思いがち：実際は証明書の「シリアル番号」と失効日時・理由などの要点が列挙され、証明書そのものの全フィールドは通常含みません（証明書本体は別途参照）。
• 相互認証に使うクライアント証明書は CRL の対象外と誤解する：クライアント証明書も CA が発行していれば CRL に載ります。重要なのは「誰が発行したか」です。
• CRL と OCSP を混同する：どちらも失効情報提供の仕組みですが、CRL はリスト配布、OCSP は問い合わせ型で応答を返す方式です。用途やスケーラビリティが異なります。

補足コラム

• サイズ問題：CRL が大きくなると配布・検証コストが増すため、Delta-CRL（差分 CRL）や OCSP を併用する運用が一般的です。
• 配布方法：証明書には CRL 配布ポイント（CRL Distribution Point）が含まれ、クライアントはその URL から CRL を取得します。
• 有効期限：CRL には ThisUpdate と NextUpdate があり、次に更新される時刻が示されます。クライアントは NextUpdate を見て CRL の新鮮さを判定します。
• 署名：CRL 自体も CA によって署名されるため、その CRL の正当性は署名で検証します。
• 実務的な失効管理：ルート CA の自己署名証明書を "CRL で取り消す" ことは一般的ではなく、信頼アンカーの再配布や別の運用手段が用いられます。

# PEM 形式の CRL を表示
openssl crl -in crl.pem -text -noout

# 出力に revokedCertificates の中で serial: が並ぶ

FAQ