応用情報技術者 2020年秋期午前2 問38

問題文

OCSP クライアントと OCSP レスポンダとの通信に関する記述のうち、適切なものはどれか。

選択肢

ア：ディジタル証明書全体をOCSP レスポンダに送信し、その応答でディジタル証明書の有効性を確認する。

イ：ディジタル証明書全体を OCSP レスポンダに送信し、その応答としてタイムスタンプトークンの発行を受ける。

ウ：ディジタル証明書のシリアル番号、証明書発行者の識別名 (DN)のハッシュ値などを OCSP レスポンダに送信し、その応答でディジタル証明書の有効性を確認する。（正解）

エ：ディジタル証明書のシリアル番号、証明書発行者の識別名 (DN)のハッシュ値などを OCSP レスポンダに送信し、その応答としてタイムスタンプトークンの発行を受ける。

OCSP クライアントと OCSP レスポンダとの通信に関する問題【午前2 解説】

要点まとめ

結論：OCSP クライアントは証明書のシリアル番号や発行者情報のハッシュ値を送信し、有効性を確認する応答を受け取る。
根拠：OCSP（Online Certificate Status Protocol）は証明書の有効性確認に特化し、証明書全体ではなく必要最小限の情報を送信する仕様であるため。
差がつくポイント：証明書全体を送るのではなく、シリアル番号などの識別情報を送る点と、応答が有効性の確認結果である点を正確に理解すること。

正解の理由

ウはOCSPの仕様に沿っています。OCSPクライアントは証明書のシリアル番号や発行者の識別名のハッシュ値などの必要な情報をOCSPレスポンダに送信し、そのレスポンスで証明書の有効性（有効、失効、未知）を確認します。証明書全体を送ることはなく、また応答はタイムスタンプトークンではありません。

よくある誤解

OCSPで証明書全体を送信すると誤解されがちですが、通信量削減とプライバシー保護のために必要最小限の情報のみを送ります。応答は有効性のステータスであり、タイムスタンプトークンではありません。

解法ステップ

OCSPの目的が証明書の有効性確認であることを理解する。
OCSPクライアントが送信する情報は証明書全体ではなく、識別に必要な情報（シリアル番号や発行者DNのハッシュ値）であることを確認。
OCSPレスポンダの応答は証明書の状態（有効、失効、未知）を返すことを知る。
タイムスタンプトークンはOCSPの応答ではないことを区別する。
選択肢を比較し、これらの条件に合致するものを選ぶ。

選択肢別の誤答解説

ア: 証明書全体を送信するのは誤り。通信効率とプライバシーの観点から不適切。
イ: 証明書全体を送信し、タイムスタンプトークンを受け取るのはOCSPの仕様に反する。
ウ: 正解。必要な識別情報を送信し、有効性を確認する応答を受け取る。
エ: 識別情報を送信する点は正しいが、応答がタイムスタンプトークンであるのは誤り。

補足コラム

OCSPは証明書失効情報をリアルタイムで確認できるプロトコルで、CRL（証明書失効リスト）に比べて効率的です。OCSPレスポンダは証明書の状態を「good（有効）」「revoked（失効）」「unknown（不明）」のいずれかで返します。TLS通信などで証明書の信頼性を即座に確認するために利用されます。