情報セキュリティマネジメント 2017年 春期 午前（科目A） 問25

証明書失効リスト【情報セキュリティマネジメント解説】

正解の理由

解法ステップ

1. 問題文のキーワードを拾う：「有効期間中に失効」「一覧」→「失効した証明書を一覧にするもの」。
2. 各選択肢の役割を思い出す（暗記でなく役割で整理する）。
   • CA：発行主体
   • CP：方針（どんな基準で発行するか）
   • CPS：運用手順（認証局が実際にどう運用するか）
   • CRL：失効した証明書の一覧
3. 「一覧」を直接表す用語と一致する エ を選ぶ。

選択肢別の誤答解説

• ア: CA（Certification Authority：認証局）
  • 証明書を発行・管理する組織のこと。発行主体であり、失効リストそのものではない。CAはCRLを作成・公開する側ではあるが、問いは「一覧を示すデータ」を問うている。
• イ: CP（Certificate Policy：証明書ポリシー）
  • 証明書をどう使うか、どのような保証を与えるかなどの高レベル方針を定めた文書。データ一覧ではない。
• ウ: CPS（Certification Practice Statement：認証局運用方針）
  • CAがどのように運用しているかを書いた実務文書。運用説明であり、失効一覧データではない。
• エ: CRL（Certificate Revocation List：証明書失効リスト）
  • 正解。失効した証明書のシリアル番号などを列挙したデータで、証明書の使用可否を確認する際に参照される。

よくある誤解

• 失効と期限切れを混同する：期限切れは有効期間が経過した状態。失効（revoke）は有効期間内でも取り消された状態で、CRLは「取り消し」を扱う。
• CRLは即時反映されると思い込む：CRLは定期的に発行されるため、公開まで時間差がある。リアルタイム確認が必要ならOCSP（Online Certificate Status Protocol）を使う。
• CPやCPSがデータファイルだと思う：どちらも文書（ポリシー・運用記述）で、失効一覧ではない。

補足コラム

• CRLの中身は主に「発行者（どのCAが出したか）」「thisUpdate（このCRLの発行日）」「nextUpdate（次回更新予定日）」「失効した証明書のシリアル番号と失効日・理由コード」です。標準はX.509証明書の仕組みに基づきます。
• 実務ではCRLが大きくなると配布や参照負荷が問題になります。そこでOCSPというオンライン照会で個々の証明書の有効性を確認する方式が使われます。WebサイトではOCSPステープリング（サーバが応答を添付する）で性能とプライバシーを改善する運用が一般的です。
• 職場での運用イメージ：認証局が定期的にCRLを作成して社内サーバや公開ディレクトリに置く。利用者の端末やアプリが証明書検証時にそのCRLを参照して、失効していれば接続を拒否する、という流れです。

FAQ