ITパスポート 2025年 問87

PKI における CRL に掲載される条件はどれか【ITパスポート 解説】

正解の理由

解法ステップ

1. 問題文のキーワード「CRL（証明書失効リスト）」の意味を確認する。
   • CRL = 失効した証明書を一覧にしたもの。
2. 各選択肢が CRL の定義に合うか照らし合わせる。
   • 「有効期間が満了」や「無期限」「延長」は失効（revocation）とは別の概念。
3. 「失効（revocation）」とは、有効期間中であっても管理者や発行者が利用停止にした状態であることを理解する。
4. 以上から、CRL に掲載される条件は「有効期間内に失効している」であると判断する。

選択肢別の誤答解説

• ア: 有効期間が満了している。
  • 無効（間違い）。有効期間が満了（＝有効期限切れ）は証明書自体の期限が切れた状態です。これは証明書の「属性」で確認でき、CRL に載せる必要がありません。期限切れは CRL で管理するものではありません。
• イ: 有効期間が無期限である。
  • 無効（間違い）。無期限の証明書はそもそも通常発行されませんし、CRL は「失効した」証明書を列挙するためのものなので、無期限であること自体は掲載条件ではありません。
• ウ: 有効期間内に失効している。
  • 正答。失効（revocation）は、鍵の漏洩や社員の退職などで「まだ有効期間が残っているが使えなくする」必要が生じたときに発生します。こうした証明書を CRL に掲載して公開します。
• エ: 有効期間を延長している。
  • 無効（間違い）。有効期間を延長する操作（再発行や更新）は別の手続きであり、CRL は延長情報を載せるものではありません。

よくある誤解

1. 失効と期限切れを混同する
   • 「期限切れ＝失効」と誤解しがちですが、期限切れは証明書が自然に使えなくなること、失効は管理者が途中で使えなくすることです。CRL は後者を扱います。
2. CRL がすべての「無効」情報をリアルタイムで示すと思う
   • CRL は定期的に更新されるリストで、即時性に限界があります。リアルタイム確認には OCSP（Online Certificate Status Protocol：オンライン証明書状態確認プロトコル）という別の仕組みが使われます。

補足コラム

• 失効理由の例：秘密鍵の漏えい（鍵が盗まれた）、所有者情報の変更、発行ミス、所有者の退職などです。
• CRL は認証局（CA）が公開します。クライアント（ブラウザやアプリ）は CRL を参照して、接続先の証明書が失効していないか確認します。
• 近年は CRL よりも OCSP が使われることが増えています。OCSP はサーバに問い合わせて即時に証明書の状態（有効／失効）を確認する方式です。ただし、運用上のトレードオフ（可用性・プライバシーなど）があります。

FAQ