プロジェクトマネージャ 2022年 午前2 問23
問題文
認証局が発行するCRLに関する記述のうち、適切なものはどれか。
選択肢
ア：CRLには、失効したデジタル証明書に対応する秘密鍵が登録される。
イ：CRLには、有効期限内のデジタル証明書のうち失効したデジタル証明書のシリアル番号と失効した日時の対応が提示される。（正解）
ウ：CRLは、鍵の漏えい、失効申請の状況をリアルタイムに反映するプロトコルである。
エ：有効期限切れで失効したデジタル証明書は、所有者が新たなデジタル証明書を取得するまでの間、CRLに登録される。
🔒 解説は解答すると表示されます
CRLの役割と記載内容【午前2解説】
正解の理由
CRL（Certificate Revocation List：証明書失効リスト）は、認証局が発行する、失効したデジタル証明書の一覧です。一般に、失効した証明書のシリアル番号と失効日時などが記載されます。
したがって、失効した証明書のシリアル番号と失効日時の対応が示されるとするイが適切です。CRLに秘密鍵そのものが登録されるわけではありません。
解法ステップ
- CRLが「失効した証明書を確認するための一覧」であることを押さえます。
- CRLに載る情報は、証明書を識別するシリアル番号や失効日時などだと確認します。
- 秘密鍵が記載される、リアルタイムのプロトコルである、期限切れの証明書を新しい証明書の取得まで登録する、といった記述を除外します。
選択肢別の誤答解説
- ア：CRLに登録されるのは、失効した証明書を識別するための情報です。秘密鍵は機密情報であり、CRLに登録されません。
- イ：失効した証明書のシリアル番号と失効日時が示されるため、適切です。
- ウ：CRLは失効情報を掲載したリストであり、リアルタイムに状況を反映するプロトコルではありません。通常、認証局が作成・公開したCRLを利用者が取得して確認します。
- エ：証明書の有効期限切れは、期限の到来による失効とは区別されます。期限切れの証明書を、所有者が新しい証明書を取得するまでCRLに登録し続けるという説明は誤りです。
よくある誤解
-
「失効情報だから、秘密鍵もCRLに載る」と考える
CRLが示すのは証明書の失効を確認するための情報です。秘密鍵は含まれません。 -
「CRLはリアルタイムに更新される」と考える
CRLは認証局が発行するリストです。最新の失効状況が即時に反映されるとは限りません。 -
「期限切れも失効の一種なのでCRLに載る」と考える
有効期限切れと、期限内に無効化される失効は別の扱いです。
補足コラム
CRLは、認証局が電子署名を付けて公開します。利用者は署名を検証することで、CRLが正しい認証局から発行されたものであることを確認できます。
証明書の状態をオンラインで問い合わせる方式として、OCSP（Online Certificate Status Protocol）もあります。CRLが失効証明書の一覧を取得して確認する方式であるのに対し、OCSPは証明書ごとに状態を問い合わせる方式です。
FAQ
Q. CRLのシリアル番号は何のために記載されますか？
A. 失効した証明書を特定するためです。証明書にはシリアル番号が付与されており、CRLではその番号を使って失効の有無を確認できます。
A. 失効した証明書を特定するためです。証明書にはシリアル番号が付与されており、CRLではその番号を使って失効の有無を確認できます。
Q. 証明書の有効期限が切れた場合も、CRLで確認しますか？
A. 有効期限切れは、期限内に認証局が証明書を失効させることとは異なります。期限切れ後は、その証明書を有効なものとして利用できません。
A. 有効期限切れは、期限内に認証局が証明書を失効させることとは異なります。期限切れ後は、その証明書を有効なものとして利用できません。
関連キーワード: CRL、証明書失効リスト、デジタル証明書、認証局、シリアル番号、OCSP
\ せっかくなら /
プロジェクトマネージャを
クイズ形式で学習しませんか？
クイズ画面へ遷移する→
すぐに利用可能！