情報処理安全確保支援士 2014年 春期 午前2 問01

証明書失効リスト(CRL)【午前2解説】

正解の理由

解法ステップ

1. 問題文のキーワードを確認：CRL（Certificate Revocation List）とは何かを把握する。
2. 各選択肢をCRLの定義と照合する：CRLに含まれる情報（証明書シリアル番号、失効日時、失効理由）を基準に評価する。
3. 「有効期限切れ」「秘密鍵」「リアルタイム」などの用語の意味を整理する。
4. 最も整合する記述（イ）を選ぶ。

選択肢別の誤答解説

• ア：CRLには、失効した証明書に対応する秘密鍵が登録される。
  • 誤り。秘密鍵は絶対にCRLに登録されない。CRLは証明書（主にシリアル番号）とその失効情報のみを含む。秘密鍵の管理は別問題で、漏洩時は証明書を失効させることで対応する。
• イ：CRLには、有効期限内のディジタル証明書のうち破棄されているディジタル証明書と破棄された日時の対応が提示される。
  • 正解。失効（取り消し）された証明書はCRLに登録され、失効日時が記載されるのが標準的な仕様である。
• ウ：CRLは、鍵の漏えい・破棄申請の状況をリアルタイムに反映するプロトコルである。
  • 誤り。CRLは定期的に発行される静的リストであり、リアルタイム更新を保証しない。リアルタイム性が必要ならOCSP（Online Certificate Status Protocol）などを利用する。
• エ：有効期限切れで失効した証明書は、所有者が新たな証明書を取得するまでの間、CRLに登録される。
  • 誤り。有効期限切れ（natural expiration）は失効（revocation）とは別で、通常はCRLに載せる対象ではない。CAによっては掲載する場合も稀にあるが、問題の趣旨からは不適切。

よくある誤解

1. CRLは秘密鍵を保存・登録するものではない
   • 誤解：失効証明書の秘密鍵がCRLに登録されると思われがちですが、秘密鍵は絶対に公開・登録されません。CRLは証明書（公開鍵証明書）の識別情報のみを記載します。
2. 失効 = 有効期限切れ と混同する誤り
   • 誤解：有効期限切れは証明書の期間満了であり、CRLで扱う「失効」はCAが期間内に取り消したケースです。期限切れの証明書は通常CRLに載せない場合が多いです。
3. CRLはリアルタイム更新でない
   • 誤解：CRLは発行間隔がある静的リストで、即時反映を期待するならOCSPのような仕組みが必要です。

補足コラム

• CRLとOCSPの違い：CRLは失効証明書の一覧をファイル（またはLDAPで配布）として配布する仕組みで、ファイルサイズや配布遅延が課題です。OCSPは個々の証明書の失効状態を問合せて即時応答するプロトコルで、リアルタイム性に優れますが、サーバ負荷や可用性が問題になります。多くの実装はCRLを定期取得しキャッシュ、OCSPを補助的に利用するハイブリッド運用を行います。
• CRLの構成要素：主に証明書シリアル番号、失効日時、失効理由コード、発行日時（thisUpdate）, 次回更新予定（nextUpdate）などを含みます。

FAQ