情報処理安全確保支援士 2016年 秋期 午前2 問07

証明書失効一覧（CRL）【午前2解説】

正解の理由

解法ステップ

1. CRL の目的を確認する：CRL は「失効（revoked）された証明書」を列挙するための手段であると理解する。
2. 各選択肢を CRL の目的と整合させる：CRL が「信頼された CA の存在を代替するものではない」ことや「全部の証明書情報を含むわけではない」点を使って誤りを排除する。
3. 有効期限と失効の関係を整理する：失効はいつでも発生し得るため、失効済み証明書が有効期限内に CRL に載ることは矛盾しない。また失効済みの証明書が有効期限経過後も CRL に残ることがある点に注意する。
4. 残った選択肢が エ と一致することを確認する。

選択肢別の誤答解説

• ア: 「認証局の公開鍵がブラウザに組み込まれていれば CRL を参照しなくてもよい」
  誤りです。ブラウザに CA 証明書があることはその CA を信頼するための前提ですが、失効チェック（CRL/OCSP）は別の安全性検査です。信頼の前提が満たされても、証明書が失効しているかどうかは確認する必要があります。実際の実装では CRL を参照しないこともありますが、それは安全要件の緩和であって CRL が不要になる意味ではありません。
• イ: 「認証局は発行した全ての証明書の有効期限を CRL に登録する」
  誤りです。CRL は失効した証明書の一覧であり、発行済み全証明書の有効期限情報を登録するためのものではありません。CRL の各エントリには通常シリアル番号と失効日（revocationDate）、場合によって失効理由などが含まれますが、「すべての証明書の有効期限」を一覧化する目的ではありません。
• ウ: 「失効後1年間 CRL に登録することが義務付けられている」
  誤りです。失効エントリの保持期間は X.509 規格や運用ポリシー（CA の Certificate Policy / CPS）に依存しますが、全ての CA に一律で「1年間」の保持義務があるわけではありません。実務では失効後も有効期限を過ぎて CRL に残すことが多いものの、その期間は CA の方針や法的要件によります。
• エ: 「認証局は有効期限内の証明書を CRL に登録することがある」
  正しいです。証明書が有効期間内に失効（たとえば秘密鍵漏洩や属性変更など）した場合は、その時点で CRL に登録されます。したがって「有効期限内の証明書が CRL に載ることがある」という記述は整合しています。

よくある誤解

• 失効と有効期限を混同する：失効（revocation）は運用上の撤回であり、有効期限（expiration）はあらかじめ定められた期間の満了です。失効は有効期限の有無に関係なく発生し得ます。
• 失効後は自動的に CRL から削除されると思い込む：失効した証明書は有効期限を過ぎても CA が CRL から削除するまで残ることが一般的です。削除の有無・時期は CA の運用ポリシー次第です。
• ブラウザにある CA 証明書＝検証不要と誤解する：ブラウザの信頼ストアは「どの CA を信頼するか」を示すだけで、失効チェックの結果に基づく拒否とは別の判断です。

補足コラム

• CRL の構造（概要）
  CRL は X.509 規格に基づき、ヘッダ（issuer、thisUpdate、nextUpdate など）と revokedCertificates の一覧（各エントリは serialNumber、revocationDate、および拡張情報）を含みます。エントリはシリアル番号で識別されます。
• 実運用での課題と代替手段
  CRL は規模が大きくなると配布・照合コストが高くなるため、OCSP（Online Certificate Status Protocol）や OCSP ステイプリング、短寿命証明書の採用などが用いられます。Delta-CRL（差分CRL）で更新量を抑える運用もあります。
• 参照コマンド（OpenSSL での確認例）

  # PEM 形式の CRL を表示
  openssl crl -in crl.pem -text -noout
  
  # リモート CRL (HTTP) を取得して表示
  curl -s http://example.com/crl/crl.pem | openssl crl -text -noout
  

FAQ