情報処理安全確保支援士 2016年 秋期 午前2 問07

証明書失効一覧（CRL）【午前2解説】

正解の理由

解法ステップ

1. CRLの目的を確認する：CRLは「失効（revoked）された証明書」を列挙するための手段であると理解する。
2. 各選択肢をCRLの目的と整合させる：CRLが「信頼されたCAの存在を代替するものではない」ことや「全部の証明書情報を含むわけではない」点を使って誤りを排除する。
3. 有効期限と失効の関係を整理する：失効はいつでも発生し得るため、失効済み証明書が有効期限内にCRLに載ることは矛盾しない。また失効済みの証明書が有効期限経過後もCRLに残ることがある点に注意する。
4. 残った選択肢が エ と一致することを確認する。

選択肢別の誤答解説

• ア: 「認証局の公開鍵がブラウザに組み込まれていればCRLを参照しなくてもよい」
  誤りです。ブラウザにCA証明書があることはそのCAを信頼するための前提ですが、失効チェック（CRL/OCSP）は別の安全性検査です。信頼の前提が満たされても、証明書が失効しているかどうかは確認する必要があります。実際の実装ではCRLを参照しないこともありますが、それは安全要件の緩和であってCRLが不要になる意味ではありません。
• イ: 「認証局は発行した全ての証明書の有効期限をCRLに登録する」
  誤りです。CRLは失効した証明書の一覧であり、発行済み全証明書の有効期限情報を登録するためのものではありません。CRLの各エントリには通常シリアル番号と失効日（revocationDate）、場合によって失効理由などが含まれますが、「すべての証明書の有効期限」を一覧化する目的ではありません。
• ウ: 「失効後1年間CRLに登録することが義務付けられている」
  誤りです。失効エントリの保持期間はX.509規格や運用ポリシー（CAのCertificate Policy / CPS）に依存しますが、全てのCAに一律で「1年間」の保持義務があるわけではありません。実務では失効後も有効期限を過ぎてCRLに残すことが多いものの、その期間はCAの方針や法的要件によります。
• エ: 「認証局は有効期限内の証明書をCRLに登録することがある」
  正しいです。証明書が有効期間内に失効（たとえば秘密鍵漏洩や属性変更など）した場合は、その時点でCRLに登録されます。したがって「有効期限内の証明書がCRLに載ることがある」という記述は整合しています。

よくある誤解

• 失効と有効期限を混同する：失効（revocation）は運用上の撤回であり、有効期限（expiration）はあらかじめ定められた期間の満了です。失効は有効期限の有無に関係なく発生し得ます。
• 失効後は自動的にCRLから削除されると思い込む：失効した証明書は有効期限を過ぎてもCAがCRLから削除するまで残ることが一般的です。削除の有無・時期はCAの運用ポリシー次第です。
• ブラウザにあるCA証明書＝検証不要と誤解する：ブラウザの信頼ストアは「どのCAを信頼するか」を示すだけで、失効チェックの結果に基づく拒否とは別の判断です。

補足コラム

• CRLの構造（概要）
  CRLはX.509規格に基づき、ヘッダ（issuer、thisUpdate、nextUpdateなど）とrevokedCertificatesの一覧（各エントリはserialNumber、revocationDate、および拡張情報）を含みます。エントリはシリアル番号で識別されます。
• 実運用での課題と代替手段
  CRLは規模が大きくなると配布・照合コストが高くなるため、OCSP（Online Certificate Status Protocol）やOCSPステイプリング、短寿命証明書の採用などが用いられます。Delta-CRL（差分CRL）で更新量を抑える運用もあります。
• 参照コマンド（OpenSSLでの確認例）

  # PEM形式のCRLを表示
  openssl crl -in crl.pem -text -noout
  
  # リモートCRL (HTTP) を取得して表示
  curl -s http://example.com/crl/crl.pem | openssl crl -text -noout
  

FAQ