サーバ証明書と認証局・失効確認（CRL・OCSP）とは？

サーバ証明書と認証局・失効確認（CRL・OCSP）の意味

認証局が公開鍵と所有者情報をひとまとめにして署名した電子文書がサーバ証明書で、検証側はルート証明書を起点に署名の連鎖をたどって信頼する。有効期限内でも失効させる必要があるため、失効リスト（CRL）や問い合わせ方式（OCSP）で状態を確認する。

サーバ証明書と認証局・失効確認（CRL・OCSP）の具体例

秘密鍵が漏えいした場合、認証局へ失効を申請し、以後その証明書はCRLに載る。CRLは配布が重く更新遅延が生じるため、実務ではOCSPや、サーバが応答をあらかじめ添付するOCSPステープリングで検証の遅延と可用性の問題を緩和する。

サーバ証明書と認証局・失効確認（CRL・OCSP）は試験でどう引っ掛けられる？

証明書に含まれるのは公開鍵であって秘密鍵ではない。またDV・OV・EVの違いは暗号強度ではなく「実在確認の厳格さ」であり、DV証明書でも通信の暗号強度は変わらない点がよく問われる。

サーバ証明書と認証局・失効確認（CRL・OCSP）と関連する用語

• TLS（SSL）による通信の暗号化
• ディジタル署名
• 鍵管理とHSM

サーバ証明書と認証局・失効確認（CRL・OCSP）が出た過去問

• 認証局が発行するCRLに関する記述のうち、適切なものはどれか。

  正解：CRLには、有効期限内のディジタル証明書のうち失効したディジタル証明書と失効した日時の対応が提示される。

  要点：CRLは有効期限内に失効した証明書の一覧である

  CRLは認証局が発行する証明書失効リストで、有効期限内であるにもかかわらず、秘密鍵の漏えいや所属変更などの理由で失効させたディジタル証明書のシリアル番号と、失効した日時が登録される。検証側はCRLを取得して、対象の証明書が失効していないかを確認する。

  出典：平成29年度 秋期 応用情報技術者試験 午前 問36（IPA）

• 認証局が発行するCRLに関する記述のうち、適切なものはどれか。

  正解：CRLには、有効期限内のディジタル証明書のうち失効したディジタル証明書のシリアル番号と失効した日時の対応が提示される。

  要点：CRLは有効期限内に失効した証明書の番号と日時の一覧

  CRL（証明書失効リスト）は認証局が定期的に発行するリストで、有効期限内でありながら失効させられた証明書のシリアル番号と失効日時が載る。秘密鍵そのものは載らず、有効期限切れの証明書は自然に無効になるため登録の対象外である。

  出典：令和2年度 10月 応用情報技術者試験 午前 問36（IPA）

• OCSPクライアントとOCSPレスポンダとの通信に関する記述のうち、適切なものはどれか。

  正解：ディジタル証明書のシリアル番号、証明書発行者の識別名（DN）のハッシュ値などをOCSPレスポンダに送信し、その応答でディジタル証明書の有効性を確認する。

  要点：OCSPは証明書の識別情報を送り有効性を即時に確認する

  OCSPは、証明書の有効性を認証局側のレスポンダにその都度問い合わせるプロトコルである。クライアントは証明書全体ではなく、シリアル番号や発行者名・発行者公開鍵のハッシュ値といった識別情報を送り、有効・失効・不明のいずれかの応答を受け取る。

  出典：令和2年度 10月 応用情報技術者試験 午前 問38（IPA）

• デジタル証明書が失効しているかどうかをオンラインで確認するためのプロトコルはどれか。

  正解：OCSP

  要点：OCSPは証明書の失効状態をオンラインで問い合わせる

  OCSP（Online Certificate Status Protocol）は、デジタル証明書の失効状態をレスポンダに問い合わせてリアルタイムに確認するプロトコルです。CRL（証明書失効リスト）を丸ごと取得する方式に比べ、確認が即時で通信量も小さく済みます。

  出典：令和4年度 秋期 応用情報技術者試験 午前 問38（IPA）

• CRLに関する記述のうち、適切なものはどれか。

  正解：認証局は、有効期限内のデジタル証明書が失効されたとき、そのシリアル番号をCRLに記載する。

  要点：CRLは有効期限内に失効した証明書のシリアル番号の一覧

  CRL（証明書失効リスト）は、有効期限内であるにもかかわらず鍵の危殆化などの理由で失効させられた証明書のシリアル番号と失効日時を、認証局が署名して公開する一覧である。有効期限が切れた証明書はそもそも無効なのでCRLに載せ続ける必要はない。

  出典：令和7年度 秋期 応用情報技術者試験 午前 問39（IPA）