証明書の失効確認（CRL・OCSP）とは？

証明書の失効確認（CRL・OCSP）の意味

秘密鍵の漏えいや所属の変更で、有効期限内でも証明書を無効にする必要が生じる。CRLは認証局が発行する失効済み証明書のシリアル番号一覧で、定期的に配布される。OCSPは1枚ずつ認証局へ問い合わせて即時に状態を得る方式で、鮮度は高いが問い合わせ先の可用性に依存する。

証明書の失効確認（CRL・OCSP）の具体例

退職者に配ったクライアント証明書を失効させたい場合、CRLの次回発行までは古い一覧を持つ検証側が通してしまう。OCSPステープリングを使えばサーバが取得済みの失効情報を添えて返すので、クライアントごとの問い合わせを省け、プライバシー面でも有利になる。

証明書の失効確認（CRL・OCSP）は試験でどう引っ掛けられる？

有効期限切れと失効は別概念で、失効は「期限内なのに無効にする」操作である。またCRLはリストが肥大化し配布遅延で鮮度が落ちる一方、OCSPは応答が得られないときに通してしまう実装（ソフトフェイル）が多く、どちらも万能ではない。

証明書の失効確認（CRL・OCSP）と関連する用語

• PKI（公開鍵基盤）
• TLSハンドシェイクとサーバ証明書
• 公開鍵暗号方式（RSA）

証明書の失効確認（CRL・OCSP）が出た過去問

• 認証局が発行するCRLに関する記述のうち、適切なものはどれか。

  正解：CRLには、有効期限内のディジタル証明書のうち失効したディジタル証明書と失効した日時の対応が提示される。

  要点：CRLは有効期限内に失効した証明書の一覧である

  CRLは認証局が発行する証明書失効リストで、有効期限内であるにもかかわらず、秘密鍵の漏えいや所属変更などの理由で失効させたディジタル証明書のシリアル番号と、失効した日時が登録される。検証側はCRLを取得して、対象の証明書が失効していないかを確認する。

  出典：平成29年度 秋期 応用情報技術者試験 午前 問36（IPA）

• 認証局が発行するCRLに関する記述のうち、適切なものはどれか。

  正解：CRLには、有効期限内のディジタル証明書のうち失効したディジタル証明書のシリアル番号と失効した日時の対応が提示される。

  要点：CRLは有効期限内に失効した証明書の番号と日時の一覧

  CRL（証明書失効リスト）は認証局が定期的に発行するリストで、有効期限内でありながら失効させられた証明書のシリアル番号と失効日時が載る。秘密鍵そのものは載らず、有効期限切れの証明書は自然に無効になるため登録の対象外である。

  出典：令和2年度 10月 応用情報技術者試験 午前 問36（IPA）

• OCSPクライアントとOCSPレスポンダとの通信に関する記述のうち、適切なものはどれか。

  正解：ディジタル証明書のシリアル番号、証明書発行者の識別名（DN）のハッシュ値などをOCSPレスポンダに送信し、その応答でディジタル証明書の有効性を確認する。

  要点：OCSPは証明書の識別情報を送り有効性を即時に確認する

  OCSPは、証明書の有効性を認証局側のレスポンダにその都度問い合わせるプロトコルである。クライアントは証明書全体ではなく、シリアル番号や発行者名・発行者公開鍵のハッシュ値といった識別情報を送り、有効・失効・不明のいずれかの応答を受け取る。

  出典：令和2年度 10月 応用情報技術者試験 午前 問38（IPA）

• デジタル証明書が失効しているかどうかをオンラインで確認するためのプロトコルはどれか。

  正解：OCSP

  要点：OCSPは証明書の失効状態をオンラインで問い合わせる

  OCSP（Online Certificate Status Protocol）は、デジタル証明書の失効状態をレスポンダに問い合わせてリアルタイムに確認するプロトコルです。CRL（証明書失効リスト）を丸ごと取得する方式に比べ、確認が即時で通信量も小さく済みます。

  出典：令和4年度 秋期 応用情報技術者試験 午前 問38（IPA）

• CRLに関する記述のうち、適切なものはどれか。

  正解：認証局は、有効期限内のデジタル証明書が失効されたとき、そのシリアル番号をCRLに記載する。

  要点：CRLは有効期限内に失効した証明書のシリアル番号の一覧

  CRL（証明書失効リスト）は、有効期限内であるにもかかわらず鍵の危殆化などの理由で失効させられた証明書のシリアル番号と失効日時を、認証局が署名して公開する一覧である。有効期限が切れた証明書はそもそも無効なのでCRLに載せ続ける必要はない。

  出典：令和7年度 秋期 応用情報技術者試験 午前 問39（IPA）