サーバ証明書と認証局・失効確認（CRL・OCSP）とは？

サーバ証明書と認証局・失効確認（CRL・OCSP）とは、認証局が公開鍵と所有者情報をひとまとめにして署名した電子文書がサーバ証明書で、検証側はルート証明書を起点に署名の連鎖をたどって信頼する。有効期限内でも失効させる必要があるため、失効リスト（CRL）や問い合わせ方式（OCSP）で状態を確認する。

高度試験・午前I（全区分共通）の過去問では1回出題されています。

さーばしょうめいしょとにんしょうきょくしっこうかくにん

高度試験・午前I（全区分共通）の頻出用語／午前I（全区分共通）／別名：サーバ証明書と認証局・失効確認、CRL・OCSP、サーバ証明書と認証局、失効確認、CRL、OCSP

サーバ証明書と認証局・失効確認（CRL・OCSP）の意味

認証局が公開鍵と所有者情報をひとまとめにして署名した電子文書がサーバ証明書で、検証側はルート証明書を起点に署名の連鎖をたどって信頼する。有効期限内でも失効させる必要があるため、失効リスト（CRL）や問い合わせ方式（OCSP）で状態を確認する。

秘密鍵が漏えいした場合、認証局へ失効を申請し、以後その証明書はCRLに載る。CRLは配布が重く更新遅延が生じるため、実務ではOCSPや、サーバが応答をあらかじめ添付するOCSPステープリングで検証の遅延と可用性の問題を緩和する。

証明書に含まれるのは公開鍵であって秘密鍵ではない。またDV・OV・EVの違いは暗号強度ではなく「実在確認の厳格さ」であり、DV証明書でも通信の暗号強度は変わらない点がよく問われる。

デジタル証明書が失効しているかどうかをオンラインで確認するためのプロトコルはどれか。
正解：OCSP
要点：証明書の失効確認をオンラインで行うのはOCSP
OCSP（Online Certificate Status Protocol）は、デジタル証明書が失効していないかを検証者がレスポンダへ問い合わせ、オンラインでリアルタイムに確認するためのプロトコルである。CRL（証明書失効リスト）を丸ごと取得する方式に比べ、通信量が小さく最新の状態を確認しやすい。
出典：令和4年度秋期高度共通_午前I試験 am1 問12（IPA）

最終更新：2026-08-25／解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。