CRLとは？

CRLの意味

CAが発行した証明書のうち、有効期限が到来する前に失効させたもののシリアル番号と失効日時を列挙し、CAが署名した一覧。定期的に更新・公開される。

CRLの具体例

秘密鍵を格納したノートPCを紛失した場合、該当証明書をCRLに載せて以後の利用を無効にする。

CRLは試験でどう引っ掛けられる？

「有効期限切れの証明書」はCRLに載らない（期限切れは証明書自体から分かるため）。また配布間隔があるため、失効から反映まで時間差が生じる。

CRLと関連する用語

• OCSP
• デジタル証明書
• VA

CRLが出た過去問

• X.509におけるCRL（Certificate Revocation List）についての説明のうち，適切なものはどれか。

  正解：認証局は，有効期限内のディジタル証明書をCRLに登録することがある。

  要点：CRLは有効期限内に失効させた証明書の一覧

  CRLは、有効期限が切れる前に何らかの理由で失効させた証明書の一覧です。鍵の危殆化や所属変更などで有効期限内の証明書を無効にする必要があるため、認証局は有効期限内の証明書をCRLに登録することがあります。有効期限切れの証明書はそもそも無効なので、登録の対象ではありません。

  出典：平成28年度 秋期 情報処理安全確保支援士試験 am2 問7（IPA）

• CRL（Certificate Revocation List）に掲載されるものはどれか。

  正解：有効期限内に失効したディジタル証明書のシリアル番号

  要点：CRLには期限内に失効した証明書の番号が載る

  CRLは、有効期限を迎える前に失効させた証明書を識別するための一覧で、失効した証明書のシリアル番号と失効日時が掲載されます。公開鍵そのものは載せません。有効期限が切れた証明書は期限判定だけで無効と分かるため、CRLに載せる必要がありません。

  出典：平成28年度 春期 情報処理安全確保支援士試験 am2 問1（IPA）

• PKIを構成するOCSPを利用する目的はどれか。

  正解：ディジタル証明書の失効情報を問い合わせる。

  要点：OCSPは証明書の失効状態をオンラインで確認する

  OCSPは、証明書が失効していないかをレスポンダにオンラインで問い合わせるプロトコルです。CRL全体を取得して調べる方式に比べ、必要な証明書の状態だけを即時に確認でき、失効情報の鮮度も高くなります。

  出典：平成28年度 春期 情報処理安全確保支援士試験 am2 問3（IPA）

• CRL（Certificate Revocation List）に掲載されるものはどれか。

  正解：有効期限内に失効したディジタル証明書のシリアル番号

  要点：CRLは期限内に失効した証明書のシリアル番号の一覧

  CRLは、有効期限が到来する前に認証局が失効させた証明書を一覧にしたもので、識別のために証明書のシリアル番号と失効日時を掲載する。公開鍵そのものは載せず、有効期限切れの証明書も期限到来で自動的に無効になるため掲載対象外である。検証者はCRLを取得し、対象証明書のシリアル番号が含まれていないかを確認する。

  出典：平成29年度 秋期 情報処理安全確保支援士試験 am2 問1（IPA）

• PKIを構成するOCSPを利用する目的はどれか。

  正解：ディジタル証明書の失効情報を問い合わせる。

  要点：OCSPは証明書の失効状態をオンラインで即時照会する

  OCSPは、証明書の失効状態をオンラインでリアルタイムに問い合わせるためのプロトコルである。クライアントが対象証明書の識別情報をOCSPレスポンダに送ると、レスポンダはgood／revoked／unknownの状態を署名付きで返す。CRLを丸ごとダウンロードする方式に比べ、通信量が小さく最新性が高いという利点がある。

  出典：平成29年度 秋期 情報処理安全確保支援士試験 am2 問2（IPA）