CRL（証明書失効リスト）とは？

CRL（証明書失効リスト）の意味

有効期限内であっても、秘密鍵の漏えいなどの理由で失効させた証明書の一覧を認証局が公開したもの。証明書を検証する側は、有効期限だけでなくCRLも確認して失効していないかをチェックする必要がある。

CRL（証明書失効リスト）の具体例

従業員が退職して社用のクライアント証明書を無効化したい場合、有効期限が残っていても認証局にCRLへの登録を依頼し、その証明書を使えなくする。

CRL（証明書失効リスト）は試験でどう引っ掛けられる？

有効期限内の証明書がすべて有効とは限らない。CRLに載っていれば失効済みとして扱う必要がある。

CRL（証明書失効リスト）と関連する用語

• 認証局（CA）
• PKI

CRL（証明書失効リスト）が出た過去問

• PKI（公開鍵基盤）における認証局が果たす役割はどれか。

  正解：失効したディジタル証明書の一覧を発行する。

  要点：認証局は証明書の発行と失効リストの公開を担う

  認証局（CA）は、公開鍵が確かに本人のものであることを保証するディジタル証明書を発行し、また鍵の危殆化や失効事由が生じた証明書を失効リスト（CRL）として公開する役割を担う。利用者は証明書を検証する際にCRLやOCSPで失効状況を確認する必要があり、この失効管理までを含めてPKIの信頼が成り立っている。暗号化や署名検証そのものを行うのは利用者側である。

  出典：平成28年度 秋期 情報セキュリティマネジメント試験 午前 問29（IPA）

• 何らかの理由で有効期間中に失効したディジタル証明書の一覧を示すデータはどれか。

  正解：CRL

  要点：CRLは有効期間中に失効した証明書の一覧

  CRL（証明書失効リスト）は、秘密鍵の危殆化や記載事項の変更などにより有効期間の途中で失効させた証明書のシリアル番号一覧で、認証局が発行し定期的に更新する。証明書を検証する側は、有効期間の確認に加えてCRLやOCSPで失効の有無を確かめる必要がある。

  出典：平成29年度 春期 情報セキュリティマネジメント試験 午前 問25（IPA）

• PKI（公開鍵基盤）において，認証局が果たす役割の一つはどれか。

  正解：失効したディジタル証明書の一覧を発行する。

  要点：認証局は証明書の発行と失効情報の公開を担う

  認証局（CA）は、公開鍵とその所有者の対応を保証するディジタル証明書を発行し、有効期間中に無効となった証明書についてはCRL（証明書失効リスト）を発行して失効情報を公開する。鍵での暗号化や検証といった処理そのものは、証明書を使う利用者側が行うものである。

  出典：平成30年度 春期 情報セキュリティマネジメント試験 午前 問30（IPA）