情報処理安全確保支援士試験 情報セキュリティスペシャリスト試験 平成26年度春期 午前Ⅱ 問1: 特定の認証局が発行したCRL（Certificate Revocation List）に関する記述のうち，適切なものはどれか。

問題本文

特定の認証局が発行したCRL（Certificate Revocation List）に関する記述のうち，適切なものはどれか。

選択肢

• ア.CRLには，失効したディジタル証明書に対応する秘密鍵が登録される。
• イ.CRLには，有効期限内のディジタル証明書のうち破棄されているディジタル証明書と破棄された日時の対応が提示される。
• ウ.CRLは，鍵の漏えい，破棄申請の状況をリアルタイムに反映するプロトコルである。
• エ.有効期限切れで失効したディジタル証明書は，所有者が新たなディジタル証明書を取得するまでの間，CRLに登録される。

正解

イ. CRLには，有効期限内のディジタル証明書のうち破棄されているディジタル証明書と破棄された日時の対応が提示される。

解説

CRLは認証局が発行する失効証明書のリストで、有効期限内にもかかわらず秘密鍵漏えいなどで無効化された証明書のシリアル番号と失効日時を列挙する。検証者はこれを取得して証明書が失効済みでないか確認する。イはこの内容を正しく述べている。実務では更新間隔による遅延が課題で、即時性を求める場合はOCSPを併用する。

選択肢ごとの解説

• ア.CRLに載るのは失効した証明書（シリアル番号）であり、秘密鍵そのものは登録されないため誤り。
• イ.有効期限内で破棄された証明書と失効日時の対応を提示するというCRLの本質を正しく述べており正しい。
• ウ.リアルタイム反映はCRLでなくOCSPの特徴で、CRLはプロトコルでなく定期発行のリストなので誤り。
• エ.有効期限切れの証明書は自然に無効でCRLに載せる必要がなく、説明が逆で誤り。