情報処理安全確保支援士試験 情報セキュリティスペシャリスト試験 平成28年度秋期 午前Ⅱ 問7: X.509 における CRL（Certificate Revocation List）についての説明のうち，適切なものはどれか。

正解

エ. 認証局は，有効期限内のディジタル証明書を CRL に登録することがある。

問題の解説

CRLは認証局が、有効期限内であるにもかかわらず鍵漏えいなどで失効させた証明書のシリアル番号を列挙したリスト。検証者は証明書が失効していないかをCRLで確認する。有効期限切れの証明書は載せないが、期限内でも失効すれば登録されるためエが正解。実務ではOCSPと併用しリアルタイムに失効を確認する。

選択肢ごとの解説

• ア認証局公開鍵があってもCRL確認は必要で、参照不要とする記述は誤り。
• イCRLは失効した証明書のみを載せ、全証明書の有効期限は登録せず誤り。
• ウ失効後1年間の登録義務といった一律規定は存在せず誤り。
• エ有効期限内でも失効した証明書をCRLに登録することがある点が正解。