情報処理安全確保支援士試験 情報処理安全確保支援士試験 平成29年度秋期 午前Ⅱ 問2: PKI を構成する OCSP を利用する目的はどれか。

問題本文

PKI を構成する OCSP を利用する目的はどれか。

選択肢

• ア.誤って破棄してしまった秘密鍵の再発行処理の進捗状況を問い合わせる。
• イ.ディジタル証明書から生成した鍵情報の交換が OCSP クライアントとレスポンダの間で失敗した際，認証状態を確認する。
• ウ.ディジタル証明書の失効情報を問い合わせる。
• エ.有効期限が切れたディジタル証明書の更新処理の進捗状況を確認する。

正解

ウ. ディジタル証明書の失効情報を問い合わせる。

解説

OCSP(Online Certificate Status Protocol)は、証明書の失効状況をオンラインでリアルタイムに問い合わせるPKIの仕組み。クライアントが証明書のシリアル番号を含む要求をOCSPレスポンダへ送り、有効/失効/不明の応答を得る。大きく重くなりがちなCRLのダウンロードを避け、最新の状態を即座に確認できる。よってウが正しい。実務ではTLS接続時の証明書検証でCRLの代替・補完として広く使われる。

選択肢ごとの解説

• ア.秘密鍵の再発行進捗の問合せはOCSPの機能ではなく、証明書失効の確認とは無関係で誤り。
• イ.OCSPは鍵交換そのものを行わず失効状態を問い合わせるプロトコルであり説明が誤り。
• ウ.証明書の失効情報をオンラインで問い合わせるというOCSPの目的どおりで正解。
• エ.期限切れ証明書の更新進捗確認はOCSPの役割ではなく、失効確認とは別物で誤り。