OCSP｜科目A-1（応用情報技術者） 令和7年 春期午前試験 問38
出典：令和7年春期 午前 問38
分野：セキュリティ ／ 情報セキュリティ
PKIを構成するOCSPを利用する目的はどれか。
- ア：誤って破棄してしまった秘密鍵の再発行処理の進捗状況を問い合わせる。
- イ：デジタル証明書から生成した鍵情報の交換がOCSPクライアントとOCSPレスポンダの間で失敗した際，認証状態を確認する。
- ウ：デジタル証明書が失効しているかどうかの状態を問い合わせる。
- エ：有効期限が切れたデジタル証明書の更新処理の進捗状況を確認する。
TSUNAGARU-ADVICE
まず押さえたいこと
OCSPは、デジタル証明書の失効状態をオンラインで問い合わせるためのプロトコルです。証明書に記載された有効期限が残っていても、秘密鍵の漏えいなどを理由に失効している場合があるため、現在の状態を確認する必要があります。
迷ったときの判断軸
OCSPは証明書の失効状態を個別に問い合わせる方式で、CRLは失効した証明書の一覧を取得する方式です。どちらも証明書の失効確認に関係しますが、秘密鍵の再発行や証明書の更新手続の進捗を管理する仕組みではありません。
科目Bにつなげるために
情報処理安全確保支援士試験などのセキュリティ分野では、証明書の署名検証・有効期間・失効確認を組み合わせて考えることが重要です。特に、OCSPレスポンダに接続できない場合の扱いや、失効情報を適切に確認できる構成を意識すると、PKIを用いた認証基盤の設計や運用につながります。
OCSP（Online Certificate Status Protocol）は、デジタル証明書が現在も有効であるか、失効しているかをオンラインで問い合わせるためのプロトコルです。
OCSPクライアントは、確認したい証明書の情報をOCSPレスポンダに送信します。OCSPレスポンダは、その証明書の状態を「有効」「失効」「不明」などで返します。
これにより、証明書失効リストであるCRL全体を取得しなくても、特定のデジタル証明書の失効状態を確認できます。
したがって、ウが適切です。
❌他選択肢が誤りの理由ア：誤って破棄してしまった秘密鍵の再発行処理の進捗状況を問い合わせる。
⇒OCSPは秘密鍵の再発行手続や、その進捗状況を確認するための仕組みではありません。秘密鍵を失った場合は、対応する証明書を失効させ、新しい鍵と証明書を発行します。
イ：デジタル証明書から生成した鍵情報の交換がOCSPクライアントとOCSPレスポンダの間で失敗した際，認証状態を確認する。
⇒OCSPは鍵情報を交換するためのプロトコルではありません。OCSPクライアントとOCSPレスポンダの間では、証明書の失効状態を問い合わせて応答を受け取ります。
エ：有効期限が切れたデジタル証明書の更新処理の進捗状況を確認する。
⇒OCSPは証明書の更新処理を管理したり、その進捗を確認したりするものではありません。有効期限と失効は別の概念であり、OCSPは主に証明書が失効しているかどうかを確認します。