CRLに関する記述｜情報処理安全確保支援士 平成27年 秋期午前Ⅱ試験 問2
出典：平成27年秋期 午前Ⅱ 問2
分野：セキュリティ ／ 情報セキュリティ
特定の認証局が発行したCRLに関する記述のうち，適切なものはどれか。
- ア：CRLには，失効したディジタル証明書に対応する秘密鍵が登録される。
- イ：CRLには，有効期限内のディジタル証明書のうち失効したディジタル証明書と失効した日時の対応が提示される。
- ウ：CRLは，鍵の漏えい，破棄申請の状況をリアルタイムに反映するプロトコルである。
- エ：有効期限切れで失効したディジタル証明書は，所有者が新たなディジタル証明書を取得するまでの間，CRLに登録される。
TSUNAGARU-ADVICE
まず押さえたいこと
CRLは、証明書失効リストのことで、有効期限内でありながら途中で失効したデジタル証明書の情報を掲載します。代表的には、失効した証明書のシリアル番号・失効日時などが記録されます。
迷ったときの判断軸
CRLに秘密鍵そのものが登録されることはありません。また、CRLはリアルタイム照会のためのプロトコルではなく、失効情報を一覧として公開する仕組みです。証明書が単に有効期限切れになった場合は、通常CRLで失効扱いする必要はありません。有効期限内なのに無効化された証明書を確認するための一覧と整理しましょう。
科目Bにつなげるために
科目Bでは、PKI・認証局・CRL・OCSP・証明書失効などと組み合わせて問われることがあります。証明書を検証するときは、有効期限や署名だけでなく、途中で失効していないかをどの仕組みで確認するのかまで追えるようにしておきましょう。
CRL（Certificate Revocation List：証明書失効リスト）は、認証局が発行したディジタル証明書のうち、有効期限が残っているにもかかわらず失効した証明書の情報をまとめたリストです。
例えば、秘密鍵の漏えい・証明書所有者の情報変更・証明書の利用停止などによって、有効期限を待たずに証明書を無効にする必要が生じた場合、その証明書のシリアル番号や失効日時などがCRLに記録されます。
したがって、イが適切です。
❌他選択肢が誤りの理由ア：CRLには，失効したディジタル証明書に対応する秘密鍵が登録される。
⇒CRLに秘密鍵が登録されることはありません。秘密鍵は所有者が厳重に管理すべき情報であり、CRLには失効した証明書を識別するためのシリアル番号や失効日時などが記録されます。
ウ：CRLは，鍵の漏えい，破棄申請の状況をリアルタイムに反映するプロトコルである。
⇒CRLはプロトコルではなく、認証局が定期的に発行する失効情報のリストです。証明書の失効状態をオンラインで確認する仕組みとしてはOCSPがあります。
エ：有効期限切れで失効したディジタル証明書は，所有者が新たなディジタル証明書を取得するまでの間，CRLに登録される。
⇒有効期限が切れた証明書は、期限切れによって既に無効になります。CRLは主に、まだ有効期限内であるにもかかわらず途中で失効させた証明書を知らせるために使用します。