OCSPの利用目的｜情報処理安全確保支援士 平成29年 秋期午前Ⅱ試験 問2
出典：平成29年秋期 午前Ⅱ 問2
分野：セキュリティ ／ 情報セキュリティ
PKIを構成するOCSPを利用する目的はどれか。
- ア：誤って破棄してしまった秘密鍵の再発行処理の進捗状況を問い合わせる。
- イ：デジタル証明書から生成した鍵情報の交換がOCSPクライアントとレスポンダの間で失敗した際，認証状態を確認する。
- ウ：デジタル証明書の失効情報を問い合わせる。
- エ：有効期限の切れたデジタル証明書の更新処理の進捗状況を確認する。
TSUNAGARU-ADVICE
まず押さえたいこと
OCSP（Online Certificate Status Protocol）は、デジタル証明書が失効していないかをオンラインで問い合わせるための仕組みです。CRLのように失効リスト全体を取得するのではなく、特定の証明書について、有効か、失効しているかをOCSPレスポンダに確認する点が特徴です。
迷ったときの判断軸
OCSPは、秘密鍵の再発行や証明書更新処理の進捗確認を行う仕組みではありません。また、鍵交換が失敗した際の認証状態確認でもありません。PKIの文脈でOCSPが出てきたら、デジタル証明書の失効情報をオンラインで問い合わせる仕組みと判断しましょう。
科目Bにつなげるために
科目Bでは、TLS通信・サーバ証明書・認証局・CRL・OCSP・証明書検証の流れが問われることがあります。証明書を信頼してよいか判断するときは、署名や有効期限だけでなく、現在失効していないかを確認する視点を持ちましょう。
OCSPは、デジタル証明書が現在も有効か、それとも有効期限内に失効しているかをオンラインで問い合わせるためのプロトコルです。
OCSPクライアントが証明書の情報をOCSPレスポンダへ送信すると、レスポンダは証明書の状態を「有効」「失効」「不明」などで返します。CRL全体を取得せず、個別の証明書の失効状態を確認できる点が特徴です。
したがって、ウが適切です。
❌他選択肢が誤りの理由ア：誤って破棄してしまった秘密鍵の再発行処理の進捗状況を問い合わせる。
⇒OCSPは、秘密鍵の再発行処理を管理する仕組みではありません。秘密鍵を紛失・破棄した場合は、対応する証明書を失効させ、必要に応じて新しい鍵ペアと証明書を発行します。
イ：デジタル証明書から生成した鍵情報の交換がOCSPクライアントとレスポンダの間で失敗した際，認証状態を確認する。
⇒OCSPでは、証明書から生成した鍵情報を交換するわけではありません。証明書を識別する情報を基に、その証明書の失効状態を問い合わせます。
エ：有効期限の切れたデジタル証明書の更新処理の進捗状況を確認する。
⇒OCSPは、証明書の更新処理の進捗を確認する仕組みではありません。有効期限内の証明書が失効していないかを確認するために利用されます。