CRL｜情報処理安全確保支援士 平成30年 春期午前Ⅱ試験 問8
出典：平成30年春期 午前Ⅱ 問8
分野：セキュリティ ／ 情報セキュリティ
X.509におけるCRL（Certificate Revocation List）に関する記述のうち，適切なものはどれか。
- ア：PKIの利用者は，認証局の公開鍵がWebブラウザに組み込まれていれば，CRLを参照しなくてもよい。
- イ：認証局は，発行した全てのデジタル証明書の有効期限をCRLに登録する。
- ウ：認証局は，発行したデジタル証明書のうち，失効したものは，シリアル番号を失効後1年間CRLに登録するよう義務付けられている。
- エ：認証局は，有効期限内のデジタル証明書のシリアル番号をCRLに登録することがある。
TSUNAGARU-ADVICE
まず押さえたいこと
CRLは、有効期限内であっても失効したデジタル証明書の情報を掲載するリストです。証明書がまだ有効期間中でも、秘密鍵の漏えいや組織変更などによって失効することがあるため、認証局は失効した証明書のシリアル番号をCRLに登録します。
迷ったときの判断軸
認証局の公開鍵がブラウザに組み込まれていても、証明書が失効していないかの確認は別に必要です。また、CRLは発行済み証明書すべての有効期限を載せるリストではありません。「失効後1年間」といった固定期間で必ず登録するものでもないため、CRLは有効期限内だが失効した証明書を確認するためのリストと判断しましょう。
科目Bにつなげるために
科目Bでは、TLS・サーバ証明書・認証局・証明書失効確認、OCSPなどと絡めて問われることがあります。証明書の検証では、署名の正当性や有効期限だけでなく、失効していないかを確認する視点も持ちましょう。
CRLは、認証局が発行したデジタル証明書のうち、有効期限内でありながら、秘密鍵の漏えいや不正利用などの理由で失効した証明書の情報を掲載する一覧です。
CRLには、失効した証明書のシリアル番号や失効日時などが登録されます。そのため、有効期限内の証明書であっても、失効していればシリアル番号がCRLに掲載されることがあります。
したがって、エが適切です。
❌他選択肢が誤りの理由ア：PKIの利用者は，認証局の公開鍵がWebブラウザに組み込まれていれば，CRLを参照しなくてもよい。
⇒認証局の公開鍵によって証明書の署名を検証できても、その証明書が有効期限内に失効していないかどうかは別途確認する必要があります。そのため、CRLやOCSPによる失効確認が必要です。
イ：認証局は，発行した全てのデジタル証明書の有効期限をCRLに登録する。
⇒CRLに登録されるのは、失効した証明書のシリアル番号や失効日時などです。発行した全ての証明書の有効期限を一覧として登録するものではありません。
ウ：認証局は，発行したデジタル証明書のうち，失効したものは，シリアル番号を失効後1年間CRLに登録するよう義務付けられている。
⇒一律に失効後1年間登録するという決まりではありません。通常は、失効した証明書の本来の有効期限が満了するまで、CRLに掲載されます。