OCSPの利用目的｜情報処理安全確保支援士 平成31年 春期午前Ⅱ試験 問2
出典：平成31年春期 午前Ⅱ 問2
分野：セキュリティ ／ 情報セキュリティ
PKIを構成するOCSPを利用する目的はどれか。
- ア：誤って破棄してしまった秘密鍵の再発行処理の進捗状況を問い合わせる。
- イ：ディジタル証明書から生成した鍵情報の交換がOCSPクライアントとOCSPレスポンダの間で失敗した際，認証状態を確認する。
- ウ：ディジタル証明書の失効情報を問い合わせる。
- エ：有効期限の切れたディジタル証明書の更新処理の進捗状況を確認する。
TSUNAGARU-ADVICE
まず押さえたいこと
OCSPは、デジタル証明書の失効状態をオンラインで問い合わせるための仕組みです。CRLのように失効リスト全体を取得するのではなく、特定の証明書について、有効か、失効しているかをOCSPレスポンダに確認します。
迷ったときの判断軸
秘密鍵の再発行処理や、証明書更新処理の進捗確認はOCSPの役割ではありません。また、OCSPは鍵交換の失敗時に認証状態を確認する仕組みでもありません。OCSPは、証明書の失効情報を問い合わせる仕組みと判断しましょう。
科目Bにつなげるために
科目Bでは、TLS通信・サーバ証明書・クライアント証明書・認証局・CRL・OCSPを組み合わせて、証明書を信頼できるかどうかを確認する流れが問われることがあります。証明書確認では、有効期限や署名の確認だけでなく、途中で失効していないかを確認する視点を持ちましょう。
OCSP（Online Certificate Status Protocol）は、ディジタル証明書が失効しているかどうかをオンラインで確認するためのプロトコルです。
認証局が発行したディジタル証明書は、有効期限内であっても、秘密鍵の漏えいや証明書の不正取得などによって途中で失効することがあります。OCSPでは、確認したい証明書の情報をOCSPレスポンダへ問い合わせ、その証明書の失効状態を確認します。
CRLが失効した証明書の一覧を取得して確認する方式であるのに対し、OCSPは特定の証明書についてオンラインで状態を問い合わせる点が特徴です。
したがって、ウが適切です。
❌他選択肢が誤りの理由ア：誤って破棄してしまった秘密鍵の再発行処理の進捗状況を問い合わせる。
⇒OCSPは、秘密鍵の再発行処理を管理する仕組みではありません。ディジタル証明書の失効状態を確認するために利用します。
イ：ディジタル証明書から生成した鍵情報の交換がOCSPクライアントとOCSPレスポンダの間で失敗した際，認証状態を確認する。
⇒OCSPは、鍵情報を交換するためのプロトコルではありません。OCSPクライアントから問い合わせを行い、対象となるディジタル証明書の失効状態を確認します。
エ：有効期限の切れたディジタル証明書の更新処理の進捗状況を確認する。
⇒OCSPは、証明書の更新処理の進捗状況を確認する仕組みではありません。主に、有効期限内の証明書が途中で失効していないかを確認するために利用します。