CRLに載るのはどんなデジタル証明書か、失効と期限切れの違い
ITパスポート試験 令和7年度 問87 ／ セキュリティ › 情報セキュリティ対策・実装技術
過去問にチャレンジ
PKIにおいて，ある条件に当てはまるデジタル証明書の情報が公開されているリストとしてCRLがある。このリストに掲載される条件として，適切なものはどれか。
- ア
有効期間が満了している。
- イ
有効期間が無期限である。
- ウ
有効期間内に失効している。
- エ
有効期間を延長している。
会話形式の解説
講師今回はPKI、つまり公開鍵基盤の問題です。CRLというリストにどんな状態のデジタル証明書が載るのかが問われています。まずはCRLが何の略かを思い出すところから始めましょう。
受験者CRLは見たことがありますが、略語が多くて正式名称があいまいです。Cは証明書のCertificateでしょうか。
講師そのとおりです。CRLはCertificate Revocation Listの略で、日本語では「証明書失効リスト」と呼びます。認証局（CA）、つまり証明書を発行する機関が作って公開しています。
受験者失効リストなら、使えなくなった証明書の一覧ですよね。そうすると、有効期間が満了した証明書も載りそうに思えます。
講師そこがいちばんの引っかけです。「失効」と「期限切れ」は意味が違います。期限切れは、有効期間が終わって自然に無効になることです。一方の失効は、有効期間がまだ残っている証明書を途中で使えなくすることを指します。
受験者期限切れの証明書は、CRLに載せなくてもよいのですか。
講師期限切れかどうかは、証明書に書かれた有効期間を見れば利用者が自分で判断できます。わざわざリストで知らせる必要がないのです。ところが途中で失効した証明書は、見た目では有効期間内の普通の証明書と区別できません。だから認証局がリストにして公開し、使われないように知らせる必要があります。
受験者なるほど。証明書を見ても分からないから、リストで知らせるのですね。では、途中で失効させるのはどんな場合ですか。
講師秘密鍵の漏えいや不正使用、所有者の変更、退職などが挙げられます。こうした理由があると、有効期間が残っていても認証局が証明書を失効させます。ですから、有効期間内に失効している証明書が正解になります。
受験者残りの、有効期間が無期限の証明書と、有効期間を延長した証明書はどうでしょうか。どちらも使えなくなったわけではないので、関係なさそうに思います。
講師その考え方で合っています。CRLは使えなくなった証明書を知らせるためのリストです。有効期間の長さで載せるかどうかが決まるわけではありませんし、延長のような手続きを記録するものでもありません。
受験者整理すると、CRLに載るのは有効期間内に何らかの理由で失効させた証明書で、期限切れは期間を見れば分かるので載らない、ということですね。
講師よくまとまっています。あわせて、証明書の状態をその場で問い合わせて確認する仕組みとしてOCSPがあります。CRLは公開されたリストを見て確かめる方法、OCSPは問い合わせて確かめる方法です。名前をセットで覚えておくと安心です。
まとめ
CRLはCertificate Revocation Listの略で、認証局が発行・公開する「証明書失効リスト」です。CRLに載るのは、秘密鍵の漏えいや不正使用、所有者の変更、退職などの理由で、有効期間内に失効させた証明書です。有効期間が満了した証明書は期間を見れば利用者が判断できるため、CRLには載せません。「失効」と「期限切れ」を同じ意味と思い込むと誤答しやすいので注意が必要です。証明書の状態を問い合わせて確認する仕組みとしてOCSPもあわせて覚えておきましょう。
解答・解説
正解はウです
この問題のテーマ
PKI（公開鍵基盤）で認証局が公開するCRL（証明書失効リスト）に、どのような状態のデジタル証明書が載るのかを問う問題です。
解き方の考え方
まず、CRLが「Certificate Revocation List」の略で、日本語では「証明書失効リスト」と呼ぶことを思い出します。「失効」は、有効期間がまだ残っている証明書を途中で使えなくすることです。期限が来て自然に切れる「期限切れ」とは別の意味です。この違いがわかれば、「有効期間内に失効している」という選択肢が答えになります。
選択肢ごとの解説
- ×ア 有効期間が満了している。アの有効期間が満了した証明書は、期限が来た時点で自動的に無効になります。利用者は証明書に書かれた有効期間を見れば期限切れかどうか判断できるため、わざわざCRLに載せる必要はありません。
- ×イ 有効期間が無期限である。イの有効期間が無期限であることは、CRLに載せる条件ではありません。CRLは失効した証明書を知らせるためのリストで、有効期間の長さで載せるかどうかが決まるものではありません。
- ○ウ 有効期間内に失効している。ウの有効期間内に失効した証明書が、CRLに載る対象です。秘密鍵の漏えいや不正使用などが起きると、有効期間が残っていても認証局が証明書を失効させます。見た目は有効な証明書のままなので、リストにして公開し、使われないよう周知する必要があります。
- ×エ 有効期間を延長している。エの有効期間の延長は、CRLに載せる条件ではありません。CRLは使えなくなった証明書を知らせるためのもので、延長のような手続きを記録するものではありません。
補足
「失効」と「期限切れ」を同じ意味だと思い込むと、アを選んでしまいがちなので注意してください。期限切れは有効期間を見れば判断できますが、途中で失効したかどうかは証明書を見てもわからないため、CRLが必要になります。また、証明書の状態をその場で問い合わせて確認する仕組みとしてOCSPがあり、CRLとあわせて名前を覚えておくと安心です。
POINT
- CRLはCertificate Revocation Listの略で、証明書失効リストのことです。
- CRLは認証局（CA）が発行し、公開します。
- CRLに載るのは、有効期間内に何らかの理由で失効させた証明書です。
- 失効の理由には、秘密鍵の漏えい、所有者の変更、不正使用、退職などがあります。
- 利用者はCRLを見て証明書がまだ有効かを確かめ、失効した証明書を使わないようにします。