平成27年度春期 情報処理安全確保支援士 午前Ⅱ 問6

午前II 問06

X.509のCRLは、まだ有効期限は残っているけれど、途中で使えなくなった証明書を知らせるための“使用停止リスト”だよ。お店でいうと、有効期限内の会員カードでも、紛失や不正利用で止められたカードを一覧にして共有するイメージだね。

この問題で問われていること

この問題では、CRLがいつ不要になるかや、登録期間が固定かどうかではなく、“どの証明書がCRLに載るのか”を確認しよう。ポイントは、有効期限内なのに失効した証明書が掲載対象になる、というところだよ。

CRL の利用意義

証明書はブラウザに CA 公開鍵が入っていても、失効確認を別途行う必要があります。CRL は、今はもう信用できない証明書を列挙するための仕組みです。

CA 公開鍵で署名検証\n+ CRL / OCSP で失効確認

確認ポイント

• CA 公開鍵が入っていることと失効確認不要は別問題です。
• 全証明書の有効期限を並べる一覧ではありません。
• 有効期限内だが失効した証明書が対象だと押さえます。

正解

エ

出典

問題文と解答は IPA 公開の過去問題冊子・解答例を基にしています。

選択肢ア

これは間違いだよ。ブラウザに認証局の公開鍵が入っているのは、『この窓口は本物っぽい』と確認するための道具にすぎないんだ。でも、その証明書があとから盗難届や取消し扱いになっていないかは別問題。合鍵を作った店が信用できても、その合鍵が盗まれて使用禁止になっていないかは確認しよう、というのがCRLだよ。

選択肢イ

これは間違いだよ。CRLは『全部の証明書の有効期限一覧表』ではなく、『途中で使えなくなった証明書のブラックリスト』なんだ。学校の全生徒の卒業予定日リストではなく、入館証をなくした人や不正利用で止められた人のリスト、というイメージだよ。

選択肢ウ

これは間違いだよ。CRLにどれくらい載せるかは、単純に『失効後1年間』と決まっているわけではないんだ。CRLは、まだ有効期限内なのに使ってはいけなくなった証明書を知らせるためのリストだよ。期限切れになった会員証まで、必ず1年間掲示板に貼り続ける、というルールではないんだ。

選択肢エ（正解）

これは正解だよ。CRLには、有効期限がまだ残っていても、秘密鍵の漏えいや不正利用などで『もう使わせちゃダメ』になった証明書が登録されるんだ。たとえるなら、期限内の会員カードでも盗まれたら受付で『このカードは無効です』と掲示する感じだよ。