平成29年度秋期 情報処理安全確保支援士 午前Ⅱ 問2

午前II 問02：OCSPは証明書の“有効期限切れ・失効チェック窓口”だよ

PKIで使われるOCSPは、ディジタル証明書が今も有効か、つまり失効していないかをオンラインで確認する仕組みだよ。たとえるなら、身分証を見せられたときに『この身分証、まだ使って大丈夫？』と発行元の確認窓口にその場で問い合わせるようなものだね。

この問題で問われていること

この問題で見ているのは、証明書の更新処理や鍵交換が失敗したかどうかではなく、証明書が失効していないかを問い合わせる機能だよ。OCSPは“証明書の現在の有効性チェック”に使う、と押さえよう。

OCSP の問い合わせ内容

OCSP クライアントは証明書番号をレスポンダへ送り、その証明書が有効・失効・不明のどれかを返してもらいます。証明書更新の進捗確認機構ではありません。

証明書番号を送信\nレスポンダ -> 失効状態を返答

確認ポイント

• 更新進捗や秘密鍵再発行の話ではありません。
• 鍵交換失敗時の認証状態確認とも別です。
• 「失効情報を問い合わせる」を素直に拾います。

正解

ウ

出典

問題文と解答は IPA 公開の過去問題冊子・解答例を基にしています。

選択肢ア

これは不正解だよ。秘密鍵をなくしたときの再発行や手続きの進み具合を聞く仕組みではないんだ。たとえるなら、合鍵をなくして交番や管理会社に相談する話であって、OCSPは「この身分証明書はまだ使っていいもの？」と確認する窓口だよ。秘密鍵そのものの状態を調べる仕組みではない点に注意しよう。

選択肢イ

これは不正解だよ。OCSPは、鍵情報の交換が失敗したときに認証状態を確認するためのものではないんだ。たとえるなら、電話のつながり方を直す窓口ではなく、提示された会員証が取り消されていないかを確認する窓口だよ。

選択肢ウ（正解）

これが正解だよ。OCSPは、ディジタル証明書が失効していないかをオンラインで問い合わせる仕組みなんだ。たとえるなら、お店で出された身分証を見て、発行元の窓口に「この証明書、今も有効ですか？取り消されていませんか？」と確認する感じだよ。

選択肢エ

これは不正解だよ。OCSPは、有効期限切れの証明書の更新手続きがどこまで進んだかを確認するものではないんだ。有効期限は証明書そのものに書いてあるし、更新の進捗確認は別の手続きだよ。OCSPの役目は、期限内でも取り消された証明書かどうかを見ることだよ。