平成30年度春期 情報処理安全確保支援士 午前Ⅱ 問8

午前II 問08

X.509 の CRL は、まだ有効期限が残っているのに「この証明書はもう使っちゃダメだよ」と取り消されたディジタル証明書のシリアル番号を載せるリストだよ。たとえるなら、期限内の会員証でも紛失や不正利用の疑いがあれば、受付の『利用停止リスト』に番号が載るイメージだね。

この問題で問われていること

この問題では、CRL に何が登録されるのかを確認しよう。CRL は CA の公開鍵そのものを管理するものではなく、全証明書の有効期限を一覧にするものでもないよ。ポイントは、有効期限内でも失効した証明書のシリアル番号が登録される、というところだよ。

期限内失効の扱い

失効確認は署名検証とは別工程です。認証局は、まだ期限内だが失効させた証明書を CRL に載せて、利用者にその証明書を使わないよう知らせます。

署名検証とは別に失効確認\n期限内でも失効 -> CRL 登録

確認ポイント

• CA 公開鍵がブラウザにあることと失効確認不要は同じではありません。
• 全証明書の有効期限を CRL に載せるわけではありません。
• 「有効期限内のディジタル証明書」を手掛かりに判断します。

正解

エ

出典

問題文と解答は IPA 公開の過去問題冊子・解答例を基にしています。

選択肢ア

これは間違いだよ。ブラウザに認証局の公開鍵が入っていると、その証明書を誰が発行したかは確認できるけど、『今も有効か』『途中で取り消されていないか』までは別に確認が必要なんだ。合鍵が本物でも、持ち主が盗まれて使用停止にしているかもしれないから、停止リストを見る必要がある、という感じだよ。

選択肢イ

これは間違いだよ。CRLに載るのは、基本的に『途中で使えなくなった証明書』の情報であって、発行した全部の証明書の有効期限リストではないんだ。たとえるなら、CRLは会員名簿ではなく『退会・停止になった人リスト』だよ。

選択肢ウ

これは間違いだよ。CRLは「この証明書はもう使っちゃダメ」という失効リストだけど、失効した証明書を必ず『失効後1年間』載せる、という一律の義務があるわけではないんだ。お店の出入り禁止リストも、必ず全員を1年だけ載せるとは限らないよね。証明書の有効期限や運用ルールに従って管理されるよ。

選択肢エ（正解）

これは正しいよ。CRLには、有効期限がまだ残っていても、盗難・秘密鍵漏えい・退職などの理由で『もう信用しないで』となった証明書のシリアル番号が載ることがあるんだ。期限内の社員証でも、紛失したら受付で『この社員証は通さないで』とリストに載せるのと同じだよ。