令和3年度秋期 情報処理安全確保支援士 午前Ⅱ 問8

CRLは「この証明書はもう信用しないでね」リストだよ

CRLは、証明書の有効期限リストではなく、「失効した証明書」を周りに知らせるためのリストだよ。たとえば、まだ期限が残っている会員証でも、紛失や不正利用の疑いがあれば「この会員証は使えません」と止められるよね。それと同じで、有効期限内の証明書でも、失効日や失効予定の扱いによってCRLにシリアル番号が載ることがあるよ。

この問題で問われていること

この問題では、CRLを「期限切れ証明書の一覧」や「なくてもよい仕組み」と勘違いせず、証明書が失効しているかどうかを配布・確認するための仕組みとして理解できているかが問われているよ。

CRL の性質

証明書がまだ有効期限内でも失効扱いになれば、CRL に載って利用禁止を示します。

有効期限内でも失効した証明書\n-> CRL に掲載され得る

確認ポイント

• CRL 参照が不要になるわけではありません。
• 全証明書の有効期限を列挙するものでもない。
• 有効期限内の証明書番号が掲載されることがある説明を選ぶ。

正解

エ

出典

問題文と解答は IPA 公開の過去問題冊子・解答例を基にしています。

選択肢ア

これは不正解だよ。ブラウザに認証局の公開鍵が入っているのは、『この身分証は本物っぽい』と確認できるだけなんだ。でも、その身分証が盗まれて使用停止になっていないかは別問題。だから、CRLなどで失効していないか確認する必要があるよ。

選択肢イ

これは不正解だよ。RFC 5280は『失効後1年間だけCRLに載せる』と決めているわけではないんだ。基本的には、その証明書の有効期限が切れるまでは失効情報を確認できるようにする考え方だよ。『盗まれた会員証は1年だけ掲示する』みたいな固定ルールではないんだ。

選択肢ウ

これは不正解だよ。CRLは『発行した全証明書の一覧表』ではなく、『使っちゃダメになった証明書のブラックリスト』なんだ。お店の入場証でいうと、全員の有効期限表ではなく、出入り禁止になった人の番号リストに近いよ。

選択肢エ（正解）

これは正解だよ。有効期限がまだ残っている証明書でも、秘密鍵が漏れた、持ち主が変わったなどの理由で途中で失効することがあるんだ。たとえるなら、期限内の社員証でも盗まれたら無効リストに載せるよね。CRLにはそういう失効した証明書のシリアル番号が載るよ。