令和6年度春期 情報処理安全確保支援士 午前Ⅱ 問6

午前II 問06：CRLは「使えなくなった証明書リスト」だよ

CRLは、認証局が発行する「この証明書はもう信用しちゃダメだよ」という一覧だよ。たとえるなら、まだ期限は残っているけれど、紛失や不正利用などで無効になった会員証のブラックリストみたいなもの。CRLに載るのは、失効した証明書のシリアル番号であって、すべての証明書や証明書の有効期限一覧ではないよ。

この問題で問われていること

CRLは証明書チェーンを示すものでも、有効期限をまとめた表でもなく、「有効期限内だけど失効した証明書」を確認するためのリストだと押さえよう。

CRL

CRL は『失効したものだけ』を列挙する一覧です。

有効期限内に失効\n-> シリアル番号を CRL 記載

確認ポイント

• 全証明書の有効期限を載せるものではありません。
• ブラウザに CA 公開鍵があっても失効確認は別問題です。
• 失効証明書のシリアル番号を選ぶ。

正解

エ

出典

問題文と解答は IPA 公開の過去問題冊子・解答例を基にしています。

選択肢ア

これは間違いだよ。RFC 5280では、失効した証明書を「失効後1年間だけCRLに載せなさい」と一律に義務付けているわけではないよ。基本的には、その証明書の有効期限が切れるまでは、失効情報として確認できる必要があるんだ。

選択肢イ

これは間違いだよ。ブラウザに認証局の公開鍵が入っているのは、「この窓口は信頼できる発行元だ」と分かるため。でも、その証明書が後から盗まれたり無効になったりしていないかは別問題なんだ。だから、必要に応じてCRLなどで「今も有効か」を確認する必要があるよ。

選択肢ウ

これは間違いだよ。CRLは「全部の証明書の期限表」ではなく、「途中で使えなくなった証明書のブラックリスト」だよ。たとえるなら、全社員の社員証の有効期限一覧ではなく、紛失・退職などで止めた社員証番号だけを載せるリストなんだ。

選択肢エ（正解）

これは正解だよ。CRLは「まだ期限内だけど、もう使っちゃダメな証明書リスト」みたいなもの。例えば、社員証の有効期限は残っていても退職した人の社員証番号を受付のNGリストに載せる感じだね。認証局は、失効した証明書のシリアル番号をCRLに載せるよ。