平成29年度秋期 ITストラテジスト 午前Ⅱ 問25

ディジタル証明書の失効確認

失効確認方式を比べるときは、個別の名称や実装を覚える前に、確認の対象、情報を取得する経路、確認時点との関係を切り分け、どの観点で説明が分かれているかを整理しましょう。

この問題で問われていること

選択肢を読む際は、失効状態を判断するために何を確認し、誰がどの情報をどのタイミングで参照する想定なのかという、確認プロセスの構成だけに注目して整理してください。

視点

失効確認は、状態を判断する主体、参照される情報の所在、確認が行われる時点という要素に分けて見ると、方式同士の違いを整理しやすくなります。

確認ポイント

• 判断主体がどこに置かれているかを確認する
• 参照する情報がどこから得られる想定かを確認する
• 確認時点と情報の新しさの関係を確認する

正解

ウ

解説

OCSPは、ディジタル証明書の失効状態を認証局などにオンラインで問い合わせ、リアルタイムに近い形で確認するためのプロトコルです。

理由

OCSPは、証明書のシリアル番号などを含む照会をOCSPレスポンダに送り、その証明書が有効、失効、未確認のいずれに当たるかを応答してもらう仕組みです。オンラインで状態を確認できるため、設問の条件に合う。

比較

CHAPはパスワードを直接送らずに認証する方式、LDAPはディレクトリサービスへアクセスするプロトコル、SNMPはネットワーク機器を監視・管理するプロトコルです。いずれも証明書の失効状態をオンライン確認する専用プロトコルではありません。

選択肢ア

これは不正解だよ。CHAPは、利用者や機器が正当な相手かを確認するためのチャレンジレスポンス方式であり、認証情報を扱う目的の仕組みである。ディジタル証明書が失効しているかを認証局へオンライン照会する機能を持つプロトコルではない。

選択肢イ

これは不正解だよ。LDAPは、利用者情報や証明書などを格納したディレクトリサービスに対して検索・参照を行うためのプロトコルである。証明書失効情報を格納できる場合はあっても、設問が求めるリアルタイムの失効確認専用プロトコルそのものではない。

選択肢ウ（正解）

これは正解だよ。OCSPは、証明書の識別情報を基に認証局などのレスポンダへ問い合わせ、対象証明書が失効しているかをオンラインで確認するためのプロトコルである。したがって、設問の目的と一致する。

選択肢エ

これは不正解だよ。SNMPは、ルータやサーバなどのネットワーク機器について、状態の監視や設定情報の取得を行うための管理プロトコルである。ディジタル証明書の失効状態をオンラインで照会する目的のプロトコルではない。

学習のポイント

証明書失効確認の方式と、認証・ディレクトリ・ネットワーク管理用プロトコルの違いを整理する。