令和6年度 秋期 午前Ⅱ 問17

✓ これが正解ウ認証局が証明書を発行，管理，失効，更新する際などの運用についての規定

解説

CPSは、証明書の発行や失効などの運用を定めた認証局の規定です。

X.509 は公開鍵証明書の形式などを定めた規格で、その証明書を発行する認証局の運用を示す文書がCPS（Certification Practice Statement）です。CPSには、認証局が証明書を発行、管理、失効、更新する際の手続や運用の方法が具体的に定められています。利用者は、CPSを見て、その認証局がどのような手続で本人確認を行い、どのように鍵や証明書を管理しているかを知り、証明書をどの程度信頼できるかを判断します。過去のログ、失効した証明書の一覧、運用の検証結果は、いずれも運用の記録や結果であって、運用のあり方を定めた規定ではありません。規定か、記録や結果か、で分けると見分けられます。

ほかの選択肢はなぜ違うのか

• ア認証局が過去1年運用されている間に生成し…：過去1年の運用の間に生成された監査ログは、認証局の動作を記録したものです。運用の結果を残したものであり、証明書の発行や失効をどう行うかを前もって定めた規定とは性質が違います。
• イ認証局が公開している，失効した証明書のリ…：認証局が公開する失効した証明書のリストは、CRLと呼ばれるものです。有効期限の前に失効させた証明書を利用者が確かめるための一覧であり、運用の手続を定めた文書ではありません。
• エ認証局の運用の適切性を検証した検証結果報…：認証局の運用が適切かどうかを検証した報告書は、評価の結果をまとめたものです。運用の内容を定める規定そのものではなく、その規定に沿って運用されているかを確かめた結果にあたります。