平成23年度 特別 情報セキュリティスペシャリスト試験 午前Ⅱ 問6

✓ これが正解ウ認証局は，ディジタル証明書を有効期限内に CRL に登録することがある。

解説

有効期限内の証明書でも、失効させて CRL に載せることがあります。

CRL は、認証局が発行したデジタル証明書のうち、有効期限が来る前に失効させたものを並べたリストです。証明書には有効期限がありますが、期限内であっても使わせてはいけない事態が起こります。たとえば秘密鍵が漏えいした場合や、証明書に書かれた内容が事実と変わった場合です。このようなとき認証局は証明書を失効させ、その証明書を CRL に登録して公開します。証明書を受け取った側は、CRL を参照して、その証明書が失効していないかを確かめます。見分ける軸は、CRL に何が載るかと、誰がいつ参照するかの二つです。有効期限内の証明書が登録されることがある、という記述がこの運用に合います。

ほかの選択肢はなぜ違うのか

• アPKI の利用者は，認証局の公開鍵がブラ…：ブラウザに認証局の公開鍵が組み込まれていれば、その認証局が発行した証明書かどうかは確かめられます。しかし個々の証明書が失効していないかは別の話で、CRL を参照して確かめる必要があります。
• イ認証局は，X.509 によって 1 年に…：X.509 は、CRL を1年に1回発行するといった頻度を義務付けてはいません。実際の運用では、失効の情報を早く届けるために、もっと短い周期で更新するのが普通です。
• エ認証局は，発行したすべてのディジタル証明…：CRL に登録されるのは失効させた証明書だけで、発行したすべての証明書の有効期限を並べるものではありません。期限の情報は証明書そのものに書かれています。