平成27年度 春期 情報セキュリティスペシャリスト試験 午前Ⅱ 問6

✓ これが正解エ認証局は，有効期限内のディジタル証明書を CRL に登録することがある。

解説

有効期限内の証明書も、失効させれば CRL に登録されます。

X.509 の CRL は、有効期限が来る前に無効とされた証明書を並べた一覧です。証明書には有効期限がありますが、秘密鍵が漏えいした、記載内容が変わったといった事情があれば、認証局は期限の前でも証明書を失効させます。失効させた証明書は CRL に登録され、利用者はそれを参照して証明書が使えるかを確かめます。つまり、有効期限内の証明書が CRL に載ることこそ、この仕組みの本来の使い方です。期限切れの証明書はそれだけで使えないので、一覧に載せる意味は薄くなります。

ほかの選択肢はなぜ違うのか

• アPKI の利用者は，認証局の公開鍵が W…：Web ブラウザに組み込まれた認証局の公開鍵で分かるのは、証明書の署名が正しいかどうかまでです。個々の証明書が失効していないかは、別に CRL などで確かめる必要があります。
• イ認証局は，発行した全てのディジタル証明書…：発行した全ての証明書の有効期限を並べても、失効の有無は分かりません。有効期限は証明書そのものに記載されており、CRL に載せるのは失効させた証明書に限られます。
• ウ認証局は，発行したディジタル証明書のうち…：失効後1年間は登録するよう義務付けるといった定めは、CRL の仕組みにはありません。一般には有効期限が過ぎれば、その証明書を一覧に載せ続ける必要はなくなります。