平成28年度 秋期 情報セキュリティスペシャリスト試験 午前Ⅱ 問7

✓ これが正解エ認証局は，有効期限内のディジタル証明書を CRL に登録することがある。

解説

有効期限内でも、失効させた証明書は CRL に登録されます。

CRL は、認証局が有効期限の前に失効させた証明書を並べた一覧です。証明書には有効期限がありますが、秘密鍵が漏えいした場合や、記載した内容が変わった場合などは、期限を待たずに使えなくする必要があります。そこで認証局は、その証明書を失効させ、CRL に登録して公開します。証明書を受け取った側は、有効期限だけでなく CRL も確かめて、失効していないことを確認します。つまり CRL は、期限内なのに使ってはいけない証明書を知らせるためのものです。期限内の証明書が載ることは、CRL の目的そのものです。

ほかの選択肢はなぜ違うのか

• アPKI の利用者は，認証局の公開鍵が W…：認証局の公開鍵がブラウザに入っていれば、証明書が正しい認証局から発行されたことは確かめられます。しかし、その証明書が後から失効していないかは別の問題で、CRL などで確かめる必要があります。
• イ認証局は，発行した全てのディジタル証明書…：CRL は発行した全ての証明書を載せる台帳ではなく、有効期限を記録するものでもありません。載るのは失効させた証明書で、そのシリアル番号と失効した日時などが記録されます。登録する対象を取り違えています。
• ウ認証局は，発行したディジタル証明書のうち…：失効後1年間という登録期間を義務付ける決まりはありません。失効した証明書は、本来の有効期限が過ぎて検証の対象にならなくなるまで、CRL に載せておくのが通常の扱いです。期間の記述が誤りです。