解説

CRL（Certificate Revocation List、証明書失効リスト）は、認証局（CA）が発行したディジタル証明書のうち、有効期限が満了する前に何らかの理由で失効（取り消し）された証明書の一覧です。失効の理由には、秘密鍵の漏えい、所属組織の変更、発行内容の誤りなどがあります。CRLには、失効した証明書を一意に識別するためのシリアル番号と失効日時が記載され、認証局が定期的に発行・更新して公開します。証明書を検証する側は、CRLを参照して、対象の証明書が失効していないかを確認します。選択肢dの「有効期限内に失効したディジタル証明書のシリアル番号」が、CRLに掲載されるものとして正しく、正解です。ポイントは2つあります。第一に、CRLに載るのは「有効期限が切れたもの」ではなく「有効期限内なのに失効させられたもの」である点です。期限切れの証明書はそもそも無効なのでCRLに載せる必要がありません。第二に、CRLが管理するのは公開鍵そのものではなくシリアル番号である点です。失効の即時性を高める方式としてOCSPもあり、併せて理解しておきましょう。

なぜ他の選択肢は違うのか

選択肢 ア

「有効期限切れになったディジタル証明書の公開鍵」は誤りです。CRLは失効した証明書をシリアル番号で識別するものであり、公開鍵そのものを掲載するわけではありません。また、有効期限切れの証明書はそもそも無効なのでCRLに載せる対象ではありません。CRLは失効した証明書のシリアル番号で失効を管理するものであり、公開鍵そのものを掲載しない点でも、期限切れを対象としない点でも誤りです。

選択肢 イ

「有効期限切れになったディジタル証明書のシリアル番号」は誤りです。CRLに掲載されるのは、有効期限が切れたものではなく、有効期限内であるにもかかわらず失効させられた証明書です。期限切れの証明書は自然に無効になるため、CRLで管理する必要がありません。有効期限が切れた証明書は自然に無効となるためCRLで管理する必要がなく、CRLが対象とするのは有効期限内に失効させられた証明書だけです。

選択肢 ウ

「有効期限内に失効したディジタル証明書の公開鍵」は誤りです。失効の対象が「有効期限内に失効したもの」である点は正しいのですが、CRLが掲載するのは公開鍵ではなくシリアル番号です。証明書を一意に識別するシリアル番号で失効を管理します。失効の対象が有効期限内に失効したものである点は正しいものの、CRLが掲載するのは公開鍵ではなく証明書を一意に識別するシリアル番号であり、その点が誤りです。

解くときのポイント

CRL＝有効期限内に失効した証明書のシリアル番号の一覧（CAが発行・公開）。期限切れの証明書は対象外。掲載するのは公開鍵ではなくシリアル番号。失効を即時に確認する方式はOCSP。