解説

OCSP（Online Certificate Status Protocol）は、PKI（公開鍵基盤）において、ディジタル証明書が失効していないかどうかを、オンラインでリアルタイムに問い合わせるためのプロトコルです。検証者（OCSPクライアント）が、OCSPレスポンダ（応答サーバ）に対して特定の証明書の状態を問い合わせると、レスポンダは「有効（good）」「失効（revoked）」「不明（unknown）」のいずれかを即座に返します。CRL（証明書失効リスト）が定期的に発行される一覧をダウンロードして参照する方式であるのに対し、OCSPは個々の証明書について最新の失効情報をその都度問い合わせられるため、即時性が高い点が特徴です。選択肢cの「ディジタル証明書の失効情報を問い合わせる」が、OCSPを利用する目的として正しく、正解です。OCSPは、CRLのサイズが大きくなりダウンロードや検索に時間がかかるという課題を解決し、証明書の有効性をその場で確認できるようにする仕組みである、という位置づけを押さえておきましょう。

なぜ他の選択肢は違うのか

選択肢 ア

「誤って破棄してしまった秘密鍵の再発行処理の進捗状況を問い合わせる」は誤りです。OCSPは証明書の失効状態を問い合わせるプロトコルであり、秘密鍵の再発行手続きの進捗を確認する仕組みではありません。そもそも秘密鍵は再発行ではなく、新たな鍵ペアと証明書の発行で対応します。秘密鍵は再発行ではなく新たな鍵ペアと証明書の発行で対応するものであり、その進捗確認はOCSPの役割ではありません。OCSPは証明書の失効状態の問い合わせに用います。

選択肢 イ

「鍵情報の交換がOCSPクライアントとOCSPレスポンダの間で失敗した際、認証状態を確認する」は誤りです。OCSPは証明書の失効状態を問い合わせるものであり、鍵情報の交換やその失敗時の認証状態を確認する仕組みではありません。OCSPの目的を取り違えています。鍵情報の交換やその失敗時の認証状態確認はOCSPの目的ではありません。OCSPはあくまで証明書が失効しているかどうかの状態を問い合わせるためのプロトコルです。

選択肢 エ

「有効期限が切れたディジタル証明書の更新処理の進捗状況を確認する」は誤りです。OCSPは証明書が失効しているかどうかの状態を問い合わせるものであり、証明書の更新手続きの進捗を確認するプロトコルではありません。失効確認と更新処理は別のものです。証明書の更新手続きの進捗確認はOCSPの役割ではありません。OCSPは証明書が失効しているか否かの状態を問い合わせるものであり、失効確認と更新処理は別のものです。

解くときのポイント

OCSP＝証明書の失効状態をオンラインでリアルタイムに問い合わせるプロトコル。CRL（定期発行の失効リストをダウンロードして参照）より即時性が高い。問い合わせの結果は good／revoked／unknown。