解説

X.509のCRL（Certificate Revocation List、証明書失効リスト）は、認証局（CA）が発行したディジタル証明書のうち、有効期限が満了する前に失効（取り消し）されたものの一覧です。秘密鍵の漏えいや所属変更などの理由で、有効期限内であっても証明書を無効にしたい場合、CAはその証明書のシリアル番号をCRLに記載して公開します。検証者はCRLを参照して、対象の証明書が失効していないかを確認します。選択肢dの「認証局は、有効期限内のディジタル証明書のシリアル番号をCRLに記載することがある」が、CRLの正しい説明であり正解です。ポイントは、CRLに記載されるのは「有効期限内に失効させられた証明書」のシリアル番号である点です。有効期限が切れた証明書は自然に無効になるためCRLに載せる必要がなく、また発行した全ての証明書を載せるわけでもありません。さらに、CRLは「失効後一定期間記載する義務」が一律にあるわけでもなく、認証局の運用ポリシによります。CAの公開鍵がブラウザに組み込まれていても、失効確認のためにCRL（またはOCSP）の参照は必要であり、参照しなくてよいわけではありません。

なぜ他の選択肢は違うのか

選択肢 ア

「認証局の公開鍵がWebブラウザに組み込まれていれば、CRLを参照しなくてもよい」は誤りです。CAの公開鍵が組み込まれていれば証明書の署名は検証できますが、その証明書が失効していないかは別途CRLやOCSPで確認する必要があります。失効確認を省略してよいわけではありません。CAの公開鍵があれば署名は検証できますが、その証明書が失効していないかはCRLやOCSPで別途確認する必要があり、失効確認を省略してよいわけではありません。

選択肢 イ

「発行した全てのディジタル証明書の有効期限をCRLに記載する」は誤りです。CRLは失効した証明書のシリアル番号を記載するものであり、発行した全ての証明書の有効期限を記載するものではありません。CRLの目的は失効情報の提供です。CRLは失効した証明書のシリアル番号を記載するものであり、発行した全ての証明書の有効期限を記載するものではありません。CRLの目的は失効情報の提供です。

選択肢 ウ

「失効したものについては、シリアル番号を失効後1年間CRLに記載するよう義務付けられている」は誤りです。失効した証明書をCRLに記載する期間は、認証局の運用ポリシによるものであり、「失効後1年間」と一律に義務付けられているわけではありません。失効した証明書をCRLに記載する期間は認証局の運用ポリシによるものであり、失効後1年間と一律に義務付けられているわけではないため、この記述は誤りです。

解くときのポイント

CRL＝有効期限内に失効した証明書のシリアル番号の一覧（CAが発行・公開）。期限切れの証明書や全証明書は対象外。CAの公開鍵があっても失効確認（CRL/OCSP）は必要。記載期間は運用ポリシ次第。