解説

CRL（Certificate Revocation List：証明書失効リスト）は、有効期限内であっても秘密鍵の漏えいや証明書の不正発行などの理由で失効させたデジタル証明書のシリアル番号を記録したリストです。認証局（CA）が署名して定期的に発行・公開します。CRLの重要な特性として「有効期限内でも失効させた証明書のシリアル番号を記載する」点があります。つまりCRLには有効期限切れの証明書のシリアル番号は記載されず、有効期限内だが失効した証明書のみが記載されます。証明書の失効事由には「秘密鍵の漏えい」「証明書内容の誤り」「証明書所有者の組織離脱」「CAの危殆化（compromise）」などがあります。現在はOCSP（Online Certificate Status Protocol）との併用が一般的で、リアルタイムで証明書の有効性を確認できます。

なぜ他の選択肢は違うのか

選択肢 ア

「認証局の公開鍵がWebブラウザに組み込まれていればCRLを参照しなくてもよい」は誤りです。認証局の公開鍵はルート証明書としてブラウザに組み込まれていますが、これはCA自身の信頼性を検証するためのものです。発行された個別の証明書が失効していないかの確認（CRL/OCSP参照）は別途必要であり、ルート証明書の保持とは独立した処理です。

選択肢 イ

「RFC 5280では失効したものについて失効後1年間シリアル番号をCRLに記載するよう義務付けている」は誤りです。RFC 5280ではCRLへの記載期間について、失効後の次のCRL有効期限までの記載を要求していますが、1年間という固定期間を義務付けてはいません。また、通常は失効証明書は最低1つ後のCRL更新まで記載されます。

選択肢 ウ

「認証局は発行した全てのデジタル証明書の有効期限をCRLに記載する」は誤りです。CRLに記載されるのは有効期限（expiry date）ではなく、失効した証明書のシリアル番号です。有効期限内の全証明書をCRLに記載するものではなく、あくまで有効期限内に失効させた証明書のみが記載対象です。

解くときのポイント

CRLのポイント：①記載されるのは「有効期限内かつ失効した証明書のシリアル番号」②有効期限切れ証明書は記載されない③定期更新のためリアルタイム性が低い→OCSPで補完。「有効期限内の証明書のシリアル番号をCRLに記載することがある」が正しい表現。