解説

OCSP（Online Certificate Status Protocol）は、デジタル証明書の失効状態をリアルタイムで問い合わせるためのプロトコルです（RFC 6960）。PKI（Public Key Infrastructure）を構成する重要な要素の一つです。従来のCRL（Certificate Revocation List）は定期的にまとめて失効情報を公開する方式のため、CRL発行間隔の間はリアルタイム性がありませんでした。OCSPはOCSPクライアント（ブラウザなど）がOCSPレスポンダに対して特定の証明書のシリアル番号を送って問い合わせると、レスポンダが「good（有効）」「revoked（失効）」「unknown（不明）」のいずれかをリアルタイムで返します。これにより証明書が実際に失効しているかどうかをリアルタイムで確認できます。なお、OCSPレスポンス自体もCAの秘密鍵で署名されており、改ざんを防止しています。

なぜ他の選択肢は違うのか

選択肢 ア

「誤って破棄してしまった秘密鍵の再発行処理の進捗状況を問い合わせる」は誤りです。OCSPは証明書の失効状態を確認するためのプロトコルであり、秘密鍵の再発行処理の進捗管理とは無関係です。誤って破棄した秘密鍵の再発行はCAへの直接申請が必要であり、専用のプロトコルはありません。

選択肢 イ

「デジタル証明書から生成した鍵情報の交換がOCSPクライアントとOCSPレスポンダの間で失敗した際、認証状態を確認する」は誤りです。OCSPは失効状態の問い合わせプロトコルであり、鍵情報の交換失敗時の処理には関与しません。鍵交換はTLSハンドシェイク等の別プロトコルで行われます。

選択肢 エ

「有効期限が切れたデジタル証明書の更新処理の進捗状況を確認する」は誤りです。OCSPは有効期限内の証明書が失効しているかどうかを確認するプロトコルです。有効期限切れ証明書の更新処理の進捗確認はCAとの直接のやり取りで行われ、OCSPとは無関係です。

解くときのポイント

OCSP＝「証明書失効状態のリアルタイム問い合わせ」。CRLとの比較：CRL＝定期公開の失効リスト（バッチ処理的）、OCSP＝リアルタイム問い合わせ（オンライン的）。OCSP Staplingはサーバが事前にOCSPレスポンスを取得してクライアントに渡す改良手法。