令和7年度 秋期 応用情報技術者試験 午前 問39
テクノロジ／セキュリティCRL に関する記述のうち，適切なものはどれか。
出典：令和7年度 秋期 応用情報技術者試験 午前 問39
- アRFC 5280 では，認証局は，発行したデジタル証明書のうち失効したものについては，シリアル番号を失効後1年間 CRL に記載するよう義務付けている。
- イWeb サイトの利用者の Web ブラウザは，その Web サイトにサーバ証明書を発行した認証局の公開鍵が Web ブラウザに組み込まれていれば，CRL を参照しなくてもよい。
- ウ認証局は，発行した全てのデジタル証明書の有効期限を CRL に記載する。
- エ認証局は，有効期限内のデジタル証明書が失効されたとき，そのシリアル番号を CRL に記載する。
正解：エ
解説
CRL（Certificate Revocation List，証明書失効リスト）は，有効期限が到来する前に鍵の危殆化などの理由で失効させられたデジタル証明書のシリアル番号を認証局が列挙し，署名を付けて公開するリストです。証明書を検証する側は，署名検証や有効期限の確認に加えて CRL を参照し，失効していないことを確認する必要があります。
選択肢ごとの解説
- ア誤り。RFC 5280 では，失効した証明書は少なくとも本来の有効期限が過ぎるまで CRL に掲載するとされており，「失効後1年間」という規定はありません。
- イ誤り。認証局の公開鍵をもっていれば署名の検証はできますが，証明書が失効していないかどうかは分かりません。CRL や OCSP による失効確認は別途必要です。
- ウ誤り。CRL に記載されるのは失効した証明書のシリアル番号であり，発行した全ての証明書の有効期限ではありません。
- エ正しい。有効期限内に失効した証明書のシリアル番号を認証局が CRL に記載します。