平成30年度 春期 情報処理安全確保支援士試験 午前Ⅱ 問8
テクノロジ／セキュリティX.509 における CRL（Certificate Revocation List）に関する記述のうち，適切なものはどれか。
出典：平成30年度 春期 情報処理安全確保支援士試験 午前Ⅱ 問8
- アPKI の利用者は，認証局の公開鍵が Web ブラウザに組み込まれていれば，CRL を参照しなくてもよい。
- イ認証局は，発行した全てのディジタル証明書の有効期限を CRL に登録する。
- ウ認証局は，発行したディジタル証明書のうち，失効したものは，シリアル番号を失効後1年間 CRL に登録するよう義務付けられている。
- エ認証局は，有効期限内のディジタル証明書のシリアル番号を CRL に登録することがある。
正解：エ
解説
X.509 における CRL（Certificate Revocation List：証明書失効リスト）は，認証局が発行したディジタル証明書のうち，有効期限内であるにもかかわらず，秘密鍵の漏えいなどの理由で失効させられた証明書について，そのシリアル番号や失効日時などの情報を掲載したリストです。単に有効期限が切れただけの証明書は，検証時に有効期限を確認すれば無効と判断できるため，CRL に掲載する対象にはなりません。したがって，認証局は，有効期限内のディジタル証明書のシリアル番号を，失効させた場合に限って CRL に登録することがあります。
選択肢ごとの解説
- ア誤り。認証局の公開鍵が Web ブラウザに組み込まれていても，個々の証明書が有効期限内に失効しているかどうかは別途 CRL などで確認する必要があり，CRL の参照を省略できるわけではありません。
- イ誤り。CRL に登録されるのは有効期限内に失効した証明書のシリアル番号であり，発行した全ての証明書の有効期限を登録するものではありません。単に有効期限が切れた証明書は CRL の対象外です。
- ウ誤り。失効した証明書のシリアル番号を CRL に登録する期間は，各認証局の運用方針（CP/CPS）によって定められるものであり，一律に失効後1年間登録するよう義務付けられているわけではありません。
- エ正しい。認証局は，有効期限内であるにもかかわらず失効させたディジタル証明書について，そのシリアル番号を CRL に登録することがあります。