令和元年度 秋期 情報処理安全確保支援士試験 午前Ⅱ 問6
テクノロジ／セキュリティX.509 における CRL（Certificate Revocation List）に関する記述のうち，適切なものはどれか。
出典：令和元年度 秋期 情報処理安全確保支援士試験 午前Ⅱ 問6
- アPKI の利用者は，認証局の公開鍵が Web ブラウザに組み込まれていれば，CRL を参照しなくてもよい。
- イ認証局は，発行した全てのディジタル証明書の有効期限を CRL に記載する。
- ウ認証局は，発行したディジタル証明書のうち失効したものについては，シリアル番号を失効後1年間 CRL に記載するよう義務付けられている。
- エ認証局は，有効期限内のディジタル証明書のシリアル番号を CRL に記載することがある。
正解：エ
解説
CRL（Certificate Revocation List：証明書失効リスト）は，認証局が発行したディジタル証明書のうち，有効期限内であるにもかかわらず秘密鍵の漏えいなどの理由で失効させられた証明書について，そのシリアル番号と失効日時などを記載したリストです。認証局は，失効させた証明書がある場合に，その証明書のシリアル番号を CRL に記載します。なお，単に有効期限が切れただけの証明書は CRL への記載対象ではなく，また CRL への記載期間についても「失効後1年間」といった画一的な義務があるわけではありません。
選択肢ごとの解説
- ア誤り。認証局の公開鍵が Web ブラウザに組み込まれていることは，証明書の署名を検証できることを意味するにすぎず，証明書が失効しているかどうかは別途 CRL などで確認する必要があるため，CRL を参照しなくてもよいとはいえません。
- イ誤り。CRL に記載されるのは失効した証明書のシリアル番号であり，発行した全てのディジタル証明書の有効期限を記載するものではありません。
- ウ誤り。失効した証明書のシリアル番号を CRL に記載する期間について，失効後1年間という画一的な義務付けはありません。
- エ正しい。認証局は，有効期限内であるにもかかわらず失効させたディジタル証明書について，そのシリアル番号を CRL に記載することがあります。