令和3年度 秋期 情報処理安全確保支援士試験 午前Ⅱ 問8
テクノロジ／セキュリティX.509 における CRL（Certificate Revocation List）に関する記述のうち，適切なものはどれか。
出典：令和3年度 秋期 情報処理安全確保支援士試験 午前Ⅱ 問8
- アPKI の利用者の Web ブラウザは，認証局の公開鍵が Web ブラウザに組み込まれていれば，CRL を参照しなくてもよい。
- イRFC 5280 では，認証局は，発行したディジタル証明書のうち失効したものについては，シリアル番号を失効後 1 年間 CRL に記載するよう義務付けている。
- ウ認証局は，発行した全てのディジタル証明書の有効期限を CRL に記載する。
- エ認証局は，有効期限内のディジタル証明書のシリアル番号を CRL に記載することがある。
正解：エ
解説
X.509 における CRL（Certificate Revocation List：証明書失効リスト）は，認証局が発行したディジタル証明書のうち失効させたものについて，そのシリアル番号と失効日時などを一覧にしたものです。証明書は，有効期限が到来する前に鍵の漏えいなどの理由で失効させられることがあり，このような証明書は，本来の有効期限内であっても失効した時点から CRL に記載されます。したがって，認証局は，有効期限内のディジタル証明書のシリアル番号を CRL に記載することがあります。
選択肢ごとの解説
- ア誤り。認証局の公開鍵が Web ブラウザに組み込まれていることは，証明書の署名を検証できることを意味するにすぎず，証明書が失効しているかどうかは別問題です。公開鍵が組み込まれているからといって CRL の参照が不要になるわけではありません。
- イ誤り。RFC 5280 は，失効した証明書のシリアル番号を失効後一律に「1 年間」CRL に記載するよう義務付けているわけではありません。失効した証明書は，本来の有効期限が満了するまで CRL に記載され続けるのが基本的な考え方です。
- ウ誤り。CRL に記載されるのは失効した証明書のシリアル番号（と失効日時など）であり，認証局が発行した全ての証明書の有効期限を記載するものではありません。
- エ正しい。有効期限内であっても失効させられた証明書は存在し，認証局はそのようなディジタル証明書のシリアル番号を CRL に記載することがあります。