令和6年度 春期 情報処理安全確保支援士試験 午前Ⅱ 問6
テクノロジ／セキュリティX.509 における CRL に関する記述のうち，適切なものはどれか。
出典：令和6年度 春期 情報処理安全確保支援士試験 午前Ⅱ 問6
- アRFC 5280 では，認証局は，発行したデジタル証明書のうち失効したものについては，シリアル番号を失効後1年間 CRL に記載するよう義務付けている。
- イWeb サイトの利用者の Web ブラウザは，その Web サイトにサーバ証明書を発行した認証局の公開鍵が Web ブラウザに組み込まれていれば，CRL を参照しなくてもよい。
- ウ認証局は，発行した全てのデジタル証明書の有効期限を CRL に記載する。
- エ認証局は，有効期限内のデジタル証明書が失効されたとき，そのシリアル番号を CRL に記載する。
正解：エ
解説
CRL（Certificate Revocation List，証明書失効リスト）は，認証局が発行したデジタル証明書のうち，有効期限内に失効となったものについて，そのシリアル番号を一覧にしたものです。有効期限が切れて自然に無効となった証明書はそもそも失効リストに記載する必要がないため，CRL には有効期限内に失効された証明書のシリアル番号のみが記載されます。
選択肢ごとの解説
- ア誤り。RFC 5280 は失効後1年間の記載を義務付けているわけではありません。失効した証明書は有効期限が切れるまで CRL に記載されます。
- イ誤り。Web ブラウザに認証局の公開鍵が組み込まれていても，証明書が失効しているかどうかは CRL や OCSP などで別途確認する必要があります。
- ウ誤り。CRL に記載されるのは失効した証明書のシリアル番号であり，発行した全ての証明書の有効期限を記載するものではありません。
- エ正しい。認証局は，有効期限内のデジタル証明書が失効されたとき，そのシリアル番号を CRL に記載します。