PKI（認証局・CRL・OCSP）

登場する役割

証明書を受け取った側は，証明書についている認証局の署名を，認証局の公開鍵で検証します。 その認証局の証明書も上位の認証局が署名している，とたどっていき，最後にブラウザや OS に最初から組み込まれているルート CAに行き着けば信頼できる，と判断します。

失効：期限前に無効になった証明書

秘密鍵が漏えいした，記載した情報が変わった，などの理由で，有効期限が来る前に証明書を無効にすることがあります。これが失効です。 失効したかどうかを確かめる方法は2つあります。

CRL に載るのは有効期限内に失効したものだけです。有効期限が切れた証明書は，載せなくても無効だと分かるので載りません。 また，載るのは証明書そのものではなくシリアル番号です。この2点を入れ替えた選択肢がよく出ます。

試験での問われ方

当サイトが収録している午前の問題のうち，CRL・OCSP・失効・認証局・PKI などの語が出てくるのは84問です。 3分の2が情報処理安全確保支援士の午前Ⅱです。型ごとに数えると次のとおりです。

• CRL（18問）。「CRL（Certificate Revocation List）に掲載されるものはどれか」（正解は「有効期限内に失効したディジタル証明書のシリアル番号」）， X.509 の CRL の記述（「認証局は，有効期限内のディジタル証明書のシリアル番号を CRL に記載することがある」など）， 「有効期限内のディジタル証明書のうち失効したディジタル証明書と失効した日時の対応が提示される」などです。
• OCSP（12問）。OCSP を利用する目的（「ディジタル証明書の失効情報を問い合わせる」，6問）， 失効をオンラインで確認するプロトコル（OCSP，5問），OCSP の問合せの中身（証明書のシリアル番号や発行者の識別名のハッシュ値を送る）です。
• RA・VA・CPS（8問）。RA は「本人確認を行い，デジタル証明書の発行申請の承認又は却下を行う」， VA は「ディジタル証明書の失効状態についての問合せに応答する」，CPS は「認証局の認証業務の運用などに関する詳細を規定した文書」です。
• ディジタル証明書を使う場面（21問）。TLS での証明書の役割（7問），署名を受け取った側ができること， 認証局が侵入されて不正な証明書が発行されたおそれがあるときの対処，EV SSL 証明書，SSL-VPN 装置に必要な証明書などです。
• このほか，FIPS 140（暗号モジュールのセキュリティ要求事項，7問），IEEE 802.1X（4問），CRYPTREC 暗号リスト（3問）などの選択肢に出てきます。

出題された過去問（84問）

リンク先の年度ページで，問題と解説を読めます。

関連する用語

ディジタル署名（デジタル署名）　共通鍵暗号と公開鍵暗号　TLS（SSL）