令和3年度 秋期 情報処理安全確保支援士試験 午前Ⅱ 問題 問8

X.509におけるCRL（Certificate Revocation List：証明書失効リスト）は、有効期限前に何らかの理由で失効したディジタル証明書のシリアル番号を一覧にしたものです。認証局（CA）によって管理・発行されます。

CRLの目的は、秘密鍵の漏洩や証明書の記載事項の変更などにより、本来の有効期限内であっても信頼できなくなった証明書を無効化し、利用者に知らせることです。したがって、認証局は有効期限内のディジタル証明書であっても、失効させた場合はそのシリアル番号をCRLに記載します。

各選択肢の解説

• ア: 誤り。認証局の公開鍵がWebブラウザに組み込まれていても、提示された個々のディジタル証明書が有効期限前に失効している可能性があるため、利用者のWebブラウザはCRL（またはOCSPなどの代替手段）を参照して失効状態を確認する必要があります。
• イ: 誤り。RFC 5280などの標準において、CRLへの記載期間が「失効後1年間」と一律に義務付けられているわけではありません。通常、失効した証明書のシリアル番号は、その証明書の本来の有効期限が切れるまでCRLに記載され続けます（有効期限を過ぎれば、CRLを見なくても期限切れとして自動的に無効と判断されるため）。
• ウ: 誤り。CRLは「失効した」証明書のリストであり、発行した全てのディジタル証明書の情報を記載するものではありません。
• エ: 正解。上述の通り、秘密鍵の漏洩などの理由により、有効期限内であっても失効させたディジタル証明書のシリアル番号をCRLに記載します。