証明書失効リスト（CRL）とOCSPとは？しょうめいしょしっこうりすととおーしーえすぴー
証明書失効リスト（CRL）とOCSPとは、有効期限の残っている証明書を「もう信用しない」と検証側へ伝えるための失効確認の仕組みで、失効した証明書のシリアル番号一覧をCAが配布するCRLと、対象を1件ずつCAへ問い合わせるOCSPの2方式がある。配布間隔ぶん鮮度が落ちるCRLと、応答サーバへの依存が増えるOCSPのどちらを取るかが設計判断になる。
最終更新：2026-10-06
この語が出る過去問を解く →背景
公開鍵証明書は有効期間を本文に埋め込んだうえで署名されるため、いったん配ってしまうと発行側から取り消せない。紙の身分証なら回収できるが、証明書は世界中の検証側の手元にコピーが存在する。そこで「発行を取り消す」のではなく「無効になったものを別チャネルで告知する」という設計が採られた。応用情報ではTLSハンドシェイクの検証手順の一部として、有効期間・署名検証・失効確認の3つを分けて問われる。
具体例
Let's Encryptは証明書の有効期間を90日に抑え、さらにOCSP応答の提供を終了してCRLへ寄せる方針を公表している。有効期間そのものを短くすれば、失効告知が届く前に証明書が自然に切れるという考え方である。サーバ側ではnginxのssl_staplingのように、OCSP応答をサーバが事前に取得してハンドシェイクへ添える構成が一般的で、クライアントからCAへの問い合わせをまとめて消せる。
試験での引っ掛け
有効期限内であることと失効していないことは別の検証項目で、期限内＝有効ではない。失効確認に失敗したとき「有効とみなして通す」実装（ソフトフェイル）になっていると、確認そのものが事実上無効になる点が狙われる。CRLは差分配布があるとはいえ規模とともに肥大化し、OCSPは検証側がどのサイトを見たかがCAに伝わるという別の論点も持つ。
関連用語
出た過去問
出典：平成29年度 秋期 応用情報技術者試験 午前 問36（IPA）
認証局が発行するCRLに関する記述のうち、適切なものはどれか。
正解：CRLには、有効期限内のディジタル証明書のうち失効したディジタル証明書と失効した日時の対応が提示される。
要点：CRLは有効期限内に失効した証明書の一覧である
CRLは認証局が発行する証明書失効リストで、有効期限内であるにもかかわらず、秘密鍵の漏えいや所属変更などの理由で失効させたディジタル証明書のシリアル番号と、失効した日時が登録される。検証側はCRLを取得して、対象の証明書が失効していないかを確認する。
出典：令和2年度 10月試験 応用情報技術者試験 午前 問36（IPA）
認証局が発行するCRLに関する記述のうち、適切なものはどれか。
正解：CRLには、有効期限内のディジタル証明書のうち失効したディジタル証明書のシリアル番号と失効した日時の対応が提示される。
要点：CRLは有効期限内に失効した証明書の番号と日時の一覧
CRL（証明書失効リスト）は認証局が定期的に発行するリストで、有効期限内でありながら失効させられた証明書のシリアル番号と失効日時が載る。秘密鍵そのものは載らず、有効期限切れの証明書は自然に無効になるため登録の対象外である。
出典：令和2年度 10月試験 応用情報技術者試験 午前 問38（IPA）
OCSPクライアントとOCSPレスポンダとの通信に関する記述のうち、適切なものはどれか。
正解：ディジタル証明書のシリアル番号、証明書発行者の識別名（DN）のハッシュ値などをOCSPレスポンダに送信し、その応答でディジタル証明書の有効性を確認する。
要点：OCSPは証明書の識別情報を送り有効性を即時に確認する
OCSPは、証明書の有効性を認証局側のレスポンダにその都度問い合わせるプロトコルである。クライアントは証明書全体ではなく、シリアル番号や発行者名・発行者公開鍵のハッシュ値といった識別情報を送り、有効・失効・不明のいずれかの応答を受け取る。
出典：令和4年度 秋期 応用情報技術者試験 午前 問38（IPA）
デジタル証明書が失効しているかどうかをオンラインで確認するためのプロトコルはどれか。
正解：OCSP
要点：OCSPは証明書の失効状態をオンラインで問い合わせる
OCSP（Online Certificate Status Protocol）は、デジタル証明書の失効状態をレスポンダに問い合わせてリアルタイムに確認するプロトコルです。CRL（証明書失効リスト）を丸ごと取得する方式に比べ、確認が即時で通信量も小さく済みます。
出典：令和7年度 秋期 応用情報技術者試験 午前 問39（IPA）
CRLに関する記述のうち、適切なものはどれか。
正解：認証局は、有効期限内のデジタル証明書が失効されたとき、そのシリアル番号をCRLに記載する。
要点：CRLは有効期限内に失効した証明書のシリアル番号の一覧
CRL（証明書失効リスト）は、有効期限内であるにもかかわらず鍵の危殆化などの理由で失効させられた証明書のシリアル番号と失効日時を、認証局が署名して公開する一覧である。有効期限が切れた証明書はそもそも無効なのでCRLに載せ続ける必要はない。
出典・参考
公式シラバスの3 技術要素 ＞ 1. 情報セキュリティ ＞ (8) 情報セキュリティに関する技術に掲載されている用語です。
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。