CRL／OCSPとは？

CRL／OCSPとは、有効期限内に失効させたディジタル証明書を、検証側が見分けるための仕組み。CRLは認証局が失効した証明書の一覧を定期的に発行して配布する方式、OCSPは1件ずつオンラインで失効状況を問い合わせる方式で、後者のほうが即時性が高い。

ITパスポートの過去問では1回出題されています。

しーあーるえるおーしーえすぴー

ITパスポートの頻出用語／テクノロジ系／別名：CRL、OCSP、CRLとOCSP、証明書の失効確認（CRL・OCSP）、証明書の失効確認、電子証明書の失効確認（CRL・OCSP）、電子証明書の失効確認

CRL／OCSPの意味

有効期限内に失効させたディジタル証明書を、検証側が見分けるための仕組み。CRLは認証局が失効した証明書の一覧を定期的に発行して配布する方式、OCSPは1件ずつオンラインで失効状況を問い合わせる方式で、後者のほうが即時性が高い。

秘密鍵が漏えいしたサーバ証明書は直ちに失効登録される。CRLは配布ファイルが肥大化し反映も遅いため、Webではサーバ側が応答を添付するOCSPステープリングを使い、確認の遅延と問合せ先へのアクセス履歴流出を減らす。

「有効期限が切れていない＝有効な証明書」ではない。失効確認を省くと漏えい済みの鍵に対応する証明書を信用してしまう。CRLを差分配布にしても、即時性ではOCSPに及ばない点が問われる。

PKIにおいて、ある条件に当てはまるデジタル証明書の情報が公開されているリストとしてCRLがある。このリストに掲載される条件として、適切なものはどれか。
正解：有効期間内に失効している。
要点：CRLは有効期間内に失効した証明書の一覧
CRL（証明書失効リスト）は、有効期間がまだ残っているにもかかわらず、秘密鍵の漏えいや所属の変更などの理由で無効とされた証明書を一覧にしたものです。有効期間が満了した証明書は期限で自然に無効となるため、原則として掲載対象になりません。
出典：令和7年度秋期 ITパスポート試験問87（IPA）

最終更新：2026-08-25／解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。