CRL／OCSPとは？

CRL／OCSPとは、有効期限内に失効させたディジタル証明書を、検証側が見分けるための仕組み。CRLは認証局が失効した証明書の一覧を定期的に発行して配布する方式、OCSPは1件ずつオンラインで失効状況を問い合わせる方式で、後者のほうが即時性が高い。

高度試験・午前I（全区分共通）の過去問では1回出題されています。

しーあーるえるおーしーえすぴー

高度試験・午前I（全区分共通）の頻出用語／午前I（全区分共通）／別名：CRL、OCSP、CRLとOCSP、証明書の失効確認（CRL・OCSP）、証明書の失効確認、電子証明書の失効確認（CRL・OCSP）、電子証明書の失効確認

CRL／OCSPの意味

有効期限内に失効させたディジタル証明書を、検証側が見分けるための仕組み。CRLは認証局が失効した証明書の一覧を定期的に発行して配布する方式、OCSPは1件ずつオンラインで失効状況を問い合わせる方式で、後者のほうが即時性が高い。

秘密鍵が漏えいしたサーバ証明書は直ちに失効登録される。CRLは配布ファイルが肥大化し反映も遅いため、Webではサーバ側が応答を添付するOCSPステープリングを使い、確認の遅延と問合せ先へのアクセス履歴流出を減らす。

「有効期限が切れていない＝有効な証明書」ではない。失効確認を省くと漏えい済みの鍵に対応する証明書を信用してしまう。CRLを差分配布にしても、即時性ではOCSPに及ばない点が問われる。

デジタル証明書が失効しているかどうかをオンラインで確認するためのプロトコルはどれか。
正解：OCSP
要点：証明書の失効確認をオンラインで行うのはOCSP
OCSP（Online Certificate Status Protocol）は、デジタル証明書が失効していないかを検証者がレスポンダへ問い合わせ、オンラインでリアルタイムに確認するためのプロトコルである。CRL（証明書失効リスト）を丸ごと取得する方式に比べ、通信量が小さく最新の状態を確認しやすい。
出典：令和4年度秋期高度共通_午前I試験 am1 問12（IPA）

最終更新：2026-08-25／解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。