CRLとOCSPとは？

CRLとOCSPの意味

有効期限内でも秘密鍵の漏えいなどで無効にした証明書を確認する仕組みです。CRL（証明書失効リスト）はCAが失効済みのシリアル番号を一覧で公開する方式、OCSPは1件ずつオンラインでCAに問い合わせて即時に状態を得る方式です。

CRLとOCSPの具体例

サーバの秘密鍵が漏えいしたらCAへ失効を申請し、以後その証明書はCRLに載ります。ブラウザはCRLを定期取得して照合しますが、更新間隔の間は古い情報のままになるため、リアルタイム性が要るケースではOCSPで都度確認します。

CRLとOCSPは試験でどう引っ掛けられる？

CRLに載るのは「失効した証明書」であり、有効な証明書の一覧ではありません。また有効期限切れの証明書はCRLに載せる必要がない点、CRLは肥大化と反映遅延が弱点である点が問われます。

CRLとOCSPと関連する用語

• ディジタル証明書と認証局（CA）
• 公開鍵基盤（PKI）
• HTTPS／TLS

CRLとOCSPが出た過去問

• ディジタル証明書が失効しているかどうかをオンラインで確認するためのプロトコルはどれか。

  正解：OCSP

  要点：証明書の失効をオンラインで確認するプロトコルがOCSP

  OCSP（Online Certificate Status Protocol）は、ディジタル証明書が失効していないかを検証者がレスポンダへ問い合わせ、リアルタイムで状態を得るためのプロトコルである。定期的に配布されるCRL（証明書失効リスト）を丸ごと取得する方式に比べ、通信量が少なく最新の状態を確認できる。

  出典：令和3年度 春期 システムアーキテクト試験 am2 問18（IPA）

• デジタル証明書が失効しているかどうかをオンラインで確認するためのプロトコルはどれか。

  正解：OCSP

  要点：証明書の失効状態をその場で問い合わせるのがOCSP

  OCSP（Online Certificate Status Protocol）は、検証したいデジタル証明書の状態を応答用サーバへ問い合わせ、有効・失効・不明のいずれかの回答をその場で得るプロトコルである。失効リスト（CRL）を丸ごと取得して調べる方式に比べ、通信量が少なく最新の状態を素早く確認できる。

  出典：令和6年度 春期 システムアーキテクト試験 am2 問19（IPA）