CRLとOCSPとは？しーあーるえるとおーしーえすぴー
CRLとOCSPとは、有効期限内の証明書を途中で無効にした事実を、検証する側が知るための2つの手段。CRLは認証局が失効済みシリアル番号の一覧をまとめて配る方式、OCSPは1枚ずつオンラインで問い合わせて即答を得る方式で、情報の鮮度と通信量のどちらを取るかが違う。
最終更新：2026-10-06
この語が出る過去問を解く →背景
証明書は期限まで有効という前提で配られるが、秘密鍵が漏れた瞬間にその前提は崩れる。取り消しを検証側全員へ伝える仕組みがなければ、盗んだ鍵で期限まで正規のサーバを名乗れてしまう。一覧を配れば通信量は減るが更新間隔ぶん古くなり、都度問い合わせれば新しい代わりに認証局が単一障害点になる、という調停の問題になる。
具体例
TLSサーバ証明書の検証では、サーバがあらかじめ取得した失効状態の応答をハンドシェイクに同梱するOCSPステープリングが使われる。クライアントが認証局へ個別に問い合わせずに済み、どのサイトを見たかが認証局へ伝わらない利点もある。
試験での引っ掛け
CRLは失効した証明書の一覧であって有効な証明書の名簿ではない。期限切れのものは載せる必要がなく、載せ続ければ一覧が際限なく膨らむ。弱点はCRLが肥大化と反映の遅れ、OCSPは問合せ先が落ちたときの扱いで、失効確認に失敗した接続を通すか止めるかは設計判断になる。
関連用語
出た過去問
出典：令和3年度 春期 システムアーキテクト試験 午前Ⅱ 問18（IPA）
ディジタル証明書が失効しているかどうかをオンラインで確認するためのプロトコルはどれか。
正解：OCSP
要点：証明書の失効をオンラインで確認するプロトコルがOCSP
OCSP（Online Certificate Status Protocol）は、ディジタル証明書が失効していないかを検証者がレスポンダへ問い合わせ、リアルタイムで状態を得るためのプロトコルである。定期的に配布されるCRL（証明書失効リスト）を丸ごと取得する方式に比べ、通信量が少なく最新の状態を確認できる。
出典：令和6年度 春期 システムアーキテクト試験 午前Ⅱ 問19（IPA）
デジタル証明書が失効しているかどうかをオンラインで確認するためのプロトコルはどれか。
正解：OCSP
要点：証明書の失効状態をその場で問い合わせるのがOCSP
OCSP（Online Certificate Status Protocol）は、検証したいデジタル証明書の状態を応答用サーバへ問い合わせ、有効・失効・不明のいずれかの回答をその場で得るプロトコルである。失効リスト（CRL）を丸ごと取得して調べる方式に比べ、通信量が少なく最新の状態を素早く確認できる。
出典・参考
高度試験 午前I（高度午前I 相当）のシラバスの3 技術要素 ＞ 1. 情報セキュリティ ＞ (8) 情報セキュリティに関する技術に掲載されている用語です。
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。