OCSPとは？

OCSPの意味

特定の証明書の失効状態を、OCSPレスポンダにオンラインで問い合わせて即時に確認するプロトコル。CRLのように一覧全体を取得する必要がなく、時間差も小さい。

OCSPの具体例

OCSPステープリングでは、サーバがあらかじめ取得した署名付き応答をTLSハンドシェイク時に添付するため、クライアントがレスポンダへ接続する必要がなくなり、遅延とプライバシー上の懸念が減る。

OCSPは試験でどう引っ掛けられる？

OCSPは「証明書の内容を検証する」のではなく「失効しているかを問い合わせる」プロトコル。

OCSPと関連する用語

• CRL
• VA
• TLS

OCSPが出た過去問

• PKIを構成するOCSPを利用する目的はどれか。

  正解：ディジタル証明書の失効情報を問い合わせる。

  要点：OCSPは証明書の失効状態をオンラインで確認する

  OCSPは、証明書が失効していないかをレスポンダにオンラインで問い合わせるプロトコルです。CRL全体を取得して調べる方式に比べ、必要な証明書の状態だけを即時に確認でき、失効情報の鮮度も高くなります。

  出典：平成28年度 春期 情報処理安全確保支援士試験 am2 問3（IPA）

• PKIを構成するOCSPを利用する目的はどれか。

  正解：ディジタル証明書の失効情報を問い合わせる。

  要点：OCSPは証明書の失効状態をオンラインで即時照会する

  OCSPは、証明書の失効状態をオンラインでリアルタイムに問い合わせるためのプロトコルである。クライアントが対象証明書の識別情報をOCSPレスポンダに送ると、レスポンダはgood／revoked／unknownの状態を署名付きで返す。CRLを丸ごとダウンロードする方式に比べ、通信量が小さく最新性が高いという利点がある。

  出典：平成29年度 秋期 情報処理安全確保支援士試験 am2 問2（IPA）

• VA（Validation Authority）の役割はどれか。

  正解：ディジタル証明書の失効状態についての問合せに応答する。

  要点：VAは証明書の失効状態の問合せに応答する機関

  VA（Validation Authority）は、PKIにおいてディジタル証明書の失効状態の確認だけを専門に担う機関である。CAが発行するCRLを集約して保持し、利用者からのOCSPなどによる問合せに対して、その証明書が有効か失効済みかを即時に応答する。証明書の発行や本人確認を行うCA・RAとは役割が分かれている点を押さえたい。

  出典：令和1年度 秋期 情報処理安全確保支援士試験 am2 問3（IPA）

• PKIを構成するOCSPを利用する目的はどれか。

  正解：ディジタル証明書の失効情報を問い合わせる。

  要点：OCSPは証明書の失効状態をオンラインで照会する

  OCSPは、ディジタル証明書が失効していないかを個別に問い合わせるためのプロトコルである。CRLをまとめて取得して検索する方式に比べ、必要な証明書の状態だけをOCSPレスポンダに尋ねて即座に応答を得られるため、通信量が小さく、より新しい失効情報を反映できる。

  出典：令和1年度 春期 情報処理安全確保支援士試験 am2 問2（IPA）

• PKIを構成するOCSPを利用する目的はどれか。

  正解：ディジタル証明書の失効情報を問い合わせる。

  要点：OCSPは証明書の失効状態をオンライン照会する仕組み

  OCSP（Online Certificate Status Protocol）は、デジタル証明書が失効していないかをOCSPレスポンダにオンラインで問い合わせるためのプロトコルである。従来のCRL（証明書失効リスト）は配布サイズが大きく反映も遅れがちだったのに対し、OCSPは対象の証明書1枚の状態だけをその都度確認できる。返る値はgood／revoked／unknownであり、鍵の再発行や証明書更新の進捗管理は扱わない。

  出典：令和3年度 春期 情報処理安全確保支援士試験 am2 問2（IPA）