VA（検証局）とは？

VA（検証局）の意味

証明書の有効性（特に失効状態）の問合せに応答する専門機関。CAから失効情報の提供を受け、OCSPレスポンダとして利用者からの照会に即時応答する。

VA（検証局）の具体例

社内VPNのクライアント証明書認証で、退職者の証明書を即日無効にしたい。CRLの配布が6時間おきで穴が空くため、VAへのOCSP問合せに切り替え、応答が得られないときは接続を拒否するhard-failをVPN装置に設定した。

VA（検証局）は試験でどう引っ掛けられる？

「VAが証明書を失効させる」は誤り。失効を決定・実行するのはCAで、VAはその失効情報を受け取って照会に応答するだけ。またOCSPの応答は good / revoked / unknown の3種で、unknownを「有効」と扱う実装は危険（hard-failにするか否かが設計上の論点）。

VA（検証局）と関連する用語

• OCSP
• CRL
• 認証局

VA（検証局）が出た過去問

• VA（Validation Authority）の役割はどれか。

  正解：ディジタル証明書の失効状態についての問合せに応答する。

  要点：VAは証明書の失効状態の問合せに応答する機関

  VA（Validation Authority）は、PKIにおいてディジタル証明書の失効状態の確認だけを専門に担う機関である。CAが発行するCRLを集約して保持し、利用者からのOCSPなどによる問合せに対して、その証明書が有効か失効済みかを即時に応答する。証明書の発行や本人確認を行うCA・RAとは役割が分かれている点を押さえたい。

  出典：令和1年度 秋期 情報処理安全確保支援士試験 am2 問3（IPA）

• VA (Validation Authority) の役割はどれか。

  正解：デジタル証明書の失効状態についての問合せに応答する。

  要点：VAは証明書の失効状態の照会に応答する検証専門の機関

  VAは、デジタル証明書が失効していないかという検証要求を受け付け、その結果を返す役割を担う。実際にはOCSPレスポンダとして機能し、CAから失効情報の提供を受けて最新の状態を回答する。検証処理をCAから分離することで、検証者ごとの負荷や運用をCA本体と切り離せる点に利点がある。

  出典：令和5年度 秋期 情報処理安全確保支援士試験 am2 問3（IPA）