OCSPとは？

OCSPの意味

証明書が失効しているかどうかを、その場でオンラインに問い合わせて確認するためのプロトコル。CRL全体をダウンロードする方式より、個別の証明書の状態を素早く確認できる。

OCSPの具体例

ブラウザがHTTPS接続時に、サーバ証明書の状態をOCSPレスポンダに問い合わせ、失効していないことをリアルタイムで確認する。

OCSPは試験でどう引っ掛けられる？

CRLは失効リスト全体を取得して照合するのに対し、OCSPは個別の証明書についてその場で問い合わせる点が異なる。

OCSPと関連する用語

• CRL（証明書失効リスト）
• 認証局（CA）

OCSPが出た過去問

• PKI（公開鍵基盤）における認証局が果たす役割はどれか。

  正解：失効したディジタル証明書の一覧を発行する。

  要点：認証局は証明書の発行と失効リストの公開を担う

  認証局（CA）は、公開鍵が確かに本人のものであることを保証するディジタル証明書を発行し、また鍵の危殆化や失効事由が生じた証明書を失効リスト（CRL）として公開する役割を担う。利用者は証明書を検証する際にCRLやOCSPで失効状況を確認する必要があり、この失効管理までを含めてPKIの信頼が成り立っている。暗号化や署名検証そのものを行うのは利用者側である。

  出典：平成28年度 秋期 情報セキュリティマネジメント試験 午前 問29（IPA）

• 何らかの理由で有効期間中に失効したディジタル証明書の一覧を示すデータはどれか。

  正解：CRL

  要点：CRLは有効期間中に失効した証明書の一覧

  CRL（証明書失効リスト）は、秘密鍵の危殆化や記載事項の変更などにより有効期間の途中で失効させた証明書のシリアル番号一覧で、認証局が発行し定期的に更新する。証明書を検証する側は、有効期間の確認に加えてCRLやOCSPで失効の有無を確かめる必要がある。

  出典：平成29年度 春期 情報セキュリティマネジメント試験 午前 問25（IPA）