証明書失効リスト（CRL）とOCSPとは？しょうめいしょしっこうりすととおーしーえすぴー
証明書失効リスト（CRL）とOCSPとは、有効期限内でも秘密鍵の漏えいなどで無効化された証明書を検証側が知るための仕組み。CRLは失効した証明書のシリアル番号一覧をCAが定期発行する方式、OCSPは1件ずつCAへ問い合わせる方式で、鮮度と通信負荷のトレードオフが論点になる。
最終更新：2026-10-06
ITサービスマネージャを最短で暗記・合格する →具体例
CRLを24時間ごとに配布する運用では、鍵漏えいから最大1日は失効が反映されない。OCSPならほぼ即時に反映できるが、応答サーバが落ちると検証が滞るため、サーバ側が事前取得した応答を添えて返すOCSPステープリングが使われる。
試験での引っ掛け
有効期限切れと失効は別の検証項目で、期限内＝有効ではない。失効確認を怠ると、漏えいした鍵の悪用を検知できない。またCRLは差分配布もあるが、規模が大きいほど肥大化して配布遅延を招く。さらに、確認に失敗したとき「有効とみなす」実装になっていると、失効チェックが事実上無効になる点も狙われる。
関連用語
出典・参考
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。