令和6年度 春期 情報処理安全確保支援士試験 午前II 問6
テクノロジセキュリティ技術デジタル署名・PKI
X.509におけるCRLに関する記述のうち，適切なものはどれか。
解答・解説
正解: エ. 認証局は，有効期限内のデジタル証明書が失効されたとき，そのシリアル番号をCRLに記載する。
正解は エ です。
CRL（Certificate Revocation List：証明書失効リスト） は、秘密鍵の漏洩や利用者の退職などの理由により、有効期限前に失効したデジタル証明書のシリアル番号を一覧にしたデータです。X.509は、この公開鍵証明書やCRLのフォーマットを定めた標準規格です。
各選択肢の解説
- ア：誤りです。失効した証明書は、その証明書の本来の有効期限が切れるまでCRLに記載され続けます。「失効後1年間」などの一律の義務付けはありません。
- イ：誤りです。ブラウザに認証局の公開鍵（ルート証明書）が組み込まれていても、提示されたサーバ証明書が有効期限前に失効している可能性があるため、CRLの参照やOCSPを利用して失効状態を確認する必要があります。
- ウ：誤りです。CRLには「有効期限内に失効したデジタル証明書」のみが記載されます。発行した全ての証明書が記載されるわけではありません。
- エ：適切です。認証局は、有効期限内のデジタル証明書が何らかの理由で失効した場合、そのシリアル番号をCRLに登録して公開します。