【応用情報技術者試験-用語解説】証明書失効リストとは

CRL（Certificate Revocation List）は、証明書の失効情報をまとめた署名付きのリストです。証明書が有効期間内でも、秘密鍵の漏えいなどで利用を取りやめる場合があります。期限切れと失効を分けて理解しましょう。

有効期限と失効の違い

架空の証明書が12月末まで有効でも、10月に秘密鍵の漏えいが判明すれば、失効させることがあります。日付だけを確認して12月まで無条件に使えると判断することはできません。

失効理由はすべての項目に必ず入るわけではありません。シリアル番号は発行者と組み合わせて考え、別の認証局の同じ番号と取り違えないようにします。

まずCRLの署名、発行者、対象範囲、鮮度などを確認し、対象の証明書に適用できる失効情報かを判定します。古いリストや対象の異なるリストに番号がないことだけで、証明書全体の有効性が確認できたとはいえません。

証明書にCRL配布ポイントが記載される場合がありますが、すべてのクライアントがアクセスのたびに必ず直接取得するわけではありません。キャッシュ、別の失効確認方式、製品の検証ポリシーなどによって動作は変わります。

失効の処理、情報の公開、利用側の取得には時間差があります。CRLを取得できない場合の扱いも実装やポリシーによります。失効した瞬間に世界中の端末が同時に拒否する仕組みと考えないようにします。

署名付きの配布物と証明書の関係は、コードサイニング証明書の記事でも確認できます。

証明書の期限がまだ先で、古いCRLに番号が載っていません。それだけで有効だと判断できますか？

解答・解説を見る

できません。CRLの鮮度や適用範囲、署名などを確認し、証明書チェーンや用途など他の検証条件も満たす必要があります。

証明書を理解する前提として、公開鍵暗号・デジタル署名・ハッシュの役割を整理しましょう。無料noteのセキュリティ用語解説で、改ざん検知と暗号化の違いを復習できます。

資格・目的別のnote教材ナビから、関連教材も選べます。