令和6年度 春期 情報処理安全確保支援士 午前II 問6

各選択肢の解説

ア

RFC 5280 では、認証局は、発行したデジタル証明書のうち失効したものについては、シリアル番号を失効後1年間CRLに記載するよう義務付けている。

誤りです。RFC 5280に「失効後1年間掲載する」という義務はありません。規定されているのは、失効した証明書のエントリを、その証明書の有効期限が過ぎた後に定期発行されるCRLに少なくとも1回載るまで削除してはならない、という条件です。

イ

Web サイトの利用者の Web ブラウザは、その Web サイトにサーバ証明書を発行した認証局の公開鍵が Web ブラウザに組み込まれていれば、CRL を参照しなくてもよい。

誤りです。Webブラウザに組み込まれた認証局の公開鍵で確認できるのは、証明書の署名が正しいことだけです。発行後に鍵の漏えいなどで失効していないかは分からないため、CRLやOCSPで失効状態を確認する必要があります。

ウ

認証局は、発行した全てのデジタル証明書の有効期限を CRL に記載する。

誤りです。CRLの各エントリに載るのは、失効した証明書のシリアル番号と失効日時で、必要に応じて失効理由などのエントリ拡張が付きます。有効期限は各証明書のnotAfterフィールドに書かれており、発行済みの全証明書の有効期限をCRLに載せることはありません。CRLに載るのは失効した証明書だけです。

エ

認証局は、有効期限内のデジタル証明書が失効されたとき、そのシリアル番号を CRL に記載する。

正しいです。有効期限内の証明書が、秘密鍵の漏えいや登録内容の変更などで失効したとき、認証局はそのシリアル番号と失効日時をCRLに載せ、署名して公開します。利用者はCRLを参照すれば、その証明書が失効していると判断できます。