証明書失効の仕組みと確認

デジタル証明書は有効期限が残っていても、秘密鍵の漏えいなどを理由に途中で無効とされることがある。この無効化を失効といい、利用者や通信相手が失効済みの証明書を信用しないようにするため、失効状態を公開して確認できる仕組みが必要になる。代表的な方式は、失効した証明書の一覧を配布するCRLと、個々の証明書の状態をオンラインで照会するOCSPであり、VAはその照会に応答する役割を担う。

失効が必要となる理由と対象

証明書は認証局が発行時点の情報に署名したものであり、原則として有効期限の終わりまでは有効として扱われる。しかし秘密鍵が漏えいした場合など、期限内であっても使い続けさせることが危険になる場面がある。そのため認証局は、期限内に失効させた証明書の情報を記録し、利用者が確認できる形で公開する。

失効情報に掲載されるのは、有効期限内に失効した証明書である。期限切れの証明書は期限の満了により利用できなくなったものであり、失効情報として掲載する対象とは区別して理解する必要がある。 また、失効した証明書を識別するために使われるのは、公開鍵そのものではなく、シリアル番号などの識別情報である。

CRLの役割と限界

CRLは認証局が発行する失効証明書のリストであり、利用者は一覧に確認対象の証明書のシリアル番号が含まれるかどうかで失効を判断する。CRLは失効した証明書を識別するためのものであり、発行したすべての証明書の有効期限を記録する台帳ではない。 失効した証明書をいつまでCRLに載せ続けるかについて、一律の期間を定めた義務はない。試験では固定の掲載期間を前提とした記述が誤りとして扱われることが多い。

ブラウザに認証局の公開鍵が組み込まれている場合でも、それだけで個々の証明書が失効していないとは確認できない。公開鍵は署名の検証に使われるものであり、失効状態の確認にはCRLやOCSPなどの仕組みを用いる。

OCSPによる個別の状態照会

OCSPは、利用者がOCSPレスポンダに特定の証明書の状態を問い合わせ、その応答を受け取る方式である。CRL全体を取得して照合する必要がなく、確認したい証明書の状態だけを得られる点が特徴である。