CRL

読み：しーあーるえる　／　英語表記：Certificate Revocation List

• セキュリティ

有効期間が残っていても、使用を取り消されたデジタル証明書を知らせるリストである。失効した証明書のシリアル番号などを含み、発行者がデジタル署名を付けて公開する。

イマシルちゃんの解説

証明書には期限があるけれど、期限内でも信用できなくなることがあるよ。
たとえば証明書の持ち主の秘密鍵が盗まれると、別の人が本人になりすませるおそれがあるんだ。
そこで、使うのを取り消した証明書を知らせる一覧がCRLだよ。
一覧には、その証明書を特定するシリアル番号などを載せるの。
受け取る側は一覧の署名を確かめ、使おうとしている証明書が含まれていないか調べるよ。
ただし古い一覧では最近の取り消しが分からないため、更新時刻も確かめる必要があるんだ。
期限の確認と合わせて、今も使ってよい証明書か判断するための仕組みだよ。

より深い解説

有効期限より前に信用を取り消す

CRLはCertificate Revocation Listの略で、証明書失効リストともいう。秘密鍵の漏えい、所属の変更、誤った発行などで、証明書を期限前に使えなくする処理が失効である。期限切れは証明書に記載した期間の終了であり、失効とは別に確認する。

X.509証明書のシリアル番号は、同じ発行者が発行する証明書の中で一意になる。異なる認証局が同じ番号を使うことはあるため、CRLがどの発行者の、どの範囲の証明書を対象とするかを確かめる必要がある。番号だけを別のCAのリストへ照合してはいけない。

リストに記載する情報

CRLは公開鍵の一覧でも、すべての有効な証明書の一覧でもない。証明書の持ち主の秘密鍵を載せることもない。

確認の流れと更新の意味

検証者は、証明書のCRL配布点などから対象のリストを取得し、発行者の署名・対象範囲・鮮度を検証する。そのうえで、証明書の番号が失効したものとして掲載されていないか調べる。

一度取得したリストを保存しておけば、その都度ダウンロードせずに複数の証明書を調べられる。ただし、更新を待つ間に新しい失効が生じることはある。リストを取得できなかった場合も、掲載されていないことを確認できた場合とは異なる。接続を拒否するか、別の状態確認方法を使うかは、利用側の方針に従う。

個別の証明書の状態を応答で受け取る方式はOCSPである。CRLとOCSPは失効を調べるための異なる方法であり、どちらも証明書の署名・接続先の名前・有効期間などの検証を置き換えるものではない。

参考資料

• RFC 5280：証明書とCRLのプロファイル
• RFC 6960：OCSPによる証明書状態の確認

実際の試験ではここに出る！全1問

ネットワークスペシャリスト

午後Ⅱ

• R4春 問1

この用語が出てくる記事

• デジタル証明書
• PKI（公開鍵基盤）