デジタル証明書の失効確認

証明書の失効確認は、有効期限の内にある証明書が、秘密鍵の漏えいなどで無効にされていないかを確認する処理です。

■ 試験で押さえるポイント

• CRLは、失効した証明書の一覧で、認証局が署名して公開します。

• OCSPは、個々の証明書の状態を、オンラインで問い合わせる仕組みです。

• OCSPステープリングでは、サーバがOCSPの応答をTLSの接続時に一緒に送ります。

■ 過去問での着眼点

失効を確認できないときに接続を続ける設定は、安全性より可用性を優先する判断です。

例: 秘密鍵が漏れた証明書を失効させ、クライアントが有効なOCSPのrevoked応答を確認した場合は、方針に従い接続を拒否します。

■ 応答の新鮮さ・取得失敗と更新

• CRLやOCSPの署名、発行者・対象のシリアル番号、thisUpdate・nextUpdate等を確認する。署名が正しくても古い応答なら、現在の状態を裏付けるとは限らない。

• OCSPのgood、revoked、unknownと、応答を取得できない状態を区別する。goodはその応答の範囲の失効状態であり、証明書の用途・名前・信頼チェーンの検証を省略できない。

• OCSPステープリングはサーバが署名済み応答を渡す方式で、応答の期限と更新が必要である。取得失敗時に続行するsoft-failと拒否するhard-failは、可用性と安全性への影響が異なる。

• 秘密鍵漏えい時は新鍵と証明書へ交換し、失効を申請する。キャッシュ、既存セッション、失効確認を行わないクライアントには、即時に反映されるとは限らない。