暗号技術・PKI・認証基盤 重要度:★★★出題: AM2・PM1
PKI (公開鍵基盤) と CRL / OCSP / OCSP Stapling
ぴーけーあい / しーあーるえる / おーしーえすぴー / Public Key Infrastructure / CRL / OCSP Stapling
デジタル証明書によって公開鍵の所有者真正性を保証する基盤（PKI）と、秘密鍵漏洩時等に証明書の失効状態をリアルタイム確認する仕組み。
3行速習ポイント
- CA（認証局）が公開鍵と所有者情報（コモンネーム/SAN）にCA秘密鍵でデジタル署名を付与して証明書を発行、RA（登録局）は本人審査を担当
- CRL（証明書失効リスト）は定期発行のためタイムラグとサイズ肥大化の課題があり、OCSPはリアルタイムに失効状態を応答
- OCSP StaplingはWebサーバ自身が事前にCAから取得したタイムスタンプ・署名付きOCSP応答をTLSハンドシェイク時に同梱して返却
図解
図PKI（公開鍵基盤）の役割分担と証明書失効確認（CRL / OCSP Stapling）
発行基盤
登録局 (RA) ＆ 認証局 (CA)
本人確認審査（RA）と証明書へのデジタル署名発行（CA）
RAが申請者の実在性・ドメイン所有権を審査し、CAが申請者の公開鍵とコモンネーム（SAN）にCA秘密鍵で署名してX.509証明書を発行
↕
失効管理
検証局 (VA) ：CRL と OCSP レスポンダ
秘密鍵漏洩・退職等に伴う有効期限内の証明書失効管理
定期発行される失効リスト（CRL）のタイムラグとサイズ肥大化を補うため、OCSPによりリアルタイムで失効ステータス（good/revoked）を応答
↕
高速失効検証
OCSP Stapling（Webサーバによる代理取得・同梱）
TLSハンドシェイク時にCA署名付きOCSP応答を同梱返却
Webサーバが事前にOCSPレスポンダから取得したタイムスタンプ・署名付き失効情報をクライアントへ渡し、CA負荷軽減と高速化・プライバシー保護を実現
💡 証明書の検証では「①CAデジタル署名の検証」「②有効期限の確認」「③失効状態の確認（CRL / OCSP）」の3点すべてが必須
概要と本質
公開鍵暗号では「その公開鍵が本当に通信相手本人のものか（中間者によってすり替えられていないか）」を検証するため、信頼できる第三者機関（CA）が発行するX.509デジタル証明書を用います。証明書の検証では、署名検証・有効期限確認・失効確認（CRL/OCSP）の3つすべてが不可欠です。
重要ポイント・コア概念
- RA（Registration Authority：登録局）：申請者の実在性・本人確認審査を行い、CAへ証明書発行を要求
- VA（Validation Authority：検証局）：OCSPレスポンダ等として証明書の失効状態照会に応答
- OCSP Staplingの利点：クライアントがCAへ直接通信する必要がなくなり、表示高速化・CA負荷軽減・クライアントの閲覧プライバシー保護を実現
午後記述・情報セキュリティ対策での攻略ポイント
午前IIでRA/CA/VAの役割やOCSP Staplingの仕組みが頻出。午後問題では「クライアント証明書紛失時の失効手続きとCRL/OCSP連携」「ルートCA証明書の安全な配布」が問われます。
午後記述で使える加点キーワード（クリックでコピー）
関連する重要用語
この用語が出題された過去問を解く（1分演習）
即時アウトプットで定着情報処理安全確保支援士 過去問演習で実践力を鍛える
