令和7年度 秋期 応用情報技術者試験 午前 問39

• ア: RFC 5280 では、認証局は、発行したデジタル証明書のうち失効したものについては、シリアル番号を失効後1年間 CRL に記載するよう義務付けている。
  誤り。RFC 5280 は CRL の記載方法を定めていますが、失効後1年間の記載を義務付けているわけではありません。

• イ: Web サイトの利用者の Web ブラウザは、その Web サイトにサーバ証明書を発行した認証局の公開鍵が Web ブラウザに組み込まれていれば、CRL を参照しなくてもよい。
  誤り。公開鍵が組み込まれていても、証明書が失効している可能性があるため、CRL 参照は不要にはなりません。

• ウ: 認証局は、発行した全てのデジタル証明書の有効期限を CRL に記載する。
  誤り。CRL に記載するのは「失効した証明書のシリアル番号」であり、全ての証明書の有効期限ではありません。

• エ: 認証局は、有効期限内のデジタル証明書が失効されたとき、そのシリアル番号を CRL に記載する。
  正しい。CRL（Certification Revocation List）は失効した証明書のシリアル番号を記載するリストであり、適切な説明です。

答え

エ: 認証局は、有効期限内のデジタル証明書が失効されたとき、そのシリアル番号を CRL に記載する。