CRLとは？
しーあーるえる
CRLとは失効したデジタル証明書のシリアル番号を一覧にしたリストで、認証局が発行してクライアントが証明書の有効性確認に参照します。
CRL（Certificate Revocation List：証明書失効リスト）とは、有効期限前に何らかの理由で無効化（失効）されたデジタル証明書のシリアル番号を一覧にしたリストです。認証局（CA）が署名して発行し、証明書の検証を行うクライアント（ブラウザ・OSなど）がこのリストを参照することで、提示された証明書が失効済みかどうかを判断します。
デジタル証明書は通常1〜2年の有効期限がありますが、秘密鍵の漏洩・組織変更・誤発行などの理由で有効期限前に無効にしなければならない場合があります。このような場合、証明書を「失効」させ、CRLに記録することでシステム全体に失効を通知します。
CRLには以下の情報が含まれます。
- 失効した証明書のシリアル番号
- 失効日時と失効理由（鍵漏洩・CA侵害・利用停止など）
- 次のCRL更新予定日時
- 認証局の電子署名
CRLの問題点として、ファイルサイズが大きくなりやすいこと、更新タイミングにラグがあること、クライアントがCRLを取得できない場合の処理（ソフトフェイル）などが挙げられます。これらの課題に対応するため、現在は証明書1枚ずつをリアルタイムに問い合わせできるOCSP（Online Certificate Status Protocol）が補完的に、あるいは代替として広く使われています。
使い方・例文
企業のVPNや社内システムで、秘密鍵が流出した社員のクライアント証明書を即座に無効化したい場合、その証明書のシリアル番号をCRLに追加して認証局から配布する運用で登場します。
この用語をシェア
最終更新: