--- title: "CRLとは？失効証明書リストの役割【SG試験】" description: "CRLは、失効した電子証明書を一覧で確認し、期限内でも信頼できなくなった証明書を排除する仕組みです。有効期限、OCSP、CAの役割と混同せず、証明書検証時に何を確認するのかを整理します。秘密鍵漏えい時の対応判断にも関係します。失効確認を省くリスクも試験文から読み取れるようにします。" last_modified_at: "2026-06-24" canonical_url: "https://stemtazoo.github.io/sg/crl/" section: "sg" --- ## まず結論 - CRL（証明書失効リスト）は「有効期限内でも使ってはいけない証明書」を一覧にしたもの - SG試験では「有効期限」と「失効」の違いを理解できているかが問われる --- ## このページで切り分けること（先にここだけ） このページは、**CRLで失効証明書を確認する考え方**を中心に整理します。 - 有効期限：証明書の通常の期限切れ - 失効：期限前に証明書を無効化 - CRL：失効証明書だけをまとめた一覧 > 迷ったら、 > **「期限切れの話か、途中失効の話か」** を先に見ます。 ## SG試験で選択肢を切る判断軸（CRL編） - 「失効証明書の一覧を参照する」と書かれている → CRL - 「証明書ごとにオンライン照会する」と書かれている → OCSPの説明 - 「有効期限内なら失効確認は不要」と書かれている → 誤り（失効確認が必要） ## 関連記事との役割分担（混同防止） - CRLとOCSPの違いをまとめて見たい → [証明書失効（CRL / OCSP）とは？無効な証明書の見分け方【SG試験】](https://stemtazoo.github.io/sg/certificate-revocation-crl-ocsp/) - 証明書の基本を確認したい → [電子証明書とは？公開鍵の正当性を証明する仕組み【SG試験】](https://stemtazoo.github.io/sg/digital-certificate/) - 電子署名との関係を確認したい → [電子署名とは？本人証明と改ざん検知を整理【SG試験】](https://stemtazoo.github.io/sg/digital-signature/) --- ## 直感的な説明 CRLは「ブラックリスト」です。 たとえば社員証を考えてみてください。 有効期限がまだ残っていても、退職した人のカードは使えませんよね。 同じように、デジタル証明書も **まだ期限内でも“使ってはいけない状態”になることがある** → その情報をまとめたのがCRLです。 ## 定義・仕組み CRL（Certificate Revocation List）は、認証局（CA）が発行する **失効した証明書の一覧**です。 ### ポイント - 対象：失効した証明書のみ - 有効期限とは別管理 - 定期的に更新される ### なぜ必要か 証明書は通常、有効期限内であれば使えますが、次のような場合は危険です。 - 秘密鍵が漏えいした - 所有者情報に誤りがあった - 利用者が退職・異動した このような場合、**有効期限内でも強制的に無効（失効）にする**必要があります。 → その結果がCRLに掲載されます SG試験では **「有効期限が残っている＝安全」ではない** と理解しているかが重要です。 ## どんな場面で使う？ ### 使う場面 - Webサイトの証明書確認（HTTPS通信） - 社内システムの証明書認証 - 電子署名の検証 → 「この証明書はまだ使っていいのか？」を確認するために使う ### 業務での判断ポイント - 証明書は期限だけでなく「失効確認」が必要 - CRLやOCSPを使ってチェックする運用が重要 ### 使うと誤解しやすい場面 - 有効期限内だから安全と判断してしまう - CRLを見ずに証明書を信用してしまう ## よくある誤解・混同 ### ① 有効期限と失効の混同 - 有効期限：時間による期限切れ - 失効：途中で使えなくする措置 → SG試験ではここをよくひっかけてきます --- ### ② CRLはすべての証明書を載せる → 誤り CRLは **失効した証明書だけを載せる** --- ### ③ 公開鍵があればCRLは不要 → 誤り 公開鍵があっても **その証明書が失効している可能性があるため確認が必要** --- ### ④ 失効後は一定期間必ず登録される → 誤り 登録期間は固定ではなく、 **認証局のポリシーに依存する** --- ### SG試験での典型ひっかけ - 「有効期限内だからCRL不要」→誤り - 「すべての証明書を登録」→誤り - 「失効＝期限切れ」→誤り ## 確認問題（SG試験対策） 次のうち、CRLの説明として最も適切なものはどれか。 - ア. 有効期限が切れたすべての証明書を一覧化し、期限切れ後の削除処理に使う。 - イ. 有効期限内であっても使ってはいけない証明書を確認するため、失効した証明書を一覧化する。 - ウ. 発行済みのすべての証明書を一覧化し、公開鍵そのものを配布するために使う。 - エ. 証明書の暗号強度を点数化し、危険度の高い証明書から更新するために使う。
▶ クリックして答えと解説を見る（ここを開く） **正解：イ** ### 解説 - ア：有効期限切れではなく、有効期限内でも失効した証明書を扱う点が重要です。 - イ：正解です。CRLは「失効した証明書の一覧」で、期限とは別に確認します。 - ウ：すべての証明書や公開鍵を配布する一覧ではありません。 - エ：暗号強度や危険度を評価する仕組みではありません。 👉 判断ポイント CRLは「期限切れ」ではなく「途中で使ってはいけなくなった証明書」を確認する仕組みです。
## まとめ（試験直前用） - CRLは「失効した証明書の一覧」 - 有効期限内でも失効は起こる - 「期限内＝安全」は誤り - CRLは“ブラックリスト”と覚える - SG試験では「期限」と「失効の違い」を見抜く