証明しょうめい書しょ失効しっこうリスト

証明しょうめい書しょ失効しっこうリスト（しょうめいしょしっこうリスト、英えい: Certificate Revocation List, CRL）は、公開こうかい鍵かぎ基盤きばん (PKI) における失効しっこうした（信頼しんらいできない）公開こうかい鍵かぎ証明しょうめい書しょのリスト（正確せいかくには、証明しょうめい書しょのシリアル番号ばんごうのリスト）である。

RFC 5280 で定義ていぎされている証明しょうめい書しょの失効しっこう理由りゆうは、以下いかの 2 つに大別たいべつできる。

Revoked（失効しっこう）: 例たとえば、認証にんしょう局きょく (CA) が不正ふせいに証明しょうめい書しょを発行はっこうしたことが判明はんめいした場合ばあいや、秘密ひみつ鍵かぎを紛失ふんしつしたと考かんがえられる場合ばあい、証明しょうめい書しょは不ふ可逆かぎゃくに失効しっこうとされる。また、証明しょうめい書しょの発行はっこうを受うけた者ものがCAの定さだめた規則きそくに反はんする行為こうい（文書ぶんしょ偽造ぎぞうなど）をしていると判明はんめいした場合ばあいも失効しっこうとされることがある。最もっとも多おおい失効しっこう理由りゆうは、秘密ひみつ鍵かぎが漏洩ろうえいしてしまい、認証にんしょうの役やくにたなくなった場合ばあいである^{[要よう出典しゅってん]}。
Hold（停止ていし）: 有効ゆうこうな状態じょうたいに戻もどすことができる。例たとえば、ユーザーが秘密ひみつ鍵かぎを紛失ふんしつしたか盗ぬすまれた可能かのう性せいがあると考かんがえたときに一時いちじ的てきに証明しょうめい書しょを停止ていしさせ、後日ごじつそれが間違まちがいで誰だれもその間あいだ秘密ひみつ鍵かぎにアクセスできなかったことが判わかれば、再度さいど証明しょうめい書しょを有効ゆうこうにできる。その場合ばあい、その証明しょうめい書しょのシリアル番号ばんごうはCRLから削除さくじょされることがある。

CRLは定期ていき的てきに生成せいせいされ、公開こうかいされる。また、証明しょうめい書しょが失効しっこうとなった場合ばあい、即座そくざにCRLを公開こうかいすることもできる。CRLはCAが適切てきせつな証明しょうめい書しょ付つきで発行はっこうする。たいていのCRLには次回じかい発行はっこう予定よてい日び時じがある。この日時にちじは発行はっこう日時にちじから 24 時間じかん以内いないであることが多おおい^{[要よう出典しゅってん]}。CRLはPKIを使つかったアプリケーションが証明しょうめい書しょの有効ゆうこう性せいを検証けんしょうするのに使つかわれる。

DNS偽装ぎそうやDoS攻撃こうげきを防ふせぐため、CRLには発行はっこう者しゃのデジタル署名しょめいが付与ふよされている。たいていのCRLの発行はっこう者しゃとCAは同一どういつで、同おなじ鍵かぎを共有きょうゆうするが、それぞれ別々べつべつで違ちがう鍵かぎを使つかうこともできる。CRLを使つかう前まえにその有効ゆうこう性せいを検証けんしょうするためには、CRL発行はっこう者しゃの証明しょうめい書しょが必要ひつようであり、それは通常つうじょう公共こうきょうのディレクトリ・サービスにある。

証明しょうめい書しょの失効しっこう日時にちじは、CRLには含ふくまれないこともある。期限切きげんぎれの証明しょうめい書しょは全すべて無効むこうであると見みなせるが、期限きげんが切きれていない証明しょうめい書しょが必かならずしも有効ゆうこうとは限かぎらない。実際じっさいの運用うんようにおいて証明しょうめい書しょや鍵かぎの管理かんりに間違まちがいがありうるため、CRLや他たの証明しょうめい書しょの有効ゆうこう性せい検証けんしょう技術ぎじゅつはPKIに必須ひっすである。注目ちゅうもくすべき事例じれいとして、マイクロソフトの証明しょうめい書しょが誤あやまってある個人こじんに発行はっこうされたことがある。その人物じんぶつは ActiveX Publisher Certificate システムを管理かんりしているCA（ベリサイン）にマイクロソフトを装よそおってアクセスすることに成功せいこうした。マイクロソフトは暗号あんごうサブシステムにパッチを当あて、その証明しょうめい書しょが使つかわれる前まえに状態じょうたいをチェックする必要ひつようがあると判断はんだんした。短期たんき的てき修正しゅうせいとして、関連かんれんするマイクロソフトのソフトウェア（主おもに Windows）にパッチが発行はっこうされ、問題もんだいの2つの証明しょうめい書しょが必かならず「失効しっこう」とされるようにした。

CRLが用意よういされる証明しょうめい書しょは、X.509/公開こうかい鍵かぎ証明しょうめい書しょであることが多おおい（最もっとも多おおく使つかわれているPKI手法しゅほうであるため）。

全すべてのCRLにまつわる問題もんだい[編集へんしゅう]

証明しょうめい書しょがどこにどのように保管ほかんされていても、その証明しょうめい書しょを使つかう際さいには必かならず検証けんしょうしなければならない。さもないと、失効しっこうした証明しょうめい書しょを誤あやまって有効ゆうこうとする可能かのう性せいがある。つまりPKIをうまく使つかうには、現在げんざいのCRLに必かならずアクセスしなければならない。このようなオンラインでの検証けんしょう必要ひつよう性せいは、共通きょうつう鍵かぎ暗号あんごうプロトコルを使つかったPKIの主おもな利点りてんである証明しょうめい書しょの「自己じこ認証にんしょう性せい」を無効むこうにする。ケルベロス認証にんしょうもオンラインサービス（ケルベロスの場合ばあいは鍵かぎ配布はいふセンタ）の存在そんざいに依存いぞんしている。

CRLが必要ひつようだということは、何者なにものか（あるいは何なんらかの組織そしき）が方針ほうしんを強制きょうせいする必要ひつようがあることを意味いみしており、運用うんよう方針ほうしんに反はんする証明しょうめい書しょを失効しっこうさせる必要ひつようがあることを意味いみしている。証明しょうめい書しょが間違まちがって撤回てっかいされるとしたら、大おおきな問題もんだいが生しょうじる。認証にんしょう局きょくは証明しょうめい書しょ発行はっこうの運用うんよう方針ほうしんを強制きょうせいすると同時どうじに、同おなじ運用うんよう方針ほうしんを解釈かいしゃくして失効しっこうの可否かひや時期じきを決定けっていする責任せきにんも負おう。

証明しょうめい書しょを受うけ入いれる前まえにCRL（または他たの証明しょうめい書しょ状態じょうたいサービス）を使つかう必要ひつようがあるということは、PKIに対たいするDoS攻撃こうげきの可能かのう性せいを生しょうじる。有効ゆうこうなCRLがないために証明しょうめい書しょを受うけ入いれられなかった場合ばあい、証明しょうめい書しょに依存いぞんしている全すべてのアクションができなくなる。このような問題もんだいはケルベロス認証にんしょうにもあり、現在げんざいの認証にんしょうトークンの検索けんさくに失敗しっぱいするとシステムにアクセスできなくなる。包括ほうかつ的てきな解決かいけつ策さくはまだ知しられていないが、様々さまざまな観点かんてんでのワークアラウンドが考案こうあんされており、その一部いちぶは実際じっさいに使つかわれている。

CRLの代替だいたい手段しゅだんとして、Online Certificate Status Protocol (OCSP) という証明しょうめい書しょ検証けんしょうプロトコルがある。OCSPはネットワークの帯域たいいき幅はばを浪費ろうひしないという利点りてんがあり、多数たすうの状態じょうたい検証けんしょうをほぼリアルタイムに実施じっしできる。

外部がいぶリンク[編集へんしゅう]

RFC 5280 - Internet X.509 Public Key Infrastructure Certificate

全すべてのCRLにまつわる問題もんだい[編集へんしゅう]

外部がいぶリンク[編集へんしゅう]

関連かんれん項目こうもく[編集へんしゅう]