CRL／OCSP

CRLとは失効した証明書の一覧を配布する仕組み、OCSPとは証明書が有効かどうかをその都度問い合わせる仕組みのことです。 どちらも電子証明書の分野で長く使われてきました。

別表記：CRL／OCSP／証明書失効リスト／Certificate Revocation List／Online Certificate Status Protocol

CRLは一覧を配る方式です。 発行元が、失効させた証明書の一覧を定期的に公開します。確認する側はそれを取得して照合します。まとめて取得できるぶん問い合わせの回数は減りますが、更新の間隔だけ情報が古くなります。

OCSPは都度問い合わせる方式です。 確認したい証明書について、その場で発行元に状態を尋ねます。最新の状態が分かる一方、発行元のシステムが止まっていると確認できず、どの証明書について問い合わせたのかも発行元に伝わります。

Webサイトの安全性を確かめる仕組みや、電子署名の検証で使われています。端末上で提示する運転免許証の分野でも採用されています。

失効を確認する方式は複数あり、これらもその選択肢に含まれます。すでに電子証明書の運用を行っている組織であれば、馴染みのある仕組みをそのまま使えるという利点があります。

一方で、どの証明書について問い合わせたのかが発行元に伝わる点は、用途によっては避けたい性質になります。まとめて配布する方式が使われる背景には、この点もあります。

Verifiable Credentialsに関する記事

まずはお気軽に
お問い合わせください。