証明書の失効、CRL や OCSP の仕組み

SSL証明書の失効は、PKI（Public Key Infrastructure）エコシステムのセキュリティと完全性を維持する上で重要な役割を果たします。

SSL証明書の自然な有効期限前に無効化する必要がある場合、認証局（CA）は、SSL証明書がもはや信頼されるべきではないことをクライアントやブラウザに通知する信頼できるメカニズムを持たなければなりません。

このプロセスは、何ヶ月も何年も有効なSSL Certificateが危殆化したり、詐欺的なSSL Certificateからユーザーを保護するのに役立ちます。

証明書失効リスト（CRL）の理解

SSL Certificate Revocation List は、失効した SSL Certificate に関する情報を公開する伝統的な方法です。

CRL は基本的に、失効した SSL 証明書のうち、まだ有効期限を迎えていないすべての証明書のシリアルナンバーを含む、認証局によって署名されたタイムスタンプ付きのリストです。

ブラウザが SSL Certificate に遭遇した時、該当する CRL をダウンロードし確認することで、その SSL Certificate が失効したかどうかを確認することができます。

CRL は通常、24 時間ごと、あるいは緊急の失効が発生した場合など、一定の間隔で証明書機関により更新されます。各 CRL には、発行者名、発効日、次回更新時刻などの重要なメタデータが含まれています。

CRL は SSL Certificate のステータスをチェックするための包括的なソリューションを提供しますが、失効した SSL Certificate が時間の経過とともに蓄積されるため、非常に大きくなる可能性があります。このサイズの問題は、クライアントがリストをダウンロードして処理する必要がある場合に、帯域幅の使用量の増加や潜在的なパフォーマンスへの影響につながる可能性がある。

オンライン証明書ステータス・プロトコル(OCSP)

OCSPは、SSL Certificateのステータス情報をリアルタイムで提供することで、CRLの制限に対処するために開発されました。

OCSP では、失効リスト全体をダウンロードする代わりに、クライアントが証明書局から直接、特定の SSL 証明書の現在のステータスを問い合わせることができます。この方法は、CRL ベースのシステムに比べ、帯域幅の要件を大幅に削減し、失効ステータスをより迅速に更新する。

ブラウザがSSL Certificateで保護されたウェブサイトに接続すると、SSL Certificateのステータスを検証するためにOCSPリクエストを送ることができる。認証局が運営する OCSP レスポンダは、SSL 証明書が有効か、失効したか、不明かを示す署名付き応答を返します。

このプロセスは迅速かつ効率的に行われ、通常数キロバイトのデータ転送しか必要としない。

OCSPステープリングと最新の改良点

OCSPステープリングは、従来のOCSPモデルを大幅に強化するものである。OCSPステープリングでは、ウェブサーバーは定期的に認証局からOCSPレスポンスを取得し、このレスポンスをSSL証明書/TLSハンドシェイクに直接含めます（ステープリング）。

この方法によって、ブラウザが個別に OCSP クエリを実行する必要がなくなり、接続時間が短縮され、SSL 証明書の個々のステータスチェックを認証局が追跡することを防ぐことでプライバシーが向上します。

Trustico®が発行する最新のSSL証明書は、CRLとOCSPの両方の失効チェック方法をサポートしており、異なるクライアントシステム間で最大の互換性とセキュリティを保証します。

サーバー管理者は、OCSP ステープリングを使用するようにシステムを設定することができ、SSL Certificate の検証プロセスを堅牢に維持しながら、最適なパフォーマンスを提供します。

これらの失効チェックの仕組みの導入により、SSL Certificate のエコシステム全体のセキュリティが維持され、潜在的に危殆化した SSL Certificate からユーザを保護することができる。

一般的な失効シナリオ

SSL 証明書の失効は、通常、いくつかの一般的なシナリオで発生します。秘密鍵の危殆化は、暗号化された通信への不正アクセスの可能性を示すため、SSL Certificate を直ちに失効させる最も重大な理由の一つである。

その他のシナリオとしては、組織名の変更、サーバーの廃止、当初の SSL Certificate 要求に不正な情報が含まれていることが判明した場合などがあります。

Trustico® のような認証局は、PKI システムの完全性が損なわれないように、失効要求の処理に厳格な手順を維持しています。