セキュリティ・認証 / TLS/PKI
CRLとは
Certificate Revocation List。失効した証明書の一覧です。証明書の有効性確認に使います。
用語集内のカードを見る詳細な図解
CA失効証明書一覧を発行
CRL配布点HTTP/LDAPなどで公開
検証端末端末が取得して照合
接続/認証判断該当すれば拒否または警告
- nextUpdate切れに注意
- 配布点の到達性を確認
- 社内PKIではサイズ増加も見る
この記事で学べること
CRLを、定義だけで終わらせず、現場で出てくる場面、確認材料、見落としやすい点、関連語とのつながりまで順に確認できます。
- CRLを読むときの前提
- CRL配布点と更新期限を見る
- 社内PKIとVPNでの使いどころ
- サイズとキャッシュに注意する
- 変更証跡と引き継ぎ
実務メモ
配布点、nextUpdate、認証基盤の取得結果を追う
どこで効くか
CRLは社内PKI、VPN、無線LAN、端末証明書、管理者証明書の失効確認で効きます。失効済み証明書を止めるだけでなく、認証基盤が最新CRLを読めることが重要です。
残す証跡
証跡には対象証明書シリアル、issuer、CRL Distribution Point、CRLのthisUpdateとnextUpdate、取得元、認証基盤の取得ログ、キャッシュ状態を残します。
避けたい誤解
CAで失効しただけでは、VPNやRADIUSが最新CRLを読んだとは限りません。CRL期限切れ、配布点到達不可、issuer違いのCRL確認、サイズ増加による取得遅延を見落としやすいです。
まず確認すること
- 対象シリアルがCRLに載ったことを確認する
- 認証基盤のCRL取得結果を確認する
- CRL期限切れ時の復旧手順を残す
CRLを読むときの前提
CRL（Certificate Revocation List）は、CAが失効した証明書のシリアル番号を一覧として公開する仕組みです。クライアントや認証基盤は、証明書がCRLに載っていないかを確認して有効性を判断します。
実務では、CRL配布点、取得経路、更新頻度、nextUpdate、CRLサイズ、キャッシュ、閉域端末の到達性、OCSPとの使い分けを見ます。
証跡には、対象証明書シリアル、issuer、CRL Distribution Point、CRL発行時刻、nextUpdate、取得元、確認結果、確認時刻を残します。
CRL配布点と更新期限を見る
CRLは証明書内のCRL Distribution Pointに示されたURLから取得します。HTTP、LDAP、ファイル配布など方式は環境により異なり、閉域端末では到達できないことがあります。
CRLのnextUpdateを過ぎると、クライアントが古い失効リストとして扱い認証失敗になる場合があります。CA側のCRL発行ジョブと配布経路を監視します。
- CRL配布点URLへ到達できるか確認する。
- thisUpdateとnextUpdateを確認する。
- CAのCRL発行ジョブを監視する。
社内PKIとVPNでの使いどころ
CRLは社内PKI、VPN、端末証明書、無線LAN認証、管理者証明書などでよく使われます。失効した端末証明書が残ると、退職者端末や紛失端末のアクセスを止めきれません。
失効運用では、誰が失効申請し、どのCAで失効し、いつCRLへ反映され、どの認証基盤が新しいCRLを読んだかを追います。
- 失効申請からCRL反映までの時間を見る。
- VPNやRADIUSが最新CRLを取得したか確認する。
- 紛失端末や退職者証明書を台帳で照合する。
サイズとキャッシュに注意する
CRLは失効証明書が増えるほど大きくなります。古い端末やネットワークが遅い拠点では、取得失敗や認証遅延の原因になることがあります。
中間CAごとにCRLが分かれる場合もあり、対象証明書のissuerに対応したCRLを見ているか確認します。キャッシュされた古いCRLを見て判断しないことが重要です。
- CRLサイズと取得時間を確認する。
- issuerに対応したCRLを確認する。
- キャッシュ更新タイミングを確認する。
変更証跡と引き継ぎ
CRL対応では、対象証明書、失効理由、CRL配布点、CRL更新時刻、認証基盤の取得結果、影響範囲、暫定対応を残します。失効した事実だけでなく反映確認まで残します。
引き継ぎでは、PKI管理者、VPN/無線LAN担当、端末管理者、関連語としてOCSP、mTLS、証明書、CAを残すと確認しやすくなります。
- 対象シリアルがCRLに載ったことを確認する。
- 認証基盤が最新CRLを読んだことを記録する。
- CRL期限切れ時の復旧手順を残す。
関連語
同じ主要カテゴリの用語
セキュリティ・認証の学習順
同じ主要カテゴリの用語をまとめて確認できます。現在の用語を起点に、前後の用語へ進むと文脈を保ったまま読み進められます。
FirewallACLTLS証明書WAFCSPJWTワイルドカードマスクHTTPSHSTSXFOCookieSet-CookieSecureHttpOnlySameSiteCORSACAOSRICVSSBase Scoresecurity.txtSANSNIIPsecMFAIAMSSOOAuthIdPSAMLOIDCTokenClaim認証認可認証要素パスワードレス認証FIDO2WebAuthnパスキーTOTPリカバリーコードセッションセッションIDIDトークンリフレッシュトークンスコープリダイレクトURIPKCEクライアントIDクライアントシークレットフェデレーションSCIMJITプロビジョニングABACサービスアカウントブレークグラスアカウントAPIキーシークレットローテーションXSSCSRFSQLインジェクションSIEMEDRIDS/IPS入力検証インシデントOrigin脆弱性CVECWEパッチ管理リスクフォレンジックIOC封じ込めトリアージRBAC条件付きアクセス特権アクセス管理棚卸し権限昇格PKICACSR秘密鍵公開鍵OCSPCRLmTLSSASEZTNASWGMDMSBOMEPSSKEVゼロトラスト中間証明書証明書チェーンACMECTログJWKSstatenonceHMACOCSP stapling