正解：イ
各選択肢の解説
ア有効期限が過ぎた証明書を集めて、期限切れの事実を後から確認できるようにした一覧。
誤り。有効期限による無効化は証明書に書かれた期限を見れば分かるので、 一覧にして配る必要がありません。CRLが扱うのは、期限がまだ残っているのに 信用できなくなった証明書です。期限切れか、期限前の失効かで切り分けます。
イ有効期限が残っていても無効にされた証明書を、認証局がまとめて公開する一覧。
正解。秘密鍵の漏えいや記載内容の変更が起きると、期限が残っていてもその証明書は 使わせてはいけません。認証局が失効させた証明書を一覧にして公開し、検証する側が それを見て「無効」と判断します。
ウ認証局が発行した証明書を、申請した組織の名前と発行日の順に記録しておく一覧。
誤り。これは発行の記録に当たる考え方で、載せる対象がCRLとは逆です。CRLに 並ぶのは発行済みの証明書すべてではなく、そのうち失効させたものだけです。 全部の記録か、無効にしたものだけの記録かで見分けられます。
エ証明書が有効かどうかを1件ずつ認証局に問い合わせて確かめる、通信の手順。
誤り。これは失効を都度問い合わせる別の仕組み（OCSP）の説明です。確かめたい ことはCRLと同じですが、CRLは失効した証明書の一覧をまとめて配る方式、 問い合わせ型は1件ずつ聞く方式という違いがあります。
理解を深めるために
期限内でも「無効」にしたいときがある
デジタル証明書には有効期限があります。期限が来れば自動的に使えなくなるので、 そこは何もしなくても済みます。問題は期限が残っているのに信用できなくなった 場合です。たとえば次のようなときです。
- サーバの秘密鍵が外部に漏れたおそれがある
- 証明書に書いた組織名やドメイン名が実態と合わなくなった
- 誤った申請内容で発行してしまった
このとき認証局は証明書を失効させ、失効させたものを一覧にして公開します。 これが**証明書失効リスト（CRL）**です。検証する側はCRLを見て、期限内でも その証明書を受け付けないようにします。
期限切れと失効は別の話
| きっかけ | 確かめ方 | |
|---|---|---|
| 有効期限切れ | 期限の到来 | 証明書に書かれた期限を見る |
| 失効 | 鍵の漏えいなど、期限前の事情 | CRLなどで無効かどうかを調べる |
つまり「期限を過ぎたからCRLに載る」のではありません。載るのは、期限前に 無効と決められた証明書です。
混同しやすいものとの違い
| 用語 | 役割 |
|---|---|
| 証明書失効リスト（CRL） | 期限前に無効にされた証明書の一覧を、認証局が公開する |
| 有効期限 | 証明書自体に書かれ、到来すれば自動的に使えなくなる |
| 認証局（CA） | 証明書を発行し、必要になれば失効させて公開する組織 |
| ルート証明書 | 検証の起点として機器に組み込まれている証明書 |
試験では「期限切れの話か、期限前に無効にする話か」で切ると迷いません。 CRLは後者です。