はじめに
情報処理技術者試験（基本情報・応用情報・情報処理安全確保支援士など）の午前問題で頻出する「PKI（公開鍵基盤）の構成要素」と「証明書の失効・検証技術」。
「RAとCAってどっちが窓口でどっちが発行するんだっけ？」
「CRLとOCSPはどう違う？」
といった混同しやすいポイントを一瞬で整理し、本番の選択肢から秒で正解を抜くためのチートシートとしてまとめました。
1. PKI（公開鍵基盤）の役割分担
誰が何をしているのか、「パスポート発行の窓口と印刷工場」のイメージで整理すると一発で定着します。
| 略称 | 正式名称 | 役割 | たとえ・試験の急所 |
|---|---|---|---|
| RA | Registration Authority （登録機関） |
本人確認・申請の承認/却下 | パスポートセンターの**「受付・本人審査窓口」** |
| CA | Certificate Authority （認証局） |
証明書の発行・デジタル署名の付与・失効 | パスポートの**「印刷・公印を押す発行元」** |
| AA | Attribute Authority （属性認証局） |
属性証明書の発行 | 役職・権限（ロール）などを証明する機関 |
| Repository | リポジトリ | 証明書・失効リストの保管・公開 | 誰でも見に行ける公の保管庫・公開ディレクトリ（LDAP / Web） |
2. 証明書の失効・有効性確認技術
「この証明書、事故や退職で途中で無効化されていないか？」をどう確認するか。
| 用語 | 仕組み | メリット・デメリット |
|---|---|---|
|
CRL (Certificate Revocation List) |
無効になった証明書の一覧（ブラックリスト）をCAが定期配布 | リストが肥大化しやすく、定期更新のためリアルタイム性に欠ける |
|
OCSP (Online Certificate Status Protocol) |
OCSPレスポンダに「この証明書、今有効？」とオンラインでリアルタイム問い合わせ | リアルタイムだが、検証ごとの通信負荷や問い合わせ先へのプライバシー懸念がある |
| OCSPステープリング | Webサーバ側があらかじめ有効性検証結果を取り寄せてキャッシュし、ブラウザへ提示 | クライアント側の問い合わせ遅延をなくす現代の主流方式（ホチキス留めするイメージ） |
迷ったらこれ！試験会場で効く「一撃キーワード合言葉」
問題文の中にこれらの単語が見えたら、選択肢の正解は直感で抜けます。
- 「本人確認」「申請の受付・承認・却下」 $\rightarrow$ RA（登録機関）
- 「デジタル署名の付与」「証明書の発行・失効」 $\rightarrow$ CA（認証局）
- 「属性証明書の発行」「役職や所属の証明」 $\rightarrow$ AA（属性認証局）
- 「失効リストの定期配布」「サイズ肥大化の課題」 $\rightarrow$ CRL
- 「リアルタイムに失効確認を問い合わせ」 $\rightarrow$ OCSP