CRL ファイル

.crl 拡張子を持つファイルは、デジタル証明書技術および公開鍵基盤（PKI）で使用されます。

CRLファイルには何が含まれていますか？

.crl ファイルの内容は証明書失効リストです。これらは、インターネット上での安全な通信を確保するために、ウェブサーバーやPKIシステムによって使用されます。.crl ファイルに保存されている証明書失効リストは、失効した証明書を列挙したものです。例えば、証明書の作成に使用された秘密鍵の漏洩や、証明書保持者のステータス変更などが理由で失効します。.crl ファイルには、各証明書のシリアル番号、失効日、および発行者の識別名に関する情報が含まれています。.crl ファイルにリストされている証明書は、次の2つの状態のいずれかになります：

• 一時停止（復元の可能性あり）
• 失効（更新の可能性なし）

特定の証明書を .crl に追加するかどうかの決定は、その発行者である認証局（CA）によって行われます。.crl ファイルのおかげで、管理者は認証を失ったエンティティによって生成されたネットワークトラフィックを効果的に制限することができます。

CRLファイルはどのようにエンコードされていますか？

.crl ファイルは ASN.1 形式でエンコードされており、2つのエンコーディングが存在します：バイナリ形式の DER（Distinguished Encoding Rules）または、テキストベースの PEM（-----BEGIN X509 CRL----- と -----END X509 CRL----- のマーカーで囲まれた Base64 エンコードの DER）です。バイナリ形式の DER が最も一般的な形式です。内容を信頼する前に CRL のデジタル署名を検証するには、同じ CA から発行された .cer 証明書が必要です。

CRLの配布と代替手段

CA は、各エンドエンティティ証明書の CRL 配布点（CDP）拡張に記載されている URL で .crl ファイルを公開します。デルタ CRL は、前回のフル CRL 以降の変更のみをリストするため、完全なリストが数メガバイトに達する大規模な CA のダウンロードサイズを削減します。OCSP（Online Certificate Status Protocol）は、リスト全体をダウンロードすることなく、証明書ごとのリアルタイムな失効確認を可能にしますが、多くの企業や政府の PKI 環境では依然として .crl ファイルが必須となっています。