CRLに関する備忘録。
CRLとCDPについておさらい
CRL(証明書失効リスト)とは、文字通り「失効したデジタル証明書のリスト」であり、失効済み証明書のシリアル番号が列挙されているものである。
CRLは一般的にWebサーバーやLDAPサーバー等に普通のファイルとして置かれており、デジタル証明書の検証をするシステム(認証サーバー等)はそのCRLをダウンロードして利用する。
下記は、とあるサーバーからダウンロードしたCRLの内容をOpenSSLで確認した例である。crlのファイル名はxxx.crlとする。(下記はDER形式の場合。PEMの場合は"-inform PEM"とする)
$ openssl crl -in xxx.crl -inform DER -text
Certificate Revocation List (CRL):
Version 2 (0x1)
Signature Algorithm: sha1WithRSAEncryption
Issuer: /C=JP/O=HogeHoge, Ltd./CN=HogeHoge Public CA
Last Update: Apr 3 10:00:00 2013 GMT
Next Update: Apr 17 10:00:00 2013 GMT
CRL extensions:
X509v3 CRL Number:
12345
X509v3 Authority Key Identifier:
keyid:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx
Revoked Certificates:
Serial Number: 1234
Revocation Date: Dec 12 00:00:01 2012 GMT
CRL entry extensions:
Invalidity Date:
Dec 12 00:00:00 2012 GMT
Serial Number: 1357
Revocation Date: Dec 12 00:00:01 2012 GMT
CRL entry extensions:
Invalidity Date:
Dec 12 00:00:00 2012 GMT
(snip)