ネットワークセキュリティのOCSPとは？仕組み・CRLとの違い・ステープリングまで徹底解説

OCSP（オンライン証明書状態プロトコル）とは？

ネットワークやサーバーの安全性を維持するうえで欠かせないのが、SSL/TLS証明書の「失効状態」を確認する仕組みです。OCSP（Online Certificate Status Protocol／オンライン証明書状態プロトコル）は、X.509形式のデジタル証明書が失効していないかをインターネット経由でリアルタイムに照会できるプロトコルで、RFC 6960として定められたインターネット標準です。

証明書には有効期限が設定されており、期限が切れる前に更新が必要です。さらに、秘密鍵の漏洩などのトラブルが起きた場合は、期限前であっても証明書を失効させる必要があります。OCSPを活用すれば、認証局（CA）が運用するOCSPレスポンダに問い合わせるだけで、個々の証明書の現在の状態を即座に把握できます。

OCSPの目的と役割

OCSPの最大の目的は、「ある証明書が今この時点で有効かどうか」を手軽に確認することです。従来のCRL方式では失効リスト全体を取得・照合する必要がありましたが、OCSPなら対象の証明書だけをピンポイントで問い合わせられるため、通信量と処理時間を大幅に削減できます。

CRLとの違いを比較

CRL（Certificate Revocation List）とは

CRLは、認証局（CA）が発行する「失効した証明書のシリアル番号一覧」です。検証側はこのリストをダウンロードし、対象の証明書が載っていないかを確認することで、失効状態をチェックします。

OCSPとの主な違い

OCSP（旧RFC 2560、現RFC 6960）は、クライアントとOCSPレスポンダの間でやり取りを行い、必要な証明書の状態だけをその都度取得します。つまり、CRLは「リスト全体のダウンロード」、OCSPは「個別のリアルタイム照会」という違いがあります。

Webブラウザは日常的に多数の認証局の証明書と接するため、サイトを1つ確認するだけでもCRL全体をダウンロードするのは非効率です。このため、ブラウザによる失効確認では、軽量で即時性の高いOCSPが広く採用されています。

OCSPの動作の流れ

1. ユーザー（クライアント）がOCSPを使って証明書の有効性を問い合わせます。
2. OCSPレスポンダが、対象の証明書を信頼できる認証局の情報と照合します。
3. 照合結果として「good（有効）」「revoked（失効済み）」「unknown（不明）」のいずれかのレスポンスが返されます。

OCSPステープリングとは？

OCSPステープリング（正式名称：Certificate Status Request拡張）は、サーバー側があらかじめOCSPレスポンスを取得しておき、TLS/SSLハンドシェイクの際にデジタル時刻情報とともにクライアントへ「ホチキス留め」のように添付して送る仕組みです。これにより、証明書情報の検証をより効率的に処理できます。

OCSPステープリングのメリット

• プライバシーの保護：クライアントが直接CAに接続しないため、CA側はどのサイトを誰が訪れたのかを知ることができません。OCSPリクエストはWebサイト自身が送信するだけで済みます。
• 表示速度の向上：ブラウザとCAの間の往復通信が不要になるため、ページの読み込みが速くなり、訪問者に快適さと高いセキュリティの両方を提供できます。

OCSPは安全なのか？プライバシー面の注意点

OCSP自体は、認証局（CA）がSSL/TLS証明書の状態を判定するために使われる、信頼性の高いインターネット標準プロトコルです。ただし、通常のOCSPではクライアントがCAに直接問い合わせるため、閲覧履歴の一部がCAに伝わる可能性があります。OCSPステープリングを利用すれば、こうしたプライバシー上の懸念を回避できます。

OCSP URLの調べ方

組織が利用しているOCSPサーバーのURLは、証明書の内容から確認できます。証明書の詳細画面で「Authority Information Access（AIA）」の項目を選択すると、発行元CAのOCSPレスポンダのURLが表示されます。なお、OCSP URLは「https://」で始まる必要があり、サポートされているのはHTTPプロトコルのみです。

ocsp.digicert.comとは？

「ocsp.digicert.com」は、大手認証局であるDigiCertが運用するOCSPレスポンダ（エンドポイント）です。OCSPもCRLも、どちらもSSL証明書がオンライン上で失効していないかを確認するために作られた仕組みであり、OCSPはCRLの代替として開発されました。DigiCertの証明書を利用している場合、失効確認はこのURL宛てに行われます。

補足：「OCSP」と「OSCP」資格は別物なので注意

セキュリティ業界には、OCSPと名前がよく似ているOSCP（Offensive Security Certified Professional）という資格があります。両者はまったくの別物なので、混同しないようにしましょう。

OSCPとはどんな資格？

OSCPは、Offensive Security社が提供する実践型（ハンズオン）の攻撃系情報セキュリティ資格です。試験は約24時間のペネトレーションテストと、その後に提出するレポート作成の2部構成となっています。

CEHとの違い

CEHはペネトレーションテスト全般の幅広く堅実な基礎を築くのに適した資格です。一方、OSCPは強力なオフェンシブ（攻撃）ハッカーに必要な実践的な技術スキルに特化しています。どちらの資格も取得すれば即時の年収アップが期待でき、長期的なキャリア形成にも有利に働きます。

OSCPへの評価と年収事情

OSCPはペネトレーションテスト業界で高く評価されており、優れたテスターに求められる創造性とスキルを見極めるよう設計された試験です。難易度が高いため万人向けではありませんが、それだけにコミュニティ内での信頼性は非常に厚いといえます。

報酬面では、インド市場のある調査によると、OSCP保有者の平均年収は約220万ルピー（日本円でおよそ400万円前後）とされ、多くは140万〜350万ルピーの範囲に収まっています。上位10%の層では320万ルピーを超える水準に達します（数値は為替相場や勤務地により変動します）。