MS_CTL

証明書信頼リスト (CTL)

• TOP > インフラストラクチャ > 証明書で発生する問題
  • 証明書信頼リスト (CTL)
  • 証明書失効リスト (CRL)

概要

• CTL : Certificate Trust List

• CTL は、信頼されるルート証明機関の定義済みリスト。

• CTL を GPO と PKI の展開と組み合わせて使用することで、
  ネットワーク上で構成されている既存の信頼されたルート証明機関を補うことができる。

補足: CTL と 証明書失効リスト (CRL)は目的が異なる。

	対象	意味
CTL	ルート CA 証明書の集合	「これらを信頼する」というホワイトリスト
CRL	失効した個々の証明書	「これらはもう有効ではない」というブラックリスト

CTL には「信頼するもの」を列挙する用途のほかに、 信頼を取り消す（Disallowed） 用途の CTL もある。

詳細

Windowsルート証明書の更新の方法

Windows OS には、CTL を毎日ダウンロードする自動更新機構が含まれている
（Microsoft Trusted Root Program）。

更新プログラム（による配布）

以前は、更新プログラムなどで「証明書信頼リスト (CTL)」が配布されていた。

ルート認証局リスト（による配布）

Windows 7 より「証明書信頼リスト (CTL)」の配布方式が変更された。

• 信頼されたルート証明機関ストアにすべてのルート CA 証明書をあらかじめ格納するのではなく、
• 必要になった時点で Windows Update から該当のルート CA 証明書を取得する
  （オンデマンド配布）方式になった。
• このため、ストアを見ても登録されていないルート CA の証明書が、
  実際には検証に成功する、という挙動になる。

補足: インターネットに接続できない閉域環境では、 このオンデマンド取得ができないため、 ルート証明書の検証に失敗したり、 失効確認のタイムアウトで待たされたりすることがある。 その場合は、以下のいずれかで対処する。

• certutil -generateSSTFromWU roots.sst でオンラインの端末から ルート証明書を取り出し、閉域環境へ配布する。
• グループ ポリシーで自動更新を無効化し、 必要なルート CA 証明書のみを明示的に配布する。

参考

• 証明書失効リスト (CRL)
• 証明書で発生する問題
• 信頼されたルート証明書プログラム - Microsoft Learn
• ルート証明書の配布の構成 - Microsoft Learn

---

Tags: セキュリティ, 暗号化, 証明書