検証機関

公開鍵基盤において、検証機関（VA ）は、 X.509標準およびRFC 5280（69ページ）に記載されているメカニズムに従って、デジタル証明書の有効性または失効ステータスを検証するために使用されるサービスを提供するエンティティ です。^[1]

この目的で使用される主な方法は、HTTPまたはLDAPプロトコル経由でダウンロードするための証明書失効リスト(CRL)をホストすることです。証明書の検証に必要なネットワーク トラフィックの量を減らすために、代わりにOCSPプロトコルを使用することもできます。

検証機関は、ネットワークベースの CRL 要求に応答できますが、証明書を発行または取り消す機能はありません。CRLに含まれる証明書を発行した 証明機関からの最新の CRL 情報で、検証機関を継続的に更新する必要があります。

これは潜在的に労働集約的なプロセスですが、専用の検証機関を使用することで、オフラインのルート証明機関によって発行された証明書を動的に検証できます。ルート CA 自体はネットワーク トラフィックで利用できなくなりますが、それによって発行された証明書は、検証機関と上記のプロトコルを介していつでも検証できます。

ルート CA が大量の証明書を発行 (または失効) することはまれであるため、検証機関によってホストされる CRL を維持するための継続的な管理オーバーヘッドは通常最小限です。