平成28年度秋期 ネットワークスペシャリスト 午前Ⅱ 問7

暗号化範囲を見極める整理術

IPsecのデータ形式を考えるときは、名称の暗記だけで決めず、通信のどの部分を保護対象として扱う設計なのかに注目し、構造と目的を順に照合して、全体の整合性を丁寧に確認する。

この問題で問われていること

一つの観点として、図や説明中で示されるデータの境界に注目してください。元の通信内容、付加情報、外側の情報を分けて捉え、どの境界が論点になっているかを確認します。

視点

方式名から結論を連想するのではなく、通信データを構成する部分と、それぞれが担う役割を切り分けて整理します。そのうえで、設問が問う保護範囲の境界にだけ焦点を当て、説明全体の整合性を確認します。

確認ポイント

• 保護対象として区切られているデータの境界を確認する
• 説明図や用語の位置関係を、データの構成要素ごとに整理する
• 設問が尋ねている範囲と、各情報の役割が対応しているかを見る

正解

ウ

解説

ESPトンネルモードでは、外側の新IPヘッダとESPヘッダは暗号化されず、その後に続くオリジナルIPヘッダからESPトレーラまでが暗号化されます。ESP認証データは暗号化範囲の外側に置かれます。

理由

図では、新IPヘッダ、ESPヘッダに続いてオリジナルIPヘッダ、TCPヘッダ、データ、ESPトレーラが並びます。ESPヘッダ自体は暗号化されず、暗号化対象はその後のオリジナルIPヘッダからESPトレーラまでです。ESPヘッダの主要なフィールドはSPIやシーケンス番号であり、暗号化範囲を示すこと自体が役割ではありません。

比較

ESP認証データは暗号化された範囲の後ろに置かれるため、オリジナルIPヘッダからESP認証データまでを一括して暗号化するわけではありません。また、新IPヘッダやESPヘッダを暗号化範囲に含める説明も、図の構成と一致しません。

選択肢ア

これは不正解だよ。ESPヘッダは暗号化対象の開始位置より前に置かれ、暗号化されません。したがって、ESPヘッダからESPトレーラまでという範囲は、暗号化されないESPヘッダを含んでしまい、図が示すESPトンネルモードの範囲と一致しません。

選択肢イ

これは不正解だよ。TCPヘッダは暗号化対象に含まれますが、その前にあるオリジナルIPヘッダも暗号化対象です。また、ESP認証データは暗号化範囲の後ろに置かれるため、TCPヘッダからESP認証データまでという指定は開始位置と終了位置の両方が適切ではありません。

選択肢ウ（正解）

これは正解だよ。ESPトンネルモードでは、新IPヘッダとESPヘッダの後にあるオリジナルIPヘッダから、TCPヘッダ、データ、ESPトレーラまでが暗号化されます。ESPヘッダ自体とESP認証データは暗号化範囲に含まれません。

選択肢エ

これは不正解だよ。新IPヘッダは外側のIPヘッダであり、ESPヘッダと同様に暗号化されません。また、ESP認証データも暗号化対象の終端ではありません。したがって、新IPヘッダからESP認証データまでという範囲は、図の暗号化範囲と一致しません。

学習のポイント

ESPヘッダの役割と、図に示された暗号化範囲の境界を正確に理解する。