平成28年度秋期 ネットワークスペシャリスト 午後Ⅰ 問2

判断に用いる条件の範囲をそろえる

この分野を学ぶときは、判断の根拠にする条件が、どこまで当てはまるのかに注目しましょう。ある場面での説明を全体へ広げず、示された条件の範囲にとどめて考えることが、情報を整理する手掛かりになります。

この問題で問われていること

検討の焦点は、考えている内容と、その根拠となる条件の範囲がそろっているかです。条件が明示されている部分と、自分で補っている部分を区別し、説明のない範囲まで判断を広げていないかを確かめてください。

視点

条件の範囲とは、ある説明や判断の前提が当てはまる範囲のことです。情報を整理するときは、示されている条件と自分の想定を分け、その条件が及ぶ範囲に沿って考えましょう。

確認ポイント

• 判断の根拠となる条件を確認したか
• 示された条件と自分の想定を区別したか
• 条件が及ぶ範囲を越えて判断していないか

解説

営業員のタブレット利用を題材に、無線LANの暗号化、LTE接続、VPNの認証と通信制限、プロキシによる利用者特定とログ取得を問う問題です。技術用語の知識に加え、本文と図から必要な通信経路を読み取り、不正利用や紛失時の影響を抑える設計を理解することが重要となる。

問題の全体像

E社は、顧客宅を訪問する営業員がタブレット端末で見積書作成や車両・作業員の手配を行えるよう、モバイルネットワークを導入する。端末は無線LANとLTEを介してVPN接続し、販売管理サーバやインターネットへの通信にはプロキシサーバを利用する。公式の出題趣旨では、この構成を成す各要素のセキュリティ脅威を想定し、対策と不正発生時の影響を最小限にする設計を考える能力を問うとしている。暗号化だけでなく、認証、通信先制限、紛失時の対応、利用者を特定できるログ取得までを関連付けて読むことが要点です。

設問1(ア)

「WPA2」「無線LANの暗号化アルゴリズム」という記述に着目する。ここで問われているのは認証方式ではなく、通信を暗号化するアルゴリズムの名称です。公式解答例では「AES」としている。次の空欄で問われる事前共有鍵による認証と区別して押さえる。

設問1(イ)

「あらかじめタブレット端末とモバイルWi-Fiルータに同じパスフレーズを設定する」という記述が手掛かりとなる。双方に共通の秘密を事前に設定する方式なので、公式解答例では「事前共有鍵」としている。空欄の後ろに「認証」があるため、答案には「事前共有鍵」と記す。

設問1(ウ)

「通信事業者が契約者を識別する情報が記録されている」「挿入されている」という記述に着目する。LTE回線の契約者を識別する情報を持ち、ルータに挿入するものが問われている。公式解答例では「SIMカード」としている。

設問1(エ)

利用者IDやパスワードとは別に設定し、「LTE回線からインターネットのようなネットワークへのゲートウェイの指定」を意味する情報が問われている。公式解答例では「APN」としている。契約者を識別するSIMカード、認証情報、接続先を指定するAPNの役割を区別する。

設問1(オ)

タブレット端末にはプライベートIPアドレス、モバイルWi-FiルータにはグローバルIPアドレスが割り当てられる。その間で行う変換について、本文は「IPアドレスとポート番号」と明記している。両方を変換する方式を問うため、公式解答例では「NAPT」としている。ポート番号も変換するという条件が判断の決め手となる。

設問1(カ)

HTTPSプロキシについて、端末からの要求に応じてHTTPSサーバへのTLSトンネルを中継し、その後のリクエストをそのまま転送すると説明されている。このトンネル中継を要求するHTTPメソッドが問われており、公式解答例では「CONNECT」としている。HTTPプロキシがリクエスト内容を基に新たなリクエストを開始する動作との違いを押さえる。

設問2(1)

求められているのは、SSIDを隠ぺいするステルス機能の「動作」です。公式解答例では「定期的に送信するビーコン信号を停止する。」としている。25字以内の答案では、定期的なビーコン信号の送信を停止することを示します。採点講評では、「無線ネットワークの一覧にSSIDが表示されない」など、クライアント側に現れる効果を書いた誤答が指摘されている。機器が何をするかを答えることが重要です。

設問2(2)

無線LANは電波を用いるため、通信を第三者に傍受される可能性がある。さらに、この問題で対象となるSSIDやMACアドレスは暗号化できず、傍受によって取得される点まで説明する必要がある。公式解答例では「SSIDやMACアドレスは暗号化できず，傍受されるから」としている。30字以内では「暗号化できない」と「傍受される」の二つを押さえる。採点講評でも、電波が傍受されることだけでなく、SSIDやMACアドレスが暗号化できないことを理解した答案が少なかったと指摘している。

設問2(3)

無線LAN側でDHCPによって配布されるアドレスと、VPN接続後に割り当てられるアドレスの関係に着目する。本文には、VPNサーバが端末にセグメント（E）からプライベートIPアドレスを割り当てるとある。無線LAN側のアドレス範囲がVPN側と重複すると、接続先を無線LAN側とVPN側のどちらへ送るべきか判断する際に支障が生じる。このため、公式解答例では「E」としている。

設問3(1)

端末やハードウェアトークンの紛失後は、拾得者によるVPN接続を防ぐ必要がある。設問は「VPN接続の利用者IDに着目して」と指定しているため、そのIDによる接続を停止する行動を答える。公式解答例では「VPN接続の利用者IDを停止する。」としている。20字以内では、対象がVPN接続の利用者IDであることと、それを停止することを簡潔に示す。

設問3(2)

本文には、VPN接続後の名前解決は内部DNSサーバを用い、販売管理サーバ及びインターネット上のサーバへの通信はプロキシサーバ経由で行うとある。このため、VPN接続から直接許可する必要がある宛先は、プロキシサーバと内部DNSサーバとなる。公式解答例では「プロキシサーバと内部DNSサーバへの通信」としている。25字以内の答案にもこの二つを記す。販売管理サーバを直接の許可先に含めると、プロキシ経由という本文の条件を外してしまう。採点講評でも、本文の条件を見落としたと思われる答案が指摘されている。

設問4(1)(機能名)

目的は通信ログを取得するだけでなく、そのログから各営業員を特定できるようにすることです。プロキシ利用時に利用者を認証し、その利用者情報をログに対応付ける機能が必要となる。公式解答例では「プロキシ認証」としており、10字以内の条件を満たす。採点講評でも、利用者認証による利用者情報を含めたログ取得の重要性が述べられている。

設問4(1)(設定内容)

認証機能があっても、全員が同じ利用者IDを使う設定では、ログから営業員個人を区別できない。各営業員と認証情報を対応付ける必要があるため、公式解答例では「営業員ごとに利用者IDを登録する。」としている。20字以内では、「営業員ごと」と「利用者IDの登録」を押さえる。機能名だけでなく、個人を識別できる設定まで説明することが求められる。

設問4(2)(①)

この構成では、プロキシはCONNECT要求を受けてTLSトンネルを中継し、その後のHTTPSリクエストはトンネル内をそのまま転送する。したがって、ログとして確認できる対象は、暗号化されたリクエストの詳細ではなく、CONNECT要求のRequest-URIに示された接続先情報となる。公式解答例の一つ目は「接続先ホスト名」であり、10字以内で記せる。

設問4(2)(②)

CONNECT要求では、接続先のホスト名に加えて、どのポートへ接続するかも指定する。プロキシはその情報を使ってトンネルを中継するため、ポート番号もログに取得できる。公式解答例の二つ目は「接続先ポート番号」であり、10字以内の条件を満たす。TLSトンネル内のリクエスト内容と、トンネル接続時に確認できる宛先情報を区別することが要点となる。

学習のポイント

機器の動作と利用者側に現れる効果を区別し、VPN経由の通信先、個人別の認証設定、CONNECT要求で確認できる情報を整理する。