平成30年度秋期 ネットワークスペシャリスト 午前Ⅱ 問19

機能と構成要素の関係を整理

IPsecを学ぶときは、個別の用語を暗記する前に、何を守るための仕組みか、どの段階で働くか、他の要素とどう役割分担するかを軸に整理しましょう。問題文の表現と照らして比較すると理解しやすくなります。

この問題で問われていること

この問題では、各説明を読んだときに、それが保護の目的、処理の位置づけ、構成要素間の役割分担のどの観点を述べているかに注目し、用語の印象だけで判断しないことが重要です。

視点

個々の説明を単独で覚えるのではなく、全体の目的に対して各要素がどの役割を担う位置づけなのかを整理し、説明の対象と役割の対応関係を確認しましょう。

確認ポイント

• 説明が示す対象と、その対象に期待される役割を分けて読む
• 全体の目的と個別要素の役割が同じ観点で説明されているか確認する
• 用語の印象ではなく、説明中の役割分担に注目して照合する

正解

ア

解説

正しいのはアです。ESPのトンネルモードでは、元のIPパケット全体を保護対象にできるため、元のIPヘッダを含めて暗号化できます。他の選択肢は、ポート番号、HMACの用途、または認証方式や暗号化方式を決める主体を取り違えています。

理由

ESPのトンネルモードは、元のIPパケットを新しいIPヘッダでカプセル化し、元のIPヘッダを含む内部パケットを暗号化できます。したがって、エンドツーエンド通信で使う元のIPヘッダも暗号化対象になります。

比較

IKEは鍵交換だけでなく、IPsecで利用する認証方式や暗号化方式などのセキュリティパラメータを交渉します。AHやESPのヘッダ自体が方式を決定するわけではなく、HMAC-SHA1は暗号化ではなく認証や完全性確認に用いられる方式です。

選択肢ア（正解）

これは正解だよ。ESPのトンネルモードでは、元のIPパケット全体を新しいIPヘッダで包み、元のIPヘッダを含む内部のIPパケットを暗号化できる。したがって、暗号化区間ではエンドツーエンド通信に用いる元のIPヘッダも保護対象となる。

選択肢イ

これは不正解だよ。IKEはIPsecで鍵交換やセキュリティパラメータの交渉に使われるプロトコルだが、ポート番号80ではない。ポート番号80は通常HTTPで利用される番号であり、IKEの説明として組み合わせが誤っている。

選択肢ウ

これは不正解だよ。HMAC-SHA1は、メッセージ認証や通信内容の完全性確認に用いる方式であり、通信データそのものを暗号化するアルゴリズムではない。暗号化アルゴリズムと認証用のハッシュベース方式を取り違えている。

選択肢エ

これは不正解だよ。ホスト間で利用する認証方式や暗号化アルゴリズムなどの取り決めを担うのは、AHヘッダやESPヘッダではなくIKEである。さらに、AHは認証や完全性確認を目的とし、暗号化を行う仕組みではない。

学習のポイント

ESP、AH、IKEの役割分担と、トンネルモードで暗号化される範囲を整理する。