令和5年度春期 ネットワークスペシャリスト 午前Ⅱ 問9

暗号化範囲をパケット構造で捉える

IPsecの通信モードを比較する際は、名称の印象ではなく、パケットを構成する各部分を順に並べ、どこからどこまでが保護の対象として扱われるかという境界の位置に注目して整理すると、判断の根拠が明確になります。

この問題で問われていること

問われているのは、通信モードの違いによって、パケット内のどの構成要素が暗号化の範囲に含まれるかという点です。ヘッダとデータの並び順を意識し、範囲の始点と終点を自分で確かめながら検討することが求められます。

視点

暗号化範囲を考えるときは、まずパケットを先頭から順に構成要素へ分解します。次に、IPsecの処理で加わる要素と、元から存在する要素を区別して並べます。そのうえで、各モードが暗号化範囲の境界をどの要素の前後に置くかを図に書き出します。名称だけで覚えるより、構成要素の並びと境界の位置を対応づけて整理するほうが混同を防げます。

確認ポイント

• パケットを先頭から構成要素ごとに分解して並べられるか
• IPsecの処理で加わる要素と元から存在する要素を区別できているか
• 各モードで暗号化範囲の始点と終点がどの要素の間にあるかを自分で確かめたか

正解

ウ

解説

ESPトンネルモードでは、外側の新IPヘッダーで経路制御を行い、その内側にある元のIPパケット全体を保護する。暗号化範囲と認証データの位置を図の順序に沿って区別すると、該当する選択肢を判断できる。

理由

ESPトンネルモードでは、外側に新しいIPヘッダーを付け、その内側へ元のIPヘッダー、TCPヘッダー、データなどを収める。暗号化されるのは、この元のIPパケットにESPトレーラを加えた範囲です。新IPヘッダーは経路上で必要なため暗号化されない。

比較

ESPヘッダーは暗号化対象の前に置かれる識別情報であり、ESP認証データは暗号化された本体の後ろに置かれる認証用領域です。したがって、図では新IPヘッダーとESP認証データを除いた、元のIPパケットからESPトレーラまでが暗号化範囲になる。

選択肢ア

これは不正解だよ。ESPヘッダーは暗号化対象を示すための情報として暗号化範囲の前に置かれ、新IPヘッダーも外側で配送に使われる。一方、元のIPヘッダーを含む内部の通信内容が保護対象なので、ESPヘッダーから始めるこの範囲指定は図の構造と一致しない。

選択肢イ

これは不正解だよ。TCPヘッダーから始めると、元のIPパケットに含まれるオリジナルIPヘッダーを暗号化範囲から外してしまう。また、ESP認証データは暗号化された本体の後ろに置かれる認証用領域であり、暗号化範囲の終端には含めない。

選択肢ウ（正解）

これは正解だよ。ESPトンネルモードでは、新IPヘッダーの内側に元のIPパケットを丸ごと収めて保護する。したがって、オリジナルIPヘッダーからTCPヘッダー、データを経てESPトレーラまでが暗号化範囲となり、図の構成と一致する。

選択肢エ

これは不正解だよ。新IPヘッダーはトンネルの外側にある配送用情報なので、暗号化範囲の開始点にはならない。さらにESP認証データは暗号化後に付加される認証用領域であり、そこまでを暗号化するという指定もESPのデータ形式と合わない。

学習のポイント

ESPトンネルモードの暗号化範囲と認証データの位置を図で確認する。