令和6年度春期 ネットワークスペシャリスト 午前Ⅱ 問21

動作する層と保護範囲の関係を考える

セキュリティプロトコルの特徴は、どの層で動作するかによって、保護の及ぶ範囲や、利用者・アプリケーションとの関わり方が変わります。層の位置づけを手掛かりに、示された内容がそれと整合するかを自分で確かめましょう。

この問題で問われていること

ここで問われているのは、特定の層で働く仕組みであることが、どのような性質に結び付くかという観点です。層の上下関係と、保護対象となるデータの範囲とを対応づけて考える姿勢が求められます。

視点

階層モデルでは、各層は上位層から受け取ったデータを自分の単位で扱い、下位層へ渡します。ある層に組み込まれた保護の仕組みを考えるときは、次の二点を切り分けて整理すると、内容の妥当性を判断しやすくなります。一つ目は、その層がどの範囲のデータを扱えるかです。二つ目は、上下の層が保護の存在を意識する必要があるかです。他の層で動作するプロトコルと比べる際も、同じ物差しを当てはめると整理しやすくなります。

確認ポイント

• 対象の仕組みが階層モデルのどこに位置するかを、自分の言葉で説明できるか
• その位置で扱うデータの範囲と、上位層のデータとの関係を切り分けられているか
• 判断する内容が層の位置づけと矛盾しないかを、一つずつ照らし合わせたか

正解

ア

解説

ESPのトンネルモードは、元のIPヘッダーを含むパケット全体を暗号化対象にできる。一方、IKEの用途、HMAC-SHA1の役割、AHとESPの関係を正しく区別する必要がある。

理由

ESPのトンネルモードでは、エンドツーエンド通信で使う元のIPヘッダーを含む元パケット全体を暗号化し、その外側に新しいIPヘッダーを付けて転送できる。したがって、アの記述が適切です。

比較

IKEは鍵交換や通信条件の交渉を担うプロトコルであり、AHやESPのヘッダーが両者のアルゴリズムを決めるわけではありません。また、HMAC-SHA1は暗号化アルゴリズムではなく、認証や完全性確認に関係する。

選択肢ア（正解）

これは正解だよ。ESPのトンネルモードでは、暗号化対象の元データに、エンドツーエンド通信で用いる元のIPヘッダーを含めることができる。元パケット全体を保護し、転送用の新しいIPヘッダーを外側に付ける構成なので、この説明はIPsecの動作と一致する。

選択肢イ

これは不正解だよ。IKEがIPsecの鍵交換に用いられるプロトコルであるという前半は適切だが、ポート番号80が使用されるという後半が誤りである。鍵交換を担う役割と、Web通信で一般的なポート番号を混同しているため、選択肢全体としては不適切である。

選択肢ウ

これは不正解だよ。HMAC-SHA1は、入力データが改ざんされていないことや送信者の認証を確認するための仕組みに関係する。データ内容を読み取れないようにする暗号化アルゴリズムそのものではないため、「暗号化アルゴリズムとして使用される」とする説明が誤っている。

選択肢エ

これは不正解だよ。認証方式や暗号化アルゴリズムなどの通信条件を両者で交渉して決めるのはIKEの役割であり、AHヘッダーでもESPヘッダーでもない。さらに、AHは認証や完全性確認を担うが暗号化は行わないため、記述の根拠が誤っている。

学習のポイント

トンネルモードの保護範囲と、IKE・AH・ESPの役割の違いを整理する。