平成21年度春期 情報処理安全確保支援士 午前Ⅱ 問2

SSL-VPN装置には、自分の「名前（接続先）」が正しく書いてある証明書が必要

SSL-VPNの接続装置には、自分が本物の接続先であることを証明するために、接続URL（FQDN）やIPアドレスと一致する名前が記載された「デジタル証明書」が必要だよ。これがないと、利用者のパソコンが「接続先が偽物かも！」と警告を出してしまうんだ。

この問題で問われていること

メーカー製であることや機能の多さではなく、TLS通信の基本として「接続先の名前（FQDN）と証明書の名義が一致しているか」が最も重要であることを思い出そう。

TLS で見る装置認証

SSL-VPN 装置は TLS のサーバとして接続相手に証明書を提示します。重要なのは、その証明書が接続先の FQDN や IP アドレスと対応していて、利用者が正しい装置だと確認できることです。

利用者PC -> 接続先装置の証明書を受領\n証明書の名義を確認 -> 正しい装置か確認

確認ポイント

• 装置メーカが用意した証明書であること自体は本質ではありません。
• 複数拠点で同じ証明書を共有すると、識別しにくくなるので自然ではありません。
• TLS で確かめたいのは「その装置が名乗っている接続先本人か」です。

正解

ア

出典

問題文と解答は IPA 公開の過去問題冊子・解答例を基にしています。

選択肢ア（正解）

これは正解だよ。SSL-VPN装置は、利用者から見ると社内ネットワークへの入口なので、「この入口は本物だよ」と証明できる必要があるんだ。受付にちゃんと名前入りの身分証を置いて、偽の受付や泥棒のなりすましと見分けられるようにする、というイメージだよ。

選択肢イ

これは不正解だよ。SSL-VPN装置に入れる証明書は、装置メーカが最初から用意した機種固有のものに限られないんだ。家の鍵を作るときに、ドアメーカーが最初から入れた鍵しか使えないわけではなく、運用する組織が適切な証明書を用意して設定できる、という感じだよ。

選択肢ウ

これは不正解だよ。SSL-VPN装置の証明書は、必ず装置メーカの認証局を使う必要はないんだ。お店の身分証明を作るときに、店のメーカー専用の窓口でしか発行できないわけじゃなく、信頼された認証局なら使える、というイメージだよ。

選択肢エ

これは不正解だよ。同じドメイン内に複数のSSL-VPN装置があっても、必ず同じ証明書を使う必要はないんだ。支店ごとに別の受付があるなら、それぞれの受付名に合った名札を付ければよく、全員が同じ名札でなければならないわけじゃないよ。