平成22年度春期 情報処理安全確保支援士 午前Ⅱ 問16

元のIPパケットを「宛先（IPヘッダー）ごと丸ごと暗号化」して、新しいカプセルに包んで送る「IPsec トンネルモード」

VPNなどで使われる「IPsec」の「トンネルモード」についての問題だよ。元のデータだけでなく、元の「送信元・宛先IPアドレス（IPヘッダー）」まで含めたパケット全体を丸ごと暗号化しちゃうんだ。そして、中継用に新しいIPヘッダー（VPN装置同士のIPアドレス）を外側にくっつけて送るよ。これによって、社内の通信がインターネット上の第三者にどこからどこへ流れているのかという経路情報まで完全に隠せるんだ！

この問題で問われていること

データだけを暗号化して元のIPヘッダーは露出させる「トランスポートモード」との違いを押さえて、「元のIPパケット全体を暗号化し、新たなIPヘッダーを付与して包み込む（カプセル化する）」トンネルモードの特徴を選び出そう。

トンネルモードの特徴

トランスポートモードは元の IP ヘッダを残しますが、トンネルモードは元のパケット全体を内包します。この違いが VPN 構成で重要です。

元の IP パケット全体をカプセル化\n-> 元のヘッダも保護

確認ポイント

• IKE は鍵交換用ですが、ポート 80 は使いません。
• HMAC-MD5 は認証用のハッシュであって、鍵交換プロトコルではありません。
• 元のヘッダまで含めるトンネルモードを選びます。

正解

ア

出典

問題文と解答は IPA 公開の過去問題冊子・解答例を基にしています。

選択肢ア（正解）

これは間違いだよ。IKEはIPsecで使う鍵を交換するためのプロトコル、つまり合鍵の作り方を安全に相談する係だよ。でも使うポート番号はHTTPの80番ではなく、通常UDPの500番だよ。

選択肢イ

これは間違いだよ。HMAC-MD5は鍵交換プロトコルではなく、メッセージが改ざんされていないか確認するためのチェック印みたいなものだよ。鍵交換にはIKEやDiffie-Hellmanのような仕組みを使うよ。

選択肢ウ

これは正解だよ。トンネルモードは、手紙を封筒ごとさらに大きな封筒に入れて送る感じなんだ。元のIPヘッダも含めた“元のパケット全体”をESPで暗号化して、その外側に新しいIPヘッダを付けて運ぶよ。

選択肢エ

これは間違いだよ。認証方式や暗号化方式を相談して決める窓口役はAHヘッダではなくIKEなんだ。AHは「この荷物は改ざんされてないよ」と確認するための仕組みで、暗号化はしないよ。