平成23年度秋期 情報処理安全確保支援士 午前Ⅱ 問4

自宅から社内ネットワークへ安全に繋ぐ「SSL-VPN」装置には、接続先のURL（FQDN）を証明するサーバー証明書が必要

リモートアクセス技術「SSL-VPN」の構築に関する問題だよ。社員が自宅のブラウザから会社の「SSL-VPN装置」へアクセスする時、ブラウザに「このサイトは安全ではありません（警告）」と表示されないようにする必要がある。そのためには、SSL-VPN装置に「接続先であるドメイン名（FQDN）」を正しく証明できる、信頼された認証局から発行された「サーバー証明書」を設定する必要があるんだ。

この問題で問われていること

機器のメーカーや共通鍵の仕様ではなく、「利用者がブラウザからアクセスする際の接続先ドメイン名（URL）と一致する、正当なサーバー証明書をSSL-VPN装置に組み込む必要がある」点を見抜こう。

証明書の確認項目

利用者は URL や IP アドレスで装置へ接続します。そのため、証明書側でも接続先名と一致していなければなりません。そうして、正しい SSL-VPN 装置に接続しているかを確認できます。

接続先 FQDN / IP\n証明書の記載名と一致\n-> 正しい装置と判断

確認ポイント

• 複数拠点で同じ証明書を使うと識別しにくくなります。
• メーカ提供の認証局や機種固有証明書であること自体は本質ではありません。
• 「装置をどの名前で検証するか」に合う証明書かを考えましょう。

正解

ア

出典

問題文と解答は IPA 公開の過去問題冊子・解答例を基にしています。

選択肢ア（正解）

正解だよ。SSL-VPN装置には、利用者がアクセスするFQDNやIPアドレスを含むディジタル証明書を組み込む必要があるんだ。ブラウザは証明書を見て“今アクセスしている住所と、証明書に書かれた住所が一致しているか”を確認するよ。たとえるなら、訪問先の表札と身分証の住所が一致していれば安心だけど、違っていたら“本当にここで合ってる？”と疑う、という仕組みだよ。

選択肢イ

不正解だよ。SSL-VPN装置に、メーカが用意した機種固有の証明書を必ず入れる必要はないんだ。証明書で大事なのは“この接続先は本物だよ”と確認できること。たとえるなら、家の表札は家ごとに正しい名前が書いてあればよくて、表札メーカー専用の名前札である必要はない、ということだよ。

選択肢ウ

不正解だよ。SSL-VPN装置の証明書は、必ず装置メーカの認証局を使う必要はないんだ。たとえるなら、身分証を作るときに“その機械を作った会社の窓口でしか発行できない”わけではなく、信頼できる公的な窓口や社内の認証局でも発行できる、という感じだよ。

選択肢エ

不正解だよ。複数拠点にSSL-VPN装置を置く場合でも、同じ証明書を使う必要はないんだ。むしろ拠点ごとのFQDNやIPアドレスに合った証明書を使うのが自然だよ。たとえるなら、同じ会社の支店でも、東京支店と大阪支店の看板や住所はそれぞれ違っていていい、という感じだね。