平成27年度春期 情報処理安全確保支援士 午前Ⅱ 問9

IPsecのトンネルモードは、IPパケットを丸ごと封筒に入れる方式だよ

トンネルモードでは、元のIPパケットを中身ごと新しいIPパケットで包み込むよ。たとえるなら、宛名付きの手紙をそのまま別の大きな封筒に入れて送るイメージ。だから、元のIPヘッダも含めて保護対象になるんだ。

この問題で問われていること

トランスポートモードは主にデータ部分を守るのに対して、トンネルモードは元のIPパケット全体を包んで守る、という違いを押さえよう。

IPsec Tunnel Mode

IPsec tunnel mode encapsulates the original IP packet inside a new one、 protecting the original IP header as well

encapsulate whole original packet\nprotect original IP header\nused between gateways

確認ポイント

• トンネルモードを選ぶ。
• 元の IP ヘッダも含めて保護する。
• IKE や AH/ESP の役割と混同しない。

正解

ウ

出典

問題文と解答は IPA 公開の過去問題冊子・解答例を基にしています。

選択肢ア

これは間違いだよ。IKEはIPsecで使う合鍵を相談して作るための仕組み、という点は合っているけど、使うポート番号が違うんだ。Webページを見る窓口の80番ではなく、通常はUDPの500番、NAT越えではUDPの4500番を使うよ。

選択肢イ

これは間違いだよ。HMAC-SHA1は暗号化して中身を隠す道具ではなく、『途中で書き換えられていないかな？』を確認する封印シールのようなものなんだ。暗号化アルゴリズムならAESなどが使われるよ。

選択肢ウ（正解）

これは正解だよ。トンネルモードでは、元のIPパケットを箱ごと別の大きな箱に入れて運ぶイメージなんだ。ESPを使う場合、元のIPヘッダも含めて中身として暗号化され、外側に配送用の新しいIPヘッダが付くよ。

選択肢エ

これは間違いだよ。通信前に『どの暗号を使う？合鍵はどう作る？』と相談する係はAHヘッダではなく、IKEという別の仕組みなんだ。AHは封筒に改ざんチェックの印を付ける係で、暗号化アルゴリズムを決める窓口ではないよ。