平成28年度秋期 情報処理安全確保支援士 午前Ⅱ 問15

午前II 問15：IPsecのトンネルモードは“丸ごと封筒に入れる”イメージだよ

IPsecのトンネルモードでは、元のIPパケットを中身も宛名ラベル（元のIPヘッダ）もまとめて、新しいIPパケットという封筒で包むんだ。だから、元のIPヘッダまで含めて暗号化できるよ。

この問題で問われていること

この問題では、IKEは暗号通信のための鍵交換、HMACは改ざん検知や認証に使う仕組み、という役割の違いを押さえたうえで、“元のIPパケット全体を包む”トンネルモードの特徴を選べるかがポイントだよ。

トンネルモード

トランスポートモードは元ヘッダを残すが、トンネルモードは元の IP パケットを丸ごと内包する。

元の IP パケット全体をカプセル化\n-> 元ヘッダも暗号化可

確認ポイント

• IKE はポート 80 では動かない。
• HMAC-SHA1 は認証用であり暗号化アルゴリズムではありません。
• トンネルモードの説明を選ぶ。

正解

ウ

出典

問題文と解答は IPA 公開の過去問題冊子・解答例を基にしています。

選択肢ア

これは不正解だよ。IKEはIPsecで使う鍵を交換するためのプロトコルだけど、使う代表的なポートはUDPの500番だよ。80番はWebサイトを見るHTTPの窓口なので、IKEの窓口としては違うんだ。

選択肢イ

これは不正解だよ。HMAC-SHA1は、荷物に付ける封印シールみたいに「途中で改ざんされていないか」「相手が本物か」を確認するための仕組みで、荷物の中身を隠す暗号化そのものではないんだ。暗号化アルゴリズムならAESなどを使うよ。

選択肢ウ（正解）

これは正解だよ。トンネルモードは、元のIPパケットを封筒ごとさらに大きな封筒に入れて運ぶイメージだよ。だから暗号化される部分には、元のIPヘッダも含められるんだ。VPNで拠点間をつなぐときによく使われる考え方だよ。

選択肢エ

これは不正解だよ。認証方式や暗号化方式を相談して決めるのは、AHヘッダではなくIKEという鍵交換用の仕組みの役目だよ。AHは身分確認や改ざん検知をする係で、窓口で合鍵の作り方を相談する係ではないんだ。