平成30年度秋期 情報処理安全確保支援士 午前Ⅰ 問12

午前I 問12：クライアント証明書付きTLSで誰を確認するの？

クライアント証明書を使ったTLSは、たとえるならWebサーバの入口で「あなたは本当に本人かな？」と利用者端末の身分証をチェックする仕組みだよ。Webサーバはクライアント証明書を検証して、正しい端末や利用者かを確認できる。一方で、これはWebサーバと利用者端末の間の話なので、DBサーバとの直接通信を暗号化する仕組みではないよ。

この問題で問われていること

この問題では、TLSがどの通信区間を守っているのかを見分けよう。あわせて、サーバ証明書は「このWebサーバは本物だよ」と利用者側が確認するためのもの、クライアント証明書は「この利用者端末は本物だよ」とサーバ側が確認するためのもの、という役割の違いを押さえるのがポイントだよ。

Client Certificate TLS

client certificates in TLS enable user authentication on the PC-Web server connection

encrypt PC-Web communication\nauthenticate user

確認ポイント

• PC と DB サーバが直接 TLS するわけではありません。
• DB サーバ正当性検証の話ではありません。
• クライアント証明書 = 利用者認証を押さえる。

正解

エ

出典

問題文と解答は IPA 公開の過去問題冊子・解答例を基にしています。

選択肢ア

これは不正解だよ。PCから見えている相手はWebサーバで、DBサーバはその奥にいる裏方だよ。たとえるなら、受付で本人確認しているのに、奥の倉庫の係員が本物かどうかまで確認できるわけではない感じ。PCとDBサーバ間の暗号化やDBサーバの正当性確認をする話ではないよ。

選択肢イ

これは不正解だよ。利用者のPCが直接話している相手はDBサーバではなく、DMZ上のWebサーバなんだ。たとえるなら、お客さんは銀行の窓口と話していて、奥の金庫とは直接話していない感じ。TLSで守られるのはPCとWebサーバの間なので、『PCとDBサーバ間を暗号化』が違うよ。

選択肢ウ

これは不正解だよ。『PCとWebサーバ間を暗号化』までは合っているけど、『正当なDBサーバかを検証』が違うんだ。利用者個人のディジタル証明書は、Webサーバ側が『この利用者は本人かな？』と確認するための身分証みたいなもの。奥にいるDBサーバの身分確認をする道具ではないよ。

選択肢エ（正解）

提示データ上は不正解扱いだけど、技術的にはこの文は妥当だよ。利用者個人のディジタル証明書を使ったTLSでは、PCとWebサーバ間の通信を暗号化しつつ、Webサーバが『この利用者は本人かな？』と確認できる。たとえるなら、窓口までの会話を盗み聞きされないようにしながら、利用者が顔写真付き身分証を見せる感じだよ。したがって、この選択肢を不正解とするなら、選択肢メタデータ側の正誤ラベル取り違えを疑うべきだよ。