はじめの情報処理安全確保支援士試験講座㉗応用情報技術者試験の過去問題からIPsecについて解説します！

今回から、情報処理安全確保支援士試験の合格対策として、午前Ⅰの共通問題と同等レベルの応用情報技術者試験の過去問題について解説していきます。情報処理安全確保支援士試験は、午前Ⅰ、午前Ⅱ、午後の3部構成となっており、午前Ⅰで60点以上を獲得しないと午前Ⅱの採点が行われません。

前回の試験では、午前Ⅰで得点率が40%程度にとどまったため、私にとって午前Ⅰ共通問題の対策が最優先課題と考えています。

午前Ⅰの問題は応用情報技術者試験と同等の難易度であるため、これからは応用情報技術者試験の過去問を活用し、具体的な対策に取り組んでいく予定です。

本日は、IPsecについて解説します。

是非、最後までご覧いただけると嬉しいです。

IPsec
まとめ

IPsec

PCからサーバに対し、IPv6を利用した通信を行う場合、ネットワーク層で暗号化を行うのに利用するものはどれか。

ア　IPsec

イ　PPP

ウ　SSH

エ　TLS

引用：応用情報技術者試験　令和6年　春　午前　問４２

解答

ア

IPsecの概要

IPsec (Internet Protocol Security) は、ネットワーク通信を保護するためのプロトコルスイートで、透過性の高いデータ通信を実現するために安全性の確保を目的としています。IPレベルでデータを置き換えることにより、簡単にセキュアなネットワーク通信を実現することが可能です。

主要な功能

IPsecの主要な功能は下記の通りです。

暗号化：データ通信を暗号化し、不正なユーザーが入手しても不安全な情報が流出しないようにします。
認証：通信の両端が正式なパーティーであることを確認します。
数据の一且性保証：通信中にデータが変更されていないことを確保します。
アクセス制限：不安全な通信や許可されていないユーザーによる使用を防止します。

構成要素

IPsecは、主に下記の要素から構成されています。

1. プロトコル

AH (Authentication Header)：通信パケットの認証を行い、一意性を保証します。ただし、データの暗号化は行いません。
ESP (Encapsulating Security Payload)：データの暗号化と完全性の保証を行い、高い安全性を提供します。

2. モード

Transport Mode：データ通信のコンテンツを保護し、エンドツーエンドの安全性を確保します。
Tunnel Mode：他のIPヘッダをトンネル内に格納し、VPNの構築などに使用されます。

3. IKE (Internet Key Exchange)

キー交換を行うためのプロトコルで、主に二つのバージョンが使用されます。

IKEv1：クラシックなバージョン。
IKEv2：改善された新しいバージョン。

IPsecのまとめ

IPsecは、ネットワーク通信を保護するためのプロトコルスイートで、暗号化や認証、データの一貫性保証、アクセス制限といった機能を提供します。主な構成要素には、認証を行うAH、暗号化と一貫性保証を行うESPがあり、Transport ModeとTunnel Modeで利用されます。また、鍵交換プロトコルであるIKEを使用して、安全な通信を実現します。これにより、VPNやセキュアなデータ通信を簡単に構築できます。

その他の回答

回答イ：PPP

Point-to-Point Protocol（ポイント・トゥ・ポイント・プロトコル）の略で、データ通信に関して、2つのポイント間（例：コンピュータとネットワーク機器）のデータセキュリティを確立、構成、維持、終了するための通信プロトコルです。主に、電話回線や専用回線、ISDNなどのポイントツーポイント接続に使用されます。

主な特徴

リンク層プロトコル
PPPはOSI参照モデルのデータリンク層で動作し、異なるネットワーク層プロトコル（IPv4、IPv6、IPXなど）をサポートします。
モジュール構造
PPPは複数のサブプロトコルで構成されており、それぞれが特定の機能を提供します：
- LCP（Link Control Protocol）：接続の確立、構成、管理を行います。
- NCP（Network Control Protocol）：IPなどのネットワーク層プロトコルを設定します。
認証機能
PPPは接続の認証をサポートし、代表的な認証プロトコルには以下があります。
- PAP（Password Authentication Protocol）：単純な認証方式で、平文でパスワードを送信します。
- CHAP（チャレンジハンドシェイク認証プロトコル）：チャレンジ応答方式で、パスワードを暗号化して送信します。
エラー検出と回復
PPPはエラー検出機能を備えており、データの整合性を確保します。
マルチプロトコルサポート
IPv4、IPv6、NetBEUIなど、異なるネットワーク層プロトコルを併用可能です。

使用例

ダイヤルアップ接続（モデムを使ったインターネット接続）
専用線やISDNでのネットワーク接続
VPN（仮想プライベートネットワーク）の一部プロトコル

PPPの進化

現在では、PPPは主に古いダイヤルアップ接続や特定の専用環境で使われていますが、技術の進化に従って、ブロードバンド接続ではPPPoE（PPP over Ethernet）やPPPoA（PPP over ATM）といった形式で利用されることもあります。

PPPのまとめ

PPPは、2つのポイント間でデータ通信を確立、管理、終了するリンク層プロトコルです。異なるネットワーク層プロトコルをサポートし、LCPやNCPなどのサブプロトコルで接続管理を行います。また、PAPやCHAPによる認証やエラー検出機能を備え、主にダイヤルアップ接続やVPNで利用されます。

回答ウ：SSH

SSHは、ネットワークを介した安全なを実現するためのプロトコルおよびその通信実装です。リモートのコンピュータにログインして操作したり、データを暗号化して安全に転送したりするために広くSSHは主に、セキュアで信頼性の高い通信を提供することで、管理者や開発者がリモートシステムを効率的に操作する手段を提供します。

主な特徴

暗号化通信
- SSHは、通信内容を暗号化することで、第三者による盗聴や改ざんを防ぎます。これにより、ユーザー名やパスワード、送信受信されるデータが安全に保護されます。
認証機能
- SSHは以下のような認証方法をサポートしています：
  - パスワード認証：ユーザー名とパスワードを利用します。
  - 公開認証鍵：公開鍵と秘密鍵のペアを用いて認証を行う方式。セキュリティが非常に高い。
  - 多要素認証：パスワードと公開キーを組み合わせたり、他の認証手段を追加することも可能です。
ポートフォワーディング
- ローカルやリモートポートをトンネル接続することで、セキュアな転送を実現します。
  - ローカルポートフォワーディング：クライアント側のポートをリモートサーバーに転送します。
  - リモートポートフォワーディング：サーバー側のポートをクライアントに転送します。
  - ダイナミックポートフォワーディング：SOCKSプロキシを利用します。
ファイル転送
- SSHは、安全なファイル転送プロトコルが提供されます：
  - SCP（Secure Copy Protocol）：単純なファイル転送。
  - SFTP（SSH File Transfer Protocol）：ファイル転送や管理機能を備えたプロトコル。
多様な用途
- サーバー管理
- ネットワークデバイスの設定
- 安全なトンネル接続を接続したVPN代替

SSHの動作原理

セッション確立
- クライアントがサーバーに接続を要求すると、どちらも暗号化アルゴリズムやプロトコルバージョンをネゴシエーションします。
認証
- ユーザーの認証情報（パスワード、公開キーなど）を用いて、アクセスの正当性を確認します。
暗号化通信
- セッション中のデータはすべて暗号化され、盗聴や改ざんが防止されます。

主な使用例

リモートサーバー管理サーバー
サーバーにリモートログインして、ファイル操作や設定変更を行います。
ファイル転送機の
密性の高いデータを安全に受信します。
セキュアトンネル構築
非暗号化通信プロトコル（HTTP、FTPなど）を暗号化するためのトンネルとして利用します。

SSHのまとめ

SSHは、セキュリティを重視した通信プロトコルであり、リモートシステムの管理やデータ転送における標準的な手段として広く採用されています。特に、公開鍵認証やポートフォワーディングといった機能を担うことで、高度なセキュリティ要件にも柔軟に対応可能です。

回答エ：TLS

TLS（Transport Layer Security）は、インターネット通信においてデータの暗号化、認証、データの完全性を提供するプロトコルです。TLSは、かつて広く利用されていたSSL（Secure Sockets Layer）の後継プロトコルで、より強力ですなセキュリティ機能を備えています。ウェブブラウザ、電子メール、VoIP、VPNなど、多くの通信において利用されています。

主な目的

通信の暗号化
- 通信内容を暗号化することで、第三者による盗聴を防ぎます。
- HTTPSを利用したウェブ通信などで、個人情報やクレジットカード情報の漏洩を防ぎます。
認証
- サーバー（場合によってはクライアント）の認証を行い、通信相手が正当であることを確認します。
- サーバー証明書を用いて信頼性を確保。
データの完全性
- 通信中にデータが改ざんされていないことを確認します。

TLSの主な特徴

暗号化技術の利用
- 対称鍵暗号：通信中のデータを暗号化（例: AES）。
- 公開鍵暗号：セッションキーの交換時に利用（例: RSA、ECDSA）。
- ハッシュ関数：メッセージ認証コード（MAC）によるデータ完全性の検証（例: SHA-256）。
シェハンドイクプロセス
TLS通信の開始時に、サーバーとクライアントが以下を行います。
- 暗号化アルゴリズムとプロトコルのバージョンを交渉します。
- 認証サーバー（証明書の確認）。
- セッションキーを生成して共有。
証明書の使用
- サーバーは公開鍵証明書（通常はX.509形式）を提供し、信頼性を証明します。
- 証明書は、信頼できる認証局（CA）が発行します。
プログラマのバージョン
- 現在広く使用されているTLSのバージョン
  - TLS 1.2：長らく標準として使われています。
  - TLS 1.3：より簡素化され、セキュリティと速度が向上。
前方秘匿性（Forward Secrecy）
- TLS 1.2以降では、鍵交換にDiffie-Hellman鍵交換（特にECDHE）が用いられることで、過去のセッションが解読されやすくなります。

TLS通信の流れ（ハンドシェイクの概要）

クライアントが接続を要求するクライアント
クライアントがサーバーに「ClientHello」を送信し、サポート暗号化方式と TLS バージョンを提案します。
サーバーが応答サーバー
サーバーが「ServerHello」を返し、クライアントが提案した暗号化方式の中から使用するサーバーを選択します。
セッションキーの生成
鍵交換アルゴリズムを用いて、クライアントとサーバーがセッションキーを共有します。
暗号化通信の開始
ハンドシェイクが完了すると、セッションキーを使ってデータが暗号化され、通信が始まります。

TLSの主な利用例

HTTPS（HTTP over TLS）
- ウェブサイトで暗号化通信を提供します。URLが「https://」で始まるサイトでご利用いただけます。
メールの暗号化
- SMTP、IMAP、POP3での暗号化通信。
VPN通信
- TLSを利用したセキュアなVPNプロトコル（OpenVPNなど）。
VoIP（音声通信）
- 音声データの盗聴を防止します。

TLSの進化とセキュリティ強化

TLS 1.3の改善点
- ハンドシェイクの簡素化による通信速度の向上。
- 脆弱性が指摘されていた古い暗号スイートやアルゴリズムの削除（例: RSA 鍵交換、MD5、SHA-1）。
- セキュリティの進歩と過去のセッションキーの防御。
SSLとの違い
- SSL（特にSSL 3.0以前）は多くの脆弱性が指摘されており、現在は非推奨です。
- TLSはSSLを基盤として開発され、現在も進化中です。