応用情報技術者 2013年 秋期 午前2 問37

IPsecによる暗号化【午前2解説】

正解の理由

解法ステップ

1. 「ネットワーク層で暗号化」をキーワードとして層（OSI または TCP/IP）を特定する。
2. 各選択肢をその動作層に対応付ける。
   • IPsec → ネットワーク層
   • PPP → データリンク層（ポイントツーポイント）
   • SSH → アプリケーション層（TCP上で動作）
   • SSL/TLS → アプリケーションとトランスポートの間（セッション/トランスポート層）
3. ネットワーク層で動作するプロトコルはIPsecのみなので選択する。

選択肢別の誤答解説

• ア IPsec
  • 正解。IP（IPv4/IPv6）パケット単位での認証・暗号化を提供するプロトコル群。AH（Authentication Header）・ESP（Encapsulating Security Payload）とIKEによる鍵管理が主要要素。IPv6では設計当初からIPsecサポートが想定されている。
• イ PPP
  • 誤り。PPP（Point-to-Point Protocol）はデータリンク層のプロトコルで、シリアルやダイヤルアップ等の点対点接続を提供する。認証（PAP/CHAP）や拡張オプションはあるが、設問の「ネットワーク層での暗号化」ではない。
• ウ SSH
  • 誤り。SSHはアプリケーション層のプロトコルで、TCP（通常ポート22）上でリモートシェルやトンネル、ポートフォワーディングを安全に行う。ホストやポート単位での保護は可能だが、IPパケット全体をネットワーク層で暗号化するものではない。
• エ SSL（TLS）
  • 誤り。SSL（現行はTLS）は主にトランスポートとアプリケーションの間で動作し、アプリケーション層プロトコル（HTTP等）の通信を保護する。IP層での暗号化とは層が異なる。

よくある誤解

• SSHとIPsecを混同する
  • SSHは安全な端末接続やポート転送を提供するため「安全な通信」と誤認されがちですが、層が異なりIPパケット全体を暗号化するのはIPsecです。
• TLS/SSLは「ネットワーク全体を守る」と思い込む
  • TLSは個々のアプリケーション接続（例：HTTPS）を保護するため、同一ホスト内の他プロセスや非対応アプリは保護対象外です。ネットワーク層で全トラフィックを保護するにはIPsecが適切です。
• IPv6ではIPsecが常に自動的に有効と思う
  • IPv6設計時にIPsecサポートが前提とされた歴史はあるものの、実際の運用や実装で自動的に有効になるとは限りません（管理方針や実装依存）。

補足コラム

• IPsecの主要コンポーネント
  • AH（Authentication Header）: パケットの認証・完全性を提供（暗号化はしない）
  • ESP（Encapsulating Security Payload）: 暗号化と認証を提供（機密性を確保）
  • モード: トランスポートモード（エンドツーエンドでペイロード保護）とトンネルモード（ゲートウェイ間でIP全体をカプセル化）
  • 鍵管理: IKE/IKEv2（セキュアな鍵交換とSA管理）
• NATとの関係
  • NAT環境ではESPが問題になることがあり、NATトラバーサル（NAT-T）やUDPを使ったカプセル化で対応することが多いです。特にIPv4のNAT環境を考慮する場合に重要になります。

FAQ