応用情報技術者 2016年 秋期 午前2 問36

拡張ヘッダによる暗号化【午前2解説】

正解の理由

解法ステップ

1. 「拡張ヘッダ」がどの層の機能かを確認する（ネットワーク層＝IP 層）。
2. IPv6 の代表的な拡張ヘッダを思い出す（例：Hop-by-Hop、Routing、Fragment、Destination Options、AH、ESP）。
3. 各拡張ヘッダの役割を照合する：AH＝認証/整合性、ESP＝暗号化（＋オプションで認証）。
4. 選択肢と照らし合わせ、暗号化に該当する イ を選ぶ。

選択肢別の誤答解説

• ア: URLフィルタリング機能
  URL フィルタリングはプロキシや Web ゲートウェイなど、アプリケーション/トランスポート層で行う処理であり、IP ヘッダや拡張ヘッダが直接行うものではありません。よって不正解です。
• イ: 暗号化機能
  ESP（Encapsulating Security Payload）がパケットのペイロードを暗号化して機密性を提供します。IPsec の一部として IPv6 でも利用されるため本問の正解です。
• ウ: ウイルス検疫機能
  ウイルス検疫（マルウェア検出・隔離）はエンドポイントセキュリティやゲートウェイの機能で、IP 拡張ヘッダが直接実行するものではありません。よって不正解です。
• エ: 情報漏えい検知機能
  情報漏えい検知（DLP）はパケット内容やファイル内容を解析する高次のセキュリティ機能で、拡張ヘッダ自体の機能ではありません。よって不正解です。

よくある誤解

• AH が暗号化を行うと考える誤解：AH は送信者認証とデータ改ざん検出（整合性）を担うだけで、ペイロードの暗号化は行いません。暗号化は ESP の役割です。
• IPv6 の拡張ヘッダで全てのセキュリティが完結すると考える誤解：拡張ヘッダ（IPsec）で機密性や認証は提供できますが、鍵管理（IKE）やポリシー設定、エンドポイントのセキュリティ対策は別途必要です。
• 拡張ヘッダは経路中の機器で常に処理されると考える誤解：中間機器の一部は拡張ヘッダの処理を制限したり破棄することがあり、実運用では注意が必要です。

補足コラム

• AH と ESP の違い（簡潔）
  • ESP（Next Header 値 50）: ペイロードの暗号化（機密性）を提供。オプションで認証も可能。
  • AH（Next Header 値 51）: パケット全体の認証と整合性を提供するが、機密性は提供しない。
• モード
  • トランスポートモード：エンド間でペイロードのみ暗号化（主にホスト間）。
  • トンネルモード：IP ヘッダを含むパケット全体をカプセル化して暗号化（VPN やゲートウェイ間）。
• 実装上の留意点：暗号アルゴリズム選定（例：AES）、鍵管理（IKEv2 など）、MTU・フラグメンテーションへの影響などを考慮する必要があります。

ESP = 50
AH  = 51

FAQ