応用情報技術者 2020年 秋期 午前2 問37

ネットワーク層の暗号化方式【午前2解説】

正解の理由

解法ステップ

1. 問題が「ネットワーク層で暗号化を行うもの」を問うていることを確認する（層を意識する）。
2. 各選択肢の主要な動作層を思い出す：
   • IPsec → ネットワーク層（IPに対するセキュリティ）
   • PPP → データリンク層（点対点リンクのプロトコル）
   • SSH/TLS → 通常はアプリケーション層やその上位でのセッション／トランスポート保護
3. ネットワーク層で暗号化を行うものとしてIPsecが該当するため、選択肢アを選ぶ。

選択肢別の誤答解説

• ア IPsec
  • 正答。IPパケット単位で動作するセキュリティ機構。ESP（暗号化）とAH（認証／整合性）を使い、IKEで鍵交換を行う。IPv6と密接に使われることが多い。
• イ PPP
  • 誤答。PPP（Point-to-Point Protocol）は物理層の上で動作するデータリンク層のプロトコルで、点対点のリンク設定・認証（LCP、PAP/CHAP）やネットワーク層プロトコルの多重化（NCP）を行う。暗号化そのものは標準で提供しない（別途MPPE等を組み合わせることはあるが、PPP自体はデータリンク層の機能でありネットワーク層暗号ではない）。
• ウ SSH
  • 誤答。SSHは主にリモートシェルやトンネルに使われるアプリケーション層のプロトコルで、セッションを暗号化する（TCP上で動作）。ホスト間のIPパケット全体をネットワーク層で暗号化する仕組みではない。
• エ TLS
  • 誤答。TLSは主にアプリケーション層の通信（例：HTTPS）の保護に用いられるプロトコルで、トランスポート層の上（またはそれに相当）で動作し、アプリケーションごとの暗号化を提供する。ネットワーク層のIPパケット全体を暗号化するものではない。

よくある誤解

• 「TLSやSSHも暗号化するからネットワーク層の暗号化と同じ」は誤りです。TLS/SSHはセッションやアプリケーション単位の保護で、パケットレベル（IP全体）の保護とは用途や適用範囲が異なります。
• 「PPPは物理層のプロトコル」ではなく、PPPは物理層の上で動作するデータリンク層のプロトコルです（点対点接続の確立やアドレスネゴシエーション、認証などを担当）。
• 「IPv6では必ずIPsecを使う」は誤解です。IPv6では実装上IPsecのサポートが規格上で重視されてきましたが、常に暗号化が自動で有効になるわけではなく、運用ポリシーに依存します。

補足コラム

• AHとESPの違い（簡潔）
  • AH（Authentication Header）：パケットの完全性と送信元認証を提供する（暗号化は行わない）。
  • ESP（Encapsulating Security Payload）：暗号化（機密性）を提供し、オプションで認証も行う。実運用では機密性が必要な場面でESPがよく使われます。
• モード：トランスポートモード（エンド間のペイロード保護）とトンネルモード（ゲートウェイ間でIPパケット全体を保護）の使い分けがポイントです。
• 実装例（Linux + strongSwanの簡単な設定イメージ）

# /etc/ipsec.conf の一部（概略）
conn example
    left=192.0.2.1
    right=198.51.100.1
    ike=aes256-sha2_256-modp2048
    esp=aes256-sha2_256
    keyexchange=ikev2
    auto=add

FAQ