応用情報技術者 2024年 春期 午前2 問42

IPsecによる暗号化【午前2解説】

正解の理由

解法ステップ

1. 問題の条件（「ネットワーク層で暗号化」）を確認する。
2. 各選択肢をOSI参照モデルや階層対応で照合する。
   • ネットワーク層（IP層）→ IPsec
   • データリンク層→ PPP
   • トランスポート／アプリケーション層→ SSH、TLS
3. ネットワーク層に属するプロトコルを選ぶという基準でアを選択する。

選択肢別の誤答解説

• ア IPsec
  ネットワーク層でIPパケット自体を保護するプロトコル。AH（認証）とESP（暗号化/認証）を用い、トンネル/トランスポート両モードを持つため該当する。
• イ PPP
  Point-to-Point Protocol。ダイヤルアップやシリアルリンクなどのデータリンク層でのフレーミング・認証に用いられる。ネットワーク層のパケットを暗号化するものではない。
• ウ SSH
  Secure Shell。リモートログインやトンネルを提供するアプリケーション層のプロトコル（TCP上）。個別のアプリケーション通信を保護するが、IPパケット全体をネットワーク層で暗号化するものではない。
• エ TLS
  Transport Layer Security。主にトランスポート層（実務上はアプリケーション層プロトコルに組み込まれて使用）で通信の機密性・完全性を提供する。HTTPS等で使われるが、IPヘッダを含むIP層全体の保護は行わない。

よくある誤解

• 「IPv6ではIPsecが必須である」
  → IPv6の設計ではIPsecが標準的なセキュリティ機構として想定されてきましたが、現在の実装すべてで必須というわけではありません。実際にはオプション扱いで、利用は環境や設定によります。
• 「TLSやSSHもネットワーク層と同じ性質で使える」
  → TLS/SSHはトランスポートやアプリケーション層での保護であり、IPヘッダを含むすべてのIPパケットを透明に暗号化する点でIPsecとは異なります。ただしTLSベースのVPN（例：OpenVPN）はトランスポート層で擬似的にネットワーク接続を保護できますが、原理的には層が違います。
• 「PPPには暗号化機能がある」
  → PPP自体はフレーミングや認証（PAP/CHAP）を提供しますが、暗号化は標準機能ではありません（拡張や上位プロトコルで実現する）。

補足コラム

• IPsecの主な構成要素：
  • AH（Authentication Header）：パケットの認証・改ざん検出（暗号化は行わない）。
  • ESP（Encapsulating Security Payload）：暗号化と認証を提供（一般的に機密性の確保に使われる）。
  • IKE（Internet Key Exchange、特にIKEv2）：鍵交換とセキュリティアソシエーション（SA）の確立を行う。
• モード：
  • トランスポートモード：ペイロード部分のみを保護（ホスト間通信向け）。
  • トンネルモード：IPパケット全体をカプセル化して新たなIPヘッダで包む（サイト間VPN等）。
• 実運用上の注意：
  • NAT環境ではESPが直接通らないため、NAT-T（UDPカプセル化）を用いることが多い。
  • ハードウェアアクセラレーションにより暗号化負荷を軽減できる。

FAQ