データベーススペシャリスト 2011年 午前2 問21

暗号化の適用範囲【午前2解説】

正解の理由

解法ステップ

1. 問題文で問われている技術（IPsec、LDAP、S/MIME、SSL/TLS）の「暗号化の対象や適用範囲」を整理する。
2. 各技術の代表的挙動を確認する：
   • IPsec（トランスポート/トンネル）の保護対象は何か。
   • LDAP は暗号化可能か（LDAPS/STARTTLS）。
   • S/MIME の暗号化はサーバ側で復号可能か（エンドツーエンド暗号化か）。
   • SSL/TLS（HTTPS）でキャッシュ制御がどうなるか。
3. 設問の記述と照合して正誤を判定する。

選択肢別の誤答解説

• ア（正しい）: トランスポートモードは IP ペイロード（上位プロトコルのヘッダやデータを含む部分）を保護するため、ホスト間でトランスポートモードを用いれば送信ホストから受信ホストまでのペイロードが暗号化される。なお、実際に暗号化が終端間で成立するかはセキュリティアソシエーション（SA）をどのエンティティ間で張るかに依存する（ホスト対ホストなら終端間、ゲートウェイ対ゲートウェイならゲートウェイ区間のみ）。
• イ（誤り）: LDAP は暗号化できないというのは誤り。LDAP に対しては LDAPS（LDAP over SSL/TLS）や STARTTLS による暗号化が一般的に利用できるため、通信内容を暗号化可能である。
• ウ（誤り）: S/MIME は公開鍵暗号を使ったエンドツーエンドのメール暗号化方式で、送信者が受信者の公開鍵で暗号化したメッセージは受信者だけが自分の秘密鍵で復号できる。したがって受信側のメールサーバ内に格納されている間でも、メール管理者が平文を見ることは通常できない（ただし組織が秘密鍵を管理・保有している場合や鍵エスカローションを導入している場合は別）。
• エ（誤り）: SSL/TLS を使用して配信された HTML 文書について、ブラウザのキャッシュ挙動はプロトコルそのものが強制するものではなく、HTTP ヘッダ（Cache-Control, Pragma, Expires 等）やブラウザの設定に依存する。暗号化を使うからといって必ずディスクに保存される、あるいはキャッシュ設定が不可になる、という記述は誤りである。

よくある誤解

• 「IPsec = 常にゲートウェイVPN」：IPsec はゲートウェイ間だけでなくホスト間でも使用可能で、モード（トランスポート/トンネル）と SA の張り方によって保護範囲が変わります。
• 「S/MIME と TLS が同じ種類の暗号化」：TLS は通信経路の暗号化（トランスポート暗号化）であり、S/MIME はメッセージ自体を受信者だけが復号できるようにするエンドツーエンド暗号化です。用途と保護対象が異なります。

補足コラム

• IP ペイロードとは：IP ヘッダの直後に続く部分で、TCP/UDP ヘッダやその上位のアプリケーションデータ（HTTP、SMTP など）を含みます。IPsec のトランスポートモードはこの「IP ペイロード」を暗号化・認証するため、上位プロトコルの内容が保護されます。
• 実務上の注意：企業ネットワークでは、エンドツーエンドの暗号化（S/MIME や端末間の IPsec）に比べ、ゲートウェイで復号・検査を行うアプローチ（中間で TLS を復号してセキュリティ装置で検査する）が採られることがあり、この場合は本来のエンドツーエンド性が損なわれる点に留意する必要があります。

FAQ