データベーススペシャリスト 2011年 午前2 問21

暗号化の適用範囲【午前2解説】

正解の理由

解法ステップ

1. 問題文で問われている技術（IPsec、LDAP、S/MIME、SSL/TLS）の「暗号化の対象や適用範囲」を整理する。
2. 各技術の代表的挙動を確認する：
   • IPsec（トランスポート/トンネル）の保護対象は何か。
   • LDAPは暗号化可能か（LDAPS/STARTTLS）。
   • S/MIMEの暗号化はサーバ側で復号可能か（エンドツーエンド暗号化か）。
   • SSL/TLS（HTTPS）でキャッシュ制御がどうなるか。
3. 設問の記述と照合して正誤を判定する。

選択肢別の誤答解説

• ア（正しい）: トランスポートモードはIPペイロード（上位プロトコルのヘッダやデータを含む部分）を保護するため、ホスト間でトランスポートモードを用いれば送信ホストから受信ホストまでのペイロードが暗号化される。なお、実際に暗号化が終端間で成立するかはセキュリティアソシエーション（SA）をどのエンティティ間で張るかに依存する（ホスト対ホストなら終端間、ゲートウェイ対ゲートウェイならゲートウェイ区間のみ）。
• イ（誤り）: LDAPは暗号化できないというのは誤り。LDAPに対してはLDAPS（LDAP over SSL/TLS）やSTARTTLSによる暗号化が一般的に利用できるため、通信内容を暗号化可能である。
• ウ（誤り）: S/MIMEは公開鍵暗号を使ったエンドツーエンドのメール暗号化方式で、送信者が受信者の公開鍵で暗号化したメッセージは受信者だけが自分の秘密鍵で復号できる。したがって受信側のメールサーバ内に格納されている間でも、メール管理者が平文を見ることは通常できない（ただし組織が秘密鍵を管理・保有している場合や鍵エスカローションを導入している場合は別）。
• エ（誤り）: SSL/TLSを使用して配信されたHTML文書について、ブラウザのキャッシュ挙動はプロトコルそのものが強制するものではなく、HTTPヘッダ（Cache-Control, Pragma, Expires等）やブラウザの設定に依存する。暗号化を使うからといって必ずディスクに保存される、あるいはキャッシュ設定が不可になる、という記述は誤りである。

よくある誤解

• 「IPsec = 常にゲートウェイVPN」：IPsecはゲートウェイ間だけでなくホスト間でも使用可能で、モード（トランスポート/トンネル）とSAの張り方によって保護範囲が変わります。
• 「S/MIMEとTLSが同じ種類の暗号化」：TLSは通信経路の暗号化（トランスポート暗号化）であり、S/MIMEはメッセージ自体を受信者だけが復号できるようにするエンドツーエンド暗号化です。用途と保護対象が異なります。

補足コラム

• IPペイロードとは：IPヘッダの直後に続く部分で、TCP/UDPヘッダやその上位のアプリケーションデータ（HTTP、SMTPなど）を含みます。IPsecのトランスポートモードはこの「IPペイロード」を暗号化・認証するため、上位プロトコルの内容が保護されます。
• 実務上の注意：企業ネットワークでは、エンドツーエンドの暗号化（S/MIMEや端末間のIPsec）に比べ、ゲートウェイで復号・検査を行うアプローチ（中間でTLSを復号してセキュリティ装置で検査する）が採られることがあり、この場合は本来のエンドツーエンド性が損なわれる点に留意する必要があります。

FAQ