データベーススペシャリスト 2022年 午前2 問21

IPsecによる暗号化【午前2解説】

正解の理由

解法ステップ

1. 問題中の「ネットワーク層で暗号化」とはどのOSI層かを確認する（IP層＝第3層）。
2. 各選択肢を層ごとに分類する：
   • IPsec → ネットワーク層（IPに直接関与）
   • PPP → データリンク層（第2層）
   • SSH → アプリケーション層（TCP上）
   • TLS → トランスポートとアプリケーションの間（セッション/プレゼンテーション相当）
3. ネットワーク層で動作するプロトコルはIPsecのみなので、それが正答になる。

選択肢別の誤答解説

• ア IPsec：正解。IPヘッダに対してAH/ESPを付加し、ESPを用いることでパケットの暗号化（機密性）を実現する。トンネルモードでは元のIPパケット全体をカプセル化して暗号化できるため、ネットワーク層VPNに用いられる。
• イ PPP：誤り。PPP（Point-to-Point Protocol）は点対点のリンク制御、認証（PAP/CHAP）や複数プロトコルの多重化を行う第2層プロトコルであり、IPヘッダ全体を網羅するネットワーク層の暗号化機構ではない。
• ウ SSH：誤り。SSHはTCP上で動作するアプリケーション層のプロトコルで、リモートシェルやポートフォワーディング等でアプリケーションデータを暗号化する。IPヘッダやルーティング情報までは保護しない。
• エ TLS：誤り。TLSは主にアプリケーションデータの保護（例：HTTPS）を目的としたプロトコルで、トランスポート層（TCP）上で動作し、ネットワーク層全体を暗号化するものではない。

よくある誤解

1. 「SSHはトランスポート層のプロトコル」と考える誤り
   → SSHはTCP上で動作するアプリケーション層プロトコルです。TCPを用いて暗号化されたセッションを提供しますが、OSIの第3層（IPヘッダ等）を保護する機能は持ちません。
2. 「TLSはネットワーク全体を暗号化する」と誤解すること
   → TLSはアプリケーションデータを保護しますが、IPヘッダやルーティング情報は保護対象外です。VPNのようにネットワーク層での保護が必要ならIPsecが適切です。
3. 「PPPで暗号化できる」との混同
   → PPP自体はリンク制御・認証を行いますが、IPsecのようなIPパケット単位での暗号化機能は持ちません（リンク上での暗号化とIP層暗号化は目的と適用範囲が異なります）。

補足コラム

• IPsecの主要構成要素：ESP（Encapsulating Security Payload、暗号化とオプションの認証）、AH（Authentication Header、パケット認証）、IKE/IKEv2（鍵管理・SA（Security Association）確立）。
• モード：
  • トランスポートモード：元のIPヘッダはそのまま、IPペイロード（上位層データ）を保護。主にホスト間通信に使用。
  • トンネルモード：元のIPパケット全体を新しいIPパケットのペイロードとしてカプセル化・暗号化。サイト間VPNなどで使用。
• IPsecはIPv4/IPv6の両方で利用できる。IPv6の設計段階でIPsecの利用が強く想定されていたため、IPv6実装ではIPsecのサポートが一般的です。

conn site-to-site
    left=192.0.2.1
    right=198.51.100.1
    ike=aes256-sha256-modp2048
    esp=aes256-sha256
    keyexchange=ikev2
    auto=route

FAQ