情報セキュリティマネジメント 2017年春期午前（科目A）問28

問題文

OSI基本参照モデルのネットワーク層で動作し、“認証ヘッダ（AH）”と“暗号ペイロード（ESP）”の二つのプロトコルを含むものはどれか。

🖊️ 解答を隠して解いてみる

選択肢

ア：IPsec（正解）

イ：S/MIME

ウ：SSH

エ：XML暗号

🔒 解説は解答すると表示されます

IPsec（ネットワーク層の保護）【情報セキュリティマネジメント解説】

正解の理由

IPパケットの保護を行うプロトコル群として、ネットワーク層（OSI参照モデル第3層）で動作するのがIPsecです。IPsec（Internet Protocol Security：IPを保護するプロトコル群）は、パケットの認証と改ざん検知を行うAH（Authentication Header：送信元認証と改ざん検知を行うヘッダ）と、ペイロードの暗号化・認証を行うESP（Encapsulating Security Payload：データの暗号化と認証）という二つの主要プロトコルを含みます。したがって、正解はアです。

解法ステップ

「ネットワーク層で動作する」とある点を確認する。ネットワーク層はIPアドレスやルーティングを扱う層（OSI第3層）です。
各選択肢がどの層で使われるかを思い出す：メールの保護はアプリケーション層、リモートログインはアプリケーション層、XML暗号はドキュメントレベル。
AHとESPを含むのはIPsecしかないことを照合する。よってIPsecを選ぶ。

選択肢別の誤答解説

イ: S/MIME（Secure/Multipurpose Internet Mail Extensions：電子メールの署名・暗号化）は電子メール（アプリケーション層）向けの仕組みです。AHやESPは含みません。
ウ: SSH（Secure Shell：リモートの端末操作やトンネリングを安全に行うプロトコル）は主にアプリケーション層で動作し、IPパケットそのものを直接保護するAH/ESPのセットではありません。
エ: XML暗号（XML Encryption：XML文書内のデータを暗号化する仕様）はデータ（文書）レベルの暗号化技術で、OSIのネットワーク層プロトコルではありません。

よくある誤解

「IPsecはただのVPNソフト」と考える誤解：IPsecはVPN（仮想プライベートネットワーク）を実現するためによく使われますが、正確にはIPパケットの認証・暗号化を行うプロトコル群です。VPNは運用形態の一例にすぎません。
「AHとESPは同じもの」：AHは主に認証（改ざん検知と送信元確認）を提供し、暗号化は行いません。ESPは暗号化（機密性）を提供し、オプションで認証もします。用途が異なります。

補足コラム

IPsecの運用でよく使われる仕組みにIKE（Internet Key Exchange：鍵交換プロトコル）があります。IKEは暗号鍵の自動交換やSA（Security Association：セキュリティ関連パラメータ）の確立を行います。職場では、拠点間接続やリモートワークでの社内アクセスにIPsec＋IKEが使われることが多く、設定はネットワーク管理者と協議してポリシー（どの通信を暗号化するか、認証方式は何か）を決めます。
モード：IPsecは「トランスポートモード」（ホスト間の通信保護）と「トンネルモード」（ゲートウェイ間でIPパケット全体をカプセル化）を持ち、用途により使い分けます。

FAQ

Q. AHだけ使えば完全に安全ですか？
A. AHはパケットの認証と改ざん検知を提供しますが、内容を暗号化しません。したがって機密性（盗聴防止）が必要ならESPを使うか、ESPと組み合わせる必要があります。

Q. NAT（ネットワークアドレス変換）を通すとIPsecは使えないですか？
A. 古い方式のAHやESP（特にAH）はNATと相性が悪い場合があります。NAT越えをサポートするためにNAT-T（NAT Traversal）などの仕組みが使われます。

Q. SSHとIPsecはどちらを使うべきですか？
A. 用途次第です。リモートシェルやファイル転送など個々のアプリケーションを安全に使いたければSSH。ネットワーク全体や複数のアプリケーションを透過的に保護したければIPsec（VPN）が向きます。

関連キーワード: IPsec、AH、ESP、IKE、VPN、ネットワーク層、暗号化、認証

← 前の問題へこの年度をクイズで解く次の問題へ →

\ せっかくなら /

情報セキュリティマネジメントを
クイズ形式で学習しませんか？

クイズ画面へ遷移する→

すぐに利用可能！