ITパスポート 2011年 春期 問79

SSLの機能に関する記述【ITパスポート 解説】

正解の理由

• 機密性（暗号化）…通信内容を第三者に読まれないようにする
• 完全性（改ざん検知）…途中で内容が書き換えられていないか確認する
• 認証（証明書によるサーバの身元確認）…相手が本当にそのサーバか確認する

解法ステップ

1. 問題文を読み、「SSLの機能」に着目する。
2. SSL/TLSの目的を思い出す：通信の暗号化と認証、改ざん防止が主な目的。
3. 各選択肢をSSLの目的と照らし合わせる。
   • ワンタイムパスワード生成 → 認証補助の仕組みであり、SSL自体の機能ではない。
   • 通信の暗号化 → SSL/TLSの主要機能に該当する（これが正しい）。
   • フィルタリング（許可されていないサイトへの通信防止） → プロキシやファイアウォールの役割。
   • ウイルス検知 → ウイルス対策ソフトや侵入検知システムの役割。
4. 最も合致する選択肢を選ぶ（通信暗号化が一致するのでイ）。

選択肢別の誤答解説

• ア: Webサイトの利用者認証のためのワンタイムパスワードを生成する。
  → ワンタイムパスワード（OTP：使い捨てのパスワード）は認証を強化する仕組みです。生成や管理は認証サーバや専用トークン／アプリ（例：OTPアプリ）によるもので、SSLの機能ではありません。
• イ: WebブラウザとWebサーバ間の通信を暗号化する。
  → これが正しい記述です。SSL/TLSは通信経路を暗号化し、第三者による盗聴や改ざんを防ぎます。HTTPSはHTTP over SSL/TLSのことです。
• ウ: 許可されていないWebサイトへの通信を防止（フィルタリング）する。
  → サイトのフィルタリングやアクセス制御は、プロキシサーバ、ファイアウォール、コンテンツフィルタ等の役割です。SSL自体は「どのサイトに接続するか」を制限する機能は持ちません（ただし、SSLの中身が見えないためフィルタリングが難しくなる点は別問題です）。
• エ: ネットワークを介して感染するウイルスを検知する。
  → ウイルス検知やマルウェアの検出はウイルス対策ソフト／アンチウイルスやIDS/IPS（侵入検知／防御システム）の役割です。SSLは通信の保護が目的であり、ウイルス検知は行いません。

よくある誤解

1. 「SSLがあればそのサイトは安全だ」
   • 誤解です。SSLは通信経路を暗号化しますが、サイト自体の内容（詐欺ページや悪意あるダウンロード）は防げません。暗号化は「通信の秘密」を守るだけです。
2. 「SSLはウイルスやマルウェアも防ぐ」
   • 誤解です。SSLは通信の暗号化・認証を行いますが、端末内のウイルスや悪意あるコードの検出・駆除は別の製品（アンチウイルス）が担当します。
3. 「SSLとTLSは別物で覚える必要がある」
   • 歴史的にはSSLが先で、現在はより安全なTLSが使われます。実務では「SSL/TLS」とまとめて呼ばれることが多く、機能のイメージは同じです。

補足コラム

• HTTPSの見方：ブラウザのアドレス欄に「https://」や鍵（カギ）アイコンが表示されていれば、SSL/TLSで暗号化された通信が行われています。ただし、鍵アイコンは「通信が暗号化されている」ことを示すのみで、サイトの中身が安全かは別問題です。
• 証明書と認証局：SSL/TLSでは「証明書」と呼ばれる電子的な身分証明書を使ってサーバの正当性を確認します。証明書は認証局（CA：Certificate Authority）が発行します。信頼できるCAが発行した証明書であることが重要です。
• 中間者攻撃（MitM）対策：正しく設定されたSSL/TLSは中間者攻撃（通信を傍受して書き換える攻撃）を防ぎます。ただし、証明書が不正に発行されたり、ユーザーが警告を無視すると防げない場合があります。

FAQ