ネットワークスペシャリスト 2016年 午後1 問02

解答の論理構成

1. WPA2が採用した暗号アルゴリズム
   【問題文】には「“WPA2は、無線LANの暗号化アルゴリズムとしてアが初めて採用された方式である。”」とあります。WPA2で初めて正式採用された暗号は “AES”（Advanced Encryption Standard）です。
2. 端末とアクセスポイントで同じパスフレーズを共有する認証方式
   「“認証方式には、あらかじめタブレット端末とモバイルWi-Fiルータに同じパスフレーズを設定するイ認証を用いる。”」とあるため、事前に共有した鍵を使う “事前共有鍵（Pre-Shared Key）” が該当します。
3. 契約者情報が記録されたカード
   「“モバイルWi-Fiルータには、通信事業者が契約者を識別する情報が記録されているウが挿入されている。”」という記述は、LTE端末に挿入する “SIMカード” を指しています。
4. LTE網から外部ネットワークへ出るときのゲートウェイ指定
   「“LTE回線からインターネットのようなネットワークへのゲートウェイの指定を意味するエの情報を設定する。”」は携帯通信で用いる “APN（Access Point Name）” です。
5. IPアドレスとポート番号の同時変換
   「“モバイルWi-Fiルータでは オ によるIPアドレスとポート番号の変換処理が行われる。”」とあり、IPとポートの両方を変換する方式は “NAPT（Network Address Port Translation）” です。
6. HTTPSプロキシでTLSトンネル確立に使うメソッド
   「“プロキシサーバは、タブレット端末からのカ要求によってHTTPSサーバへのTLSトンネルを中継し…”」とあるので、HTTPプロキシがTLSトンネルを張るときに使用する “CONNECT” メソッドが正答となります。

誤りやすいポイント

• WPAとWPA2を混同し、ア に “TKIP” と書いてしまう。TKIPはWPAで導入された方式であり、設問は「WPA2で初めて採用」と明記しています。
• イ を “WPA2-PSK” の “PSK” のみと答え、正式名称 “事前共有鍵” を欠落させる。日本語名称が求められている点に注意が必要です。
• ウ を “USIM” と解答するケース。問題は一般的名称であり “SIMカード” が求められています。
• エ を “PDN” “GW” などと誤記する。APNは“ゲートウェイの指定を意味する名前”を指すキーワードです。
• オ を “NAT” とだけ書くと減点対象。ポート番号も同時に変換する仕組みなので “NAPT” が正確です。
• カ を “CONNECTメソッド” ではなく “TUNNEL” などと書くミス。HTTP/1.1で明確に規定されたメソッド名 “CONNECT” をそのまま書く必要があります。

FAQ

解答の論理構成

1. 【問題文】では、「SSIDを隠ぺいする①ステルス機能」と明記されています。SSIDを隠すという目的は、アクセスポイントの存在を第三者に気付かれにくくすることです。
2. 無線LANのSSIDは、アクセスポイントが 定期的に送信するビーコン信号（Beaconフレーム）に含まれています。
3. したがって、SSIDを隠す最も直接的な方法は「ビーコン信号自体を送らない」ことです。
4. 以上より、ステルス機能の具体的な動作は「定期的に送信するビーコン信号を停止する」となります。

誤りやすいポイント

• ビーコン信号を「非公開にする」のではなく「送信しない」点を混同しやすい。
• ステルス機能と「MACアドレスフィルタリング機能」を同じものと誤解しやすい。
• ステルス機能を有効にしても、Active Scan（プローブ要求）でSSIDが露見する場合があることを失念しやすい。

FAQ

解答の論理構成

• 【問題文】では、アクセスポイント保護策として「SSIDを隠ぺいする①ステルス機能」「MACアドレスフィルタリング機能」が挙げられています。しかし、その直後に「②ステルス機能とMACアドレスフィルタリング機能を用いたセキュリティ対策だけでは不十分」と明示されています。
• 不十分となる主因は、無線通信が「電波」を媒体としており、通信が空間に漏えいするため、第三者もパケットを容易に受信できる点にあります。
• 無線LANフレームには、接続制御に不可欠な「SSID」や送信元／宛先「MACアドレス」が平文で含まれます。これら管理系フレームは暗号化の対象外のため、暗号化方式（WEP／WPA／WPA2）を用いていても傍受者は情報を取得できます。
• したがって、ステルス機能でビーコンを抑制しても、プローブレスポンスなどの管理フレームから「SSID」が露出し、フィルタリング登録の「MACアドレス」も平文で流れるため秘匿性は担保されません。
• 以上より「電波を用いる無線LANでは、SSIDやMACアドレスを暗号化できず傍受される」という結論が導かれます。

誤りやすいポイント

• ステルス機能＝完全秘匿と誤解し、管理フレーム解析で露出する事実を忘れる。
• 「MACアドレスフィルタリング」が突破されにくいと考え、アドレス偽装（スプーフィング）を考慮しない。
• 暗号化方式（WPA2など）が適用されると、管理フレームも含め全て暗号化されると誤認する。
• 有線LANと同程度の覗き見困難性を想定し、電波の拡散特性を軽視する。

FAQ

解答の論理構成

• 【問題文】には
  「タブレット端末が無線LANに接続すると、モバイルWi-Fiルータは、DHCPによってプライベートIPアドレスの配布を行う。」
  とあり、さらに下線③として
  「このプライベートIPアドレスは他のネットワークと重複しないように設計する。」
  と示されています。
• では “他のネットワーク” とはどこかを確認します。VPN接続時については、【問題文】後半で
  「タブレット端末がVPN接続を行うと、VPNサーバは、タブレット端末に対して図1中のネットワークセグメント（E）からプライベートIPアドレスを割り当てる。」
  と明記されています。
• つまり、タブレット端末は
  ① 顧客宅ではモバイルWi-FiルータのDHCPからプライベートIPアドレスを受領
  ② VPN接続後はネットワークセグメント（E）のプライベートIPアドレスを追加で受領
  という二つのプライベートアドレス帯を同時に保持します。
• もし①と②が同一アドレス帯だと、OSは “社内宛かローカル宛か” を判別できず経路選択が破綻します。したがって、重複を避けるべきは「VPNサーバが割り当てるプライベートアドレス帯」であるセグメント（E）です。
• よって、選択すべきネットワークセグメントは図1中の「（E）」です。

誤りやすいポイント

• 無線LAN側のプライベートアドレスが衝突して困る相手は “LTE側” と誤解するケース
• 図1の（A）〜（D）を「同じ顧客宅内で使うから危険」と早合点し、VPN接続後に新たなIPが振られる事実を見落とすケース
• 「VPNで二重アドレスを持ってもNATで何とかなる」と考え、OSのルーティング競合問題を軽視するケース

FAQ

解答の論理構成

1. 【問題文】では、タブレット端末などの紛失を想定し、下線部④として
   　　「営業員が、これらを紛失した際には、直ちにモバイルネットワーク管理者に報告するという運用ルール」
   　が策定されると記述されています。
2. 紛失時に最も危険なのは、端末経由で “VPNサーバ” に不正接続されることです。VPNへの入口は「利用者ID」と「ワンタイムパスワード」ですから、IDが生きている限り攻撃者はトークンさえ奪えば接続を試みることができます。
3. よって管理者が即時に取るべき最優先策は、紛失した “VPN接続の利用者ID” を無効化することです。これにより、正規トークンが残っていてもVPNサーバは認証を拒否し、不正利用を遮断できます。
4. 以上より、解答は「VPN接続の利用者IDを停止する。」となります。

誤りやすいポイント

• 「端末のリモートワイプ」や「LTE回線の契約停止」を第一に挙げてしまう。確かに有効ですが、VPNに直結する資格情報の遮断が最優先です。
• 「ワンタイムパスワードを変更」と記述するミス。トークンは物理デバイスなので変更不可であり、IDを停止することでしか防御できません。
• 「IPアドレスをフィルタリング」と答える誤答。紛失端末はどこからでも接続を試みるため、IP制限だけでは十分ではありません。

FAQ

解答の論理構成

1. 下線⑤では「VPN接続で許可する通信を必要最小限に設定」と指示しています。
2. タブレット端末がVPN接続後にまず必要とするのは名前解決です。問題文には
   「タブレット端末は、VPNサーバとVPN接続を行い、VPN接続後の名前解決は、内部DNSサーバを用いて行う。」
   とあり、DNSサーバへのアクセスが必須であることが明示されています。
3. 続いて実業務で利用する販売管理サーバやインターネット上のサーバへは、直接ではなく
   「タブレット端末から販売管理サーバ及びインターネット上のサーバへの通信は、VPN接続を通して、プロキシサーバ経由で行う。」
   と書かれており、プロキシサーバ経由でなければアクセスできません。
4. したがって、VPNトンネル内で実際に許可すべき宛先は
   ・クライアントの名前解決を担う「内部DNSサーバ」
   ・すべての業務通信を中継する「プロキシサーバ」
   の二つに限定されます。
5. 以上より、図1の語句を用いると「プロキシサーバと内部DNSサーバへの通信」が最小構成となり、設問の解答となります。

誤りやすいポイント

• 「販売管理サーバ」も許可対象に含めてしまう
  → 問題文で販売管理サーバはプロキシ経由と明記されており、直接通信は行いません。
• 「外部DNSサーバ」を許可してしまう
  → VPN接続後の名前解決は「内部DNSサーバ」で行います。LTE回線側で利用する外部DNSサーバはVPNトンネル外の通信制限で別途管理されます。
• VPNサーバ自身との通信を答えてしまう
  → VPNセッション確立後のアプリケーション通信を問うており、トンネルを張るための制御パケットは対象外です。

FAQ

解答の論理構成

1. 要件の把握
   【問題文】には「⑥プロキシサーバのログから各営業員を特定できるようにする」とあります。
   → ログに“誰が通信したか”を記録できる仕組みが必須です。
2. ログに利用者を紐付ける方法
   ログには通常、接続元IPアドレスや時刻などが残りますが、モバイル環境ではIPが変動します。また、タブレット端末は複数人で共用される可能性もあるため、IPだけでは「営業員」を一意に特定できません。
3. 必要なプロキシ機能
   プロキシが通信を受け付ける際に「誰なのか」を確認し、その結果をログに書き込めば要件を満たせます。この機能は一般に「プロキシ認証」と呼ばれます。
4. 具体的な設定
   認証を機能させるためには、営業員ごとに一意な資格情報を登録し、接続時に入力させる必要があります。最も分かりやすいのは「利用者ID」を営業員単位で登録する方法です。
5. 以上より
   機能名：プロキシ認証
   設定内容：営業員ごとに利用者IDを登録する

誤りやすいポイント

• IPアドレスやMACアドレスで特定できると誤解する
  → モバイルWi-FiルータでNATが行われるため、プロキシにはタブレット端末の個別IPやMACが届きません。
• 「アクセス制御」や「フィルタリング」と混同する
  → アクセス制御は通信可否を判定する機能で、利用者の特定・記録とは別です。
• 「ユーザ認証」と回答して文字数を超えてしまう、または曖昧な用語を使う
  → 解答は「プロキシ認証」が最適です。

FAQ

解答の論理構成

1. 【問題文】には
   “プロキシサーバは、タブレット端末からのカ要求によってHTTPSサーバへのTLSトンネルを中継し、その後のリクエストは、TLSトンネルの中をそのまま転送する。”
   とあります。
   ここで “カ要求” はCONNECT要求です。CONNECTのリクエストライン例は
   CONNECT www.example.com:443 HTTP/1.1
   であり、Request-URIに含まれる要素は
   • 接続先ホスト名 (www.example.com)
   • 接続先ポート番号 (443)
   だけです。
2. CONNECTによるTLSトンネル確立後は暗号化されるため、パスやパラメータなどHTTP時に得られる詳細は見えません。したがって “HTTPSの場合は、HTTPと比較して取得できるログの内容が限られる” という【問題文】の下線⑦に合致します。
3. 以上より、HTTPSのRequest-URIからログとして取得できる二つは
   • 「接続先ホスト名」
   • 「接続先ポート番号」
   となります。

誤りやすいポイント

• “暗号化されているから何も取れない” と誤解し、ホスト名・ポート番号まで落としてしまうケース。Request-URI部分は暗号化前に送信されるのでログ可能です。
• User-AgentやURLパスを挙げてしまうミス。これらはTLSトンネル内に入るのでHTTPSでは取得できません。
• 日時や送信元IPはプロキシが付加する一般ログ項目ですが、設問は “Request-URIから” と限定している点を見落としやすいです。

FAQ