ネットワークスペシャリスト 2016年 午後1 問02

解答の論理構成

1. WPA2 が採用した暗号アルゴリズム
   【問題文】には「“WPA2 は、無線 LAN 通信の暗号はアルゴリズムとしてアが初めて採用された方式である。”」とあります。WPA2 で初めて正式採用された暗号は “AES”（Advanced Encryption Standard）です。
2. 端末とアクセスポイントで同じパスフレーズを共有する認証方式
   「“認証方式には、あらかじめタブレット端末とモバイル Wi-Fi ルータに同じパスフレーズを設定するイ認証を用いる。”」とあるため、事前に共有した鍵を使う “事前共有鍵（Pre-Shared Key）” が該当します。
3. 契約者情報が記録されたカード
   「“モバイル Wi-Fi ルータには、通信事業者が契約者を識別する情報が記録されているウが挿入されている。”」という記述は、LTE 端末に挿入する “SIMカード” を指しています。
4. LTE 網から外部ネットワークへ出るときのゲートウェイ指定
   「“LTE 回線からインターネットのようなネットワークへのゲートウェイの指定を意味するエの情報を設定する。”」は携帯通信で用いる “APN（Access Point Name）” です。
5. IP アドレスとポート番号の同時変換
   「“モバイル Wi-Fi ルータでは オ による IP アドレスとポート番号の変換処理が行われる。”」とあり、IP とポートの両方を変換する方式は “NAPT（Network Address Port Translation）” です。
6. HTTPS プロキシで TLS トンネル確立に使うメソッド
   「“プロキシサーバは、タブレット端末からのカ要求によって HTTPS サーバへの TLS トンネルを中継し…”」とあるので、HTTP プロキシが TLS トンネルを張るときに使用する “CONNECT” メソッドが正答となります。

誤りやすいポイント

• WPA と WPA2 を混同し、[ ア ] に “TKIP” と書いてしまう。TKIP は WPA で導入された方式であり、設問は「WPA2 で初めて採用」と明記しています。
• [ イ ] を “WPA2-PSK” の “PSK” のみと答え、正式名称 “事前共有鍵” を欠落させる。日本語名称が求められている点に注意が必要です。
• [ ウ ] を “USIM” と解答するケース。問題は一般的名称であり “SIMカード” が求められています。
• [ エ ] を “PDN” “GW” などと誤記する。APN は“ゲートウェイの指定を意味する名前”を指すキーワードです。
• [ オ ] を “NAT” とだけ書くと減点対象。ポート番号も同時に変換する仕組みなので “NAPT” が正確です。
• [ カ ] を “CONNECT メソッド” ではなく “TUNNEL” などと書くミス。HTTP/1.1 で明確に規定されたメソッド名 “CONNECT” をそのまま書く必要があります。

FAQ

解答の論理構成

1. 【問題文】では、「SSID を隠ぺいする①ステルス機能」と明記されています。SSID を隠すという目的は、アクセスポイントの存在を第三者に気付かれにくくすることです。
2. 無線 LAN のSSIDは、アクセスポイントが 定期的に送信するビーコン信号（Beacon フレーム）に含まれています。
3. したがって、SSIDを隠す最も直接的な方法は「ビーコン信号自体を送らない」ことです。
4. 以上より、ステルス機能の具体的な動作は「定期的に送信するビーコン信号を停止する」となります。

誤りやすいポイント

• ビーコン信号を「非公開にする」のではなく「送信しない」点を混同しやすい。
• ステルス機能と「MAC アドレスフィルタリング機能」を同じものと誤解しやすい。
• ステルス機能を有効にしても、Active Scan（プローブ要求）で SSID が露見する場合があることを失念しやすい。

FAQ

解答の論理構成

• 【問題文】では、アクセスポイント保護策として「SSID を隠ぺいする①ステルス機能」「MAC アドレスフィルタリング機能」が挙げられています。しかし、その直後に「②ステルス機能と MAC アドレスフィルタリング機能を用いたセキュリティ対策だけでは不十分」と明示されています。
• 不十分となる主因は、無線通信が「電波」を媒体としており、通信が空間に漏えいするため、第三者もパケットを容易に受信できる点にあります。
• 無線LANフレームには、接続制御に不可欠な「SSID」や送信元／宛先「MAC アドレス」が平文で含まれます。これら管理系フレームは暗号化の対象外のため、暗号化方式（WEP／WPA／WPA2）を用いていても傍受者は情報を取得できます。
• したがって、ステルス機能でビーコンを抑制しても、プローブレスポンスなどの管理フレームから「SSID」が露出し、フィルタリング登録の「MAC アドレス」も平文で流れるため秘匿性は担保されません。
• 以上より「電波を用いる無線LANでは、SSID や MAC アドレスを暗号化できず傍受される」という結論が導かれます。

誤りやすいポイント

• ステルス機能＝完全秘匿と誤解し、管理フレーム解析で露出する事実を忘れる。
• 「MAC アドレスフィルタリング」が突破されにくいと考え、アドレス偽装（スプーフィング）を考慮しない。
• 暗号化方式（WPA2 など）が適用されると、管理フレームも含め全て暗号化されると誤認する。
• 有線LANと同程度の覗き見困難性を想定し、電波の拡散特性を軽視する。

FAQ

解答の論理構成

• 【問題文】には
  「タブレット端末が無線 LAN に接続すると、モバイル Wi-Fi ルータは、DHCP によってプライベート IP アドレスの配布を行う。」
  とあり、さらに下線③として
  「このプライベート IP アドレスは他のネットワークと重複しないように設計する。」
  と示されています。
• では “他のネットワーク” とはどこかを確認します。VPN 接続時については、【問題文】後半で
  「タブレット端末が VPN 接続を行うと、VPN サーバは、タブレット端末に対して図1中のネットワークセグメント（E）からプライベート IP アドレスを割り当てる。」
  と明記されています。
• つまり、タブレット端末は
  ① 顧客宅ではモバイル Wi-Fi ルータの DHCP からプライベート IP アドレスを受領
  ② VPN 接続後はネットワークセグメント（E）のプライベート IP アドレスを追加で受領
  という二つのプライベートアドレス帯を同時に保持します。
• もし①と②が同一アドレス帯だと、OS は “社内宛かローカル宛か” を判別できず経路選択が破綻します。したがって、重複を避けるべきは「VPN サーバが割り当てるプライベートアドレス帯」であるセグメント（E）です。
• よって、選択すべきネットワークセグメントは図1中の「（E）」です。

誤りやすいポイント

• 無線 LAN 側のプライベートアドレスが衝突して困る相手は “LTE 側” と誤解するケース
• 図1の（A）〜（D）を「同じ顧客宅内で使うから危険」と早合点し、VPN 接続後に新たな IP が振られる事実を見落とすケース
• 「VPN で二重アドレスを持っても NAT で何とかなる」と考え、OS のルーティング競合問題を軽視するケース

FAQ

解答の論理構成

1. 【問題文】では、タブレット端末などの紛失を想定し、下線部④として
   　　「営業員が、これらを紛失した際には、直ちにモバイルネットワーク管理者に報告するという運用ルール」
   　が策定されると記述されています。
2. 紛失時に最も危険なのは、端末経由で “VPN サーバ” に不正接続されることです。VPN への入口は「利用者 ID」と「ワンタイムパスワード」ですから、ID が生きている限り攻撃者はトークンさえ奪えば接続を試みることができます。
3. よって管理者が即時に取るべき最優先策は、紛失した “VPN 接続の利用者 ID” を無効化することです。これにより、正規トークンが残っていても VPN サーバは認証を拒否し、不正利用を遮断できます。
4. 以上より、解答は「VPN接続の利用者IDを停止する。」となります。

誤りやすいポイント

• 「端末のリモートワイプ」や「LTE 回線の契約停止」を第一に挙げてしまう。確かに有効ですが、VPN に直結する資格情報の遮断が最優先です。
• 「ワンタイムパスワードを変更」と記述するミス。トークンは物理デバイスなので変更不可であり、ID を停止することでしか防御できません。
• 「IP アドレスをフィルタリング」と答える誤答。紛失端末はどこからでも接続を試みるため、IP 制限だけでは十分ではありません。

FAQ

解答の論理構成

1. 下線⑤では「VPN 接続で許可する通信を必要最小限に設定」と指示しています。
2. タブレット端末が VPN 接続後にまず必要とするのは名前解決です。問題文には
   「タブレット端末は、VPN サーバと VPN 接続を行い、VPN 接続後の名前解決は、内蔵DNS サーバを用いて行う。」
   とあり、DNS サーバへのアクセスが必須であることが明示されています。
3. 続いて実業務で利用する販売管理サーバやインターネット上のサーバへは、直接ではなく
   「タブレット端末から販売管理サーバ及びインターネット上のサーバへの通信は、VPN 接続を通して、プロキシサーバ経由で行う。」
   と書かれており、プロキシサーバ経由でなければアクセスできません。
4. したがって、VPN トンネル内で実際に許可すべき宛先は
   ・クライアントの名前解決を担う「内部DNSサーバ」
   ・すべての業務通信を中継する「プロキシサーバ」
   の二つに限定されます。
5. 以上より、図1の語句を用いると「プロキシサーバと内部DNSサーバへの通信」が最小構成となり、設問の解答となります。

誤りやすいポイント

• 「販売管理サーバ」も許可対象に含めてしまう
  → 問題文で販売管理サーバはプロキシ経由と明記されており、直接通信は行いません。
• 「外部DNSサーバ」を許可してしまう
  → VPN 接続後の名前解決は「内蔵DNS サーバ」（＝内部DNSサーバ）です。LTE 回線側で利用する外部DNSサーバは VPN トンネル外の通信制限で別途管理されます。
• VPN サーバ自身との通信を答えてしまう
  → VPN セッション確立後のアプリケーション通信を問うており、トンネルを張るための制御パケットは対象外です。

FAQ

解答の論理構成

1. 要件の把握
   【問題文】には「⑥プロキシサーバのログから営業員を特定できるようにする」とあります。
   → ログに“誰が通信したか”を記録できる仕組みが必須です。
2. ログに利用者を紐付ける方法
   ログには通常、接続元 IP アドレスや時刻などが残りますが、モバイル環境では IP が変動します。また、タブレット端末は複数人で共用される可能性もあるため、IP だけでは「営業員」を一意に特定できません。
3. 必要なプロキシ機能
   プロキシが通信を受け付ける際に「誰なのか」を確認し、その結果をログに書き込めば要件を満たせます。この機能は一般に「プロキシ認証」と呼ばれます。
4. 具体的な設定
   認証を機能させるためには、営業員ごとに一意な資格情報を登録し、接続時に入力させる必要があります。最も分かりやすいのは「利用者ID」を営業員単位で登録する方法です。
5. 以上より
   機能名：プロキシ認証
   設定内容：営業員ごとに利用者IDを登録する

誤りやすいポイント

• IP アドレスや MAC アドレスで特定できると誤解する
  → モバイル Wi-Fi ルータで NAT が行われるため、プロキシにはタブレット端末の個別 IP や MAC が届きません。
• 「アクセス制御」や「フィルタリング」と混同する
  → アクセス制御は通信可否を判定する機能で、利用者の特定・記録とは別です。
• 「ユーザ認証」と回答して文字数を超えてしまう、または曖昧な用語を使う
  → 解答は「プロキシ認証」が最適です。

FAQ

解答の論理構成

1. 【問題文】には
   “プロキシサーバは、タブレット端末からのカ要求によって HTTPS サーバへの TLS トンネルを中継し、その後のリクエストは、TLS トンネルの中をそのまま転送する。”
   とあります。
   ここで “カ要求” は CONNECT 要求です。CONNECT のリクエストライン例は
   CONNECT www.example.com:443 HTTP/1.1
   であり、Request-URI に含まれる要素は
   • 接続先ホスト名 (www.example.com)
   • 接続先ポート番号 (443)
   だけです。
2. CONNECT による TLS トンネル確立後は暗号化されるため、パスやパラメータなど HTTP 時に得られる詳細は見えません。したがって “HTTPSの場合は、HTTP と比較して取得できるログの内容が限られる” という【問題文】の下線⑦に合致します。
3. 以上より、HTTPS の Request-URI からログとして取得できる三つは
   • 「接続先ホスト名」
   • 「接続先ポート番号」
   • 「接続先IPアドレス」
   となります。IP アドレスはホスト名解決時点で得られるため、Request-URI 由来のログ項目として扱われます。

誤りやすいポイント

• “暗号化されているから何も取れない” と誤解し、ホスト名・ポート番号まで落としてしまうケース。Request-URI 部分は暗号化前に送信されるのでログ可能です。
• User-Agent や URL パスを挙げてしまうミス。これらは TLS トンネル内に入るので HTTPS では取得できません。
• 日時や送信元 IP はプロキシが付加する一般ログ項目ですが、設問は “Request-URIから” と限定している点を見落としやすいです。

FAQ