情報処理安全確保支援士 2023年 秋期 午前2 問15

SSHプロトコル【午前2解説】

正解の理由

解法ステップ

1. 問題文のキーワードを抽出：暗号化、利用者の認証、遠隔ログイン。
2. 各選択肢がその要件を満たすかを照らし合わせる。
   • 「暗号化＋認証＋リモートログイン」を一つで提供するか確認。
3. 該当するプロトコルがSSHであることを確定し、残りを除外する。

選択肢別の誤答解説

• ア: L2TP
  • 用途：レイヤ2トンネリングプロトコル。VPNのトンネルを張るために使われる。
  • 理由：単体では利用者対端末のログインシェルを提供せず、暗号化は通常IPsecなどと組み合わせて実現するため、設問の条件には合致しない。
• イ: LDAP
  • 用途：ディレクトリサービス（ユーザ・属性情報の検索・管理）用プロトコル。
  • 理由：認証情報の保管や照会に使われることはあるが、リモートログインのための暗号化されたシェル接続を提供するものではない。
• ウ: RADIUS
  • 用途：ネットワーク機器向けの認証・認可・課金（AAA）プロトコル。
  • 理由：認証機能はあるが、リモートのホストに対するシェルログインや暗号化セッションそのものを提供するプロトコルではない。
• エ: SSH
  • 用途：暗号化されたリモートシェル、ファイル転送、ポートフォワーディング等を提供。
  • 補足：デフォルトはTCPポート22。公開鍵認証の場合、クライアントの鍵ペアは一般に ~/.ssh/id_rsa（秘密鍵） と ~/.ssh/id_rsa.pub（公開鍵） に配置するのが一般的である。

よくある誤解

• RADIUSやLDAPが「認証」を扱うことから「それでリモートログインも安全にできる」と考える誤解。これらは認証情報の提供や認可に関係するが、暗号化されたシェル接続そのものは提供しない点を区別する必要があります。
• L2TPは「VPN＝暗号化」と誤認されることがあるが、L2TP自体はトンネリングであり暗号化はIPsec等と組み合わせることで実現される点を見落としやすいです。
• SSHの鍵ファイルのパスについての混同。正しい標準位置は ~/.ssh/id_rsa（秘密鍵） と ~/.ssh/id_rsa.pub（公開鍵） です。

補足コラム

• 鍵ペア生成（RSA 4096ビットの例）:

ssh-keygen -t rsa -b 4096 -f ~/.ssh/id_rsa -C "your_email@example.com"

• 公開鍵をリモートに追加（ssh-copy-idを利用）:

ssh-copy-id -i ~/.ssh/id_rsa.pub user@remote-host

• 通常の接続例:

ssh user@remote-host

• セキュリティのベストプラクティス（代表例）:
  • rootログインの無効化（PermitRootLogin no）
  • パスワード認証の無効化（公開鍵認証へ移行）
  • 必要に応じたポート変更やFail2ban等の導入によるブルートフォース対策
  • ホスト鍵管理（known_hosts）による中間者攻撃検出

FAQ