IPsecに関する記述｜情報処理安全確保支援士 平成28年 秋期午前Ⅱ試験 問15
出典：平成28年秋期 午前Ⅱ 問15
分野：セキュリティ ／ セキュリティ実装技術
IPsecに関する記述のうち，適切なものはどれか。
- ア：IKEはIPsecの鍵交換のためのプロトコルであり，ポート番号80が使用される。
- イ：暗号化アルゴリズムとして，HMAC-SHA1が使用される。
- ウ：トンネルモードを使用すると，暗号化通信の区間において，エンドツーエンドの通信で用いる元のIPのヘッダーを含めて暗号化できる。
- エ：ホストAとホストBとの間でIPsecによる通信を行う場合，認証や暗号化アルゴリズムを両者で決めるためにESPヘッダーでなくAHヘッダーを使用する。
TSUNAGARU-ADVICE
まず押さえたいこと
IPsecのトンネルモードでは、元のIPパケット全体を新しいIPパケットの中にカプセル化して保護します。そのため、元のIPヘッダーも保護対象に含めることができ、VPN装置間などで元の送信元・宛先情報を含めて通信を保護する用途に向いています。
迷ったときの判断軸
IKEは鍵交換やSA確立に使われますが、HTTPの80番ポートを使うわけではありません。HMAC-SHA1は主にメッセージ認証に関係し、暗号化アルゴリズムそのものではありません。また、認証方式や暗号方式の合意はIKEで行います。IPsecでは、トンネルモード = 元のIPヘッダーごと包むと整理すると判断しやすくなります。
科目Bにつなげるために
科目Bでは、VPN構成・ESP・AH・IKE・トランスポートモード・トンネルモードなどを組み合わせて問われることがあります。用語を個別に覚えるのではなく、どの区間を暗号化するのか・どこまでを保護するのか・鍵をどう確立するのかという観点で通信の流れを整理しましょう。
IPsecは、IPパケットを暗号化したり、改ざんされていないことを確認したりして、IP通信を保護する仕組みです。IPsecには主にトランスポートモードとトンネルモードがあります。
トランスポートモードでは、元のIPヘッダーを残したまま、その後ろにあるデータ部分などをESPで暗号化します。一方、トンネルモードでは、元のIPヘッダーを含むIPパケット全体を新しいIPパケットの中にカプセル化します。ESPを使用する場合、元のIPヘッダーを含めて暗号化でき、その外側に通信経路で使用する新しいIPヘッダーを付加します。
そのため、VPNゲートウェイ間などでIPsecのトンネルモードを利用すると、エンドツーエンドの通信で使用している元のIPアドレスなどを含むIPヘッダーも、暗号化された領域の中に含めることができます。
したがって、ウが適切です。
❌他選択肢が誤りの理由ア：IKEはIPsecの鍵交換のためのプロトコルであり，ポート番号80が使用される。
⇒IKE（Internet Key Exchange）は、IPsecで使用する暗号アルゴリズム・認証方式・鍵などを決定するためのプロトコルです。ただし、通常はUDPのポート番号500を使用します。ポート番号80はHTTPで使用されます。
イ：暗号化アルゴリズムとして，HMAC-SHA1が使用される。
⇒HMAC-SHA1は暗号化アルゴリズムではなく、メッセージ認証コードを生成してデータの完全性や認証を確認するための方式です。暗号化にはAESなどが用いられます。
エ：ホストAとホストBとの間でIPsecによる通信を行う場合，認証や暗号化アルゴリズムを両者で決めるためにESPヘッダーでなくAHヘッダーを使用する。
⇒認証方式・暗号化アルゴリズム・鍵などの取り決めにはIKEを使用します。AHは主にデータの完全性確認や送信元認証を行うためのプロトコルで、暗号化は行いません。ESPは暗号化に加えて、設定によって完全性確認や認証も行えます。