TLS｜情報処理安全確保支援士 平成30年 秋期午前Ⅱ試験 問15
出典：平成30年秋期 午前Ⅱ 問15
分野：セキュリティ ／ セキュリティ実装技術
TLSに関する記述のうち，適切なものはどれか。
- ア：TLSで使用するWebサーバのデジタル証明書にはIPアドレスの組込みが必須なので，WebサーバのIPアドレスを変更する場合は，デジタル証明書を再度取得する必要がある。
- イ：TLSで使用する共通鍵の長さは，128ビット未満で任意に指定する。
- ウ：TLSで使用する個人認証用のデジタル証明書は，ICカードにも格納することができ，利用するPCを特定のPCに限定する必要はない。
- エ：TLSはWebサーバを経由した特定の利用者が通信するためのプロトコルであり，Webサーバへの事前の利用者登録が不可欠である。
TSUNAGARU-ADVICE
まず押さえたいこと
TLSは、WebブラウザとWebサーバなどの通信を暗号化し、必要に応じて相手を認証するためのプロトコルです。TLSで使う個人認証用のデジタル証明書は、PC内だけでなくICカードなどにも格納できるため、特定のPCに証明書を固定しなくても利用できる点を押さえましょう。
迷ったときの判断軸
Webサーバ証明書にIPアドレスの組込みが必須というわけではなく、通常はホスト名に対して証明書を発行します。また、TLSの共通鍵長を128ビット未満で任意に指定するという説明も不適切です。TLSは特定利用者専用のプロトコルでもないため、通信の暗号化と証明書による認証を行う仕組みと判断しましょう。
科目Bにつなげるために
科目Bでは、サーバ証明書、クライアント証明書、認証局、CRL、OCSP、TLSハンドシェイクなどを組み合わせて問われることがあります。TLSでは、サーバ認証だけでなくクライアント証明書による利用者認証も可能なので、どの証明書を誰が提示し、誰が検証するのかを整理しておきましょう。
TLSでは、サーバ認証だけでなく、クライアント証明書を用いた個人認証も行えます。個人認証用のデジタル証明書と秘密鍵は、ICカードなどの耐タンパ性をもつ媒体に格納して利用できます。
ICカードを利用者が携帯し、必要なPCへ接続して認証を行う構成にすれば、利用するPCを特定の1台に限定する必要はありません。証明書と秘密鍵をICカード側で安全に管理できる点が特徴です。
したがって、ウが適切です。
❌他選択肢が誤りの理由ア：TLSで使用するWebサーバのデジタル証明書にはIPアドレスの組込みが必須なので，WebサーバのIPアドレスを変更する場合は，デジタル証明書を再度取得する必要がある。
⇒Webサーバ証明書には、通常、接続先のドメイン名を識別する情報が記載されます。IPアドレスの組込みは必須ではないため、IPアドレスを変更しただけで必ず証明書を再取得する必要があるわけではありません。
イ：TLSで使用する共通鍵の長さは，128ビット未満で任意に指定する。
⇒TLSで使用する共通鍵暗号方式や鍵長は、クライアントとサーバが対応する暗号スイートなどに基づいて決定されます。128ビット未満で任意に指定するものではありません。
エ：TLSはWebサーバを経由した特定の利用者が通信するためのプロトコルであり，Webサーバへの事前の利用者登録が不可欠である。
⇒TLSは、通信相手の認証や通信内容の暗号化、改ざん検知を行うためのプロトコルです。Webサーバへの事前の利用者登録は必須ではなく、不特定多数が利用するWebサイトでも広く使われています。