ネットワークスペシャリスト試験 令和6年度 春期 午前Ⅱ 問21
【出典：ネットワークスペシャリスト試験 令和6年度 春期 午前Ⅱ（一部、加工あり）】
IPsecに関する記述のうち、適切なものはどれか。
ア ESPのトンネルモードを使用すると、暗号化通信の区間において、エンドツーエンドの通信で用いる元のIPヘッダーを含めて暗号化できる。
イ IKEはIPsecの鍵交換のためのプロトコルであり、ポート番号80が使用される。
ウ 暗号化アルゴリズムとして、HMAC-SHA1が使用される。
エ 二つのホストの間でIPsecによる通信を行う場合、認証や暗号化アルゴリズムを両者で決めるためにESPヘッダーではなくAHヘッダーを使用する。
IPsec（Security Architecture for Internet Protocol、またはInternet Protocol Security）は、インターネットなどのTCP/IPネットワーク上でデータ通信を安全に行うためのプロトコルスイート（プロトコルのグループ）です。
主な特徴と機能は以下の通りです。
- 暗号化と認証
IPsecは、通信データ（IPパケット）を暗号化することで内容の秘匿性を高め、さらに認証によってパケットの改ざんやなりすましを防ぎます。 - VPNとの組み合わせ
IPsecは企業の拠点間ネットワークやリモートアクセスVPNなど、公衆ネットワーク上で安全な通信を実現するためによく利用されます。 - パケット単位のセキュリティ
通信経路全体を通じて、個々のIPパケットを保護します。これにより、データの完全性と機密性が確保されます。 - モードの違い
- トンネルモード：ネットワークの境界（ルーターやゲートウェイ）間で、IPパケット全体を暗号化・カプセル化します。主に拠点間通信に使われます。
- トランスポートモード：通信端末同士でペイロード（データ本体）のみを暗号化します。主に端末間の通信に使われます。
- 主要なプロトコル
- AH（Authentication Header）：パケットの認証と改ざん検知
- ESP（Encapsulating Security Payload）：データの暗号化と認証
- IKE（Internet Key Exchange）：鍵交換と通信相手の認証
- SA（Security Association）
通信相手との間で暗号化や認証のための設定情報（SA）を共有し、安全な通信経路を確立します。
ア ESPのトンネルモードを使用すると、暗号化通信の区間において、エンドツーエンドの通信で用いる元のIPヘッダーを含めて暗号化できる。
正解です。
- ESPは、IPsecのプロトコルの一つで、暗号化と認証の機能を持ちます。
- トンネルモードでは、元のIPパケット全体（IPヘッダー＋データ部）を暗号化し、新しいIPヘッダーを付けて送信します。
元のIPヘッダーも含めて暗号化されるため、経路上の第三者から通信の内容や宛先・送信元などを隠せます。 - 主にVPNやゲートウェイ間通信で使用されます。
イ IKEはIPsecの鍵交換のためのプロトコルであり、ポート番号80が使用される。
誤りです。
- IKEは、IPsecで使用する鍵やアルゴリズムなどのセキュリティパラメータを自動的に交換・設定するためのプロトコルです。
- IKEで使用されるポートは UDPの500番 および 4500番（NATトラバーサル時） です。
- ポート番号80はHTTPで使用されるものであり、関係ありません。
ウ 暗号化アルゴリズムとして、HMAC-SHA1が使用される。
誤りです。
- HMAC-SHA1は、認証アルゴリズム（改ざん検知）として使われるもので、暗号化アルゴリズムではありません。
- IPsecで使われる暗号化アルゴリズムには、AES（Advanced Encryption Standard）や3DESなどがあります。
- 認証にはHMAC（Hash-based Message Authentication Code）とSHA-1やSHA-2の組み合わせがよく使われます。
エ 二つのホストの間でIPsecによる通信を行う場合、認証や暗号化アルゴリズムを両者で決めるためにESPヘッダーではなくAHヘッダーを使用する。
誤りです。
- IPsecで使う認証や暗号化アルゴリズムの交渉は、IKEによって行われます。
- ESPやAHは、データの暗号化・認証を実行するプロトコルであり、交渉には関与しません。
- つまり、ESPやAHは交渉結果に基づいてパケット処理を行うだけです。
試験対策ポイント
ESP vs AHの違い
- ESP：暗号化 + 認証（認証は任意）
- AH：認証のみ、暗号化はしない
トランスポートモード vs トンネルモード
- トランスポート：IPヘッダーはそのまま、ペイロードだけ暗号化
- トンネル：元のIPパケット全体を暗号化し、新しいIPヘッダーを付ける
IKEの役割：セキュリティパラメータの交渉、自動鍵交換